Die US-amerikanische Cybersicherheitsbehörde CISA hat die als „php2shell“ bekannten Sicherheitslücken am Montag dieser Woche in den Katalog der „Known Exploited Vulnerabilities“ (KEV) aufgenommen. Damit bestätigt die Behörde offiziell, dass die Schwachstellen aktiv ausgenutzt werden. Dies ist ein entscheidender Schritt, der die Dringlichkeit für Systemadministratoren weltweit unterstreicht.
Was ist php2shell?
Hinter dem griffigen Namen verbergen sich zwei kritische Schwachstellen in der Programmiersprache PHP: Es handelt sich um die Lücken CVE-2026-109618 und CVE-2026-109619, die beide mit einem CVSS-Score von 9,2 bewertet wurden. Sie ermöglichen es nicht authentifizierten Angreifern, beliebigen Code auf betroffenen Servern auszuführen. Die erste Lücke steht im Zusammenhang mit einer Out-of-Memory-Korruption, die zweite mit einem veralteten internen Anforderungszustand.
Besonders brisant ist, dass die Schwachstellen im PHP-Interpreter selbst sitzen und nicht in einer bestimmten Anwendung. Das bedeutet, dass selbst sorgfältig programmierte Webanwendungen angreifbar sind, wenn sie auf einer verwundbaren PHP-Version laufen. Da PHP auf rund 70 Prozent aller Websites zum Einsatz kommt, ist die potenzielle Angriffsfläche entsprechend gewaltig.
Patches verfügbar – doch viele Systeme bleiben ungeschützt
Die PHP-Entwickler haben am 21. Oktober 2026 bereits Notfallupdates veröffentlicht. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, während alle älteren Versionen innerhalb dieser Zweige als verwundbar gelten. Zum Zeitpunkt der Patch-Veröffentlichung schätzten Experten, dass noch über 30 Millionen PHP-Dienste eine anfällige Version ausführten.
Bereits am Tag der Veröffentlichung des Patches hatte die CISA eine Warnung herausgegeben und zur sofortigen Aktualisierung aufgerufen. Zunächst lagen jedoch keine bestätigten Hinweise auf eine erfolgreiche Ausnutzung vor. Das hat sich nun geändert.
Erste erfolgreiche Angriffe bestätigt
Die entscheidenden Beweise lieferten Honeypot-Analysen. Adel Karimishiraz, der bei dem KI-Unternehmen Perplexity als Leiter für Detection and Response tätig ist, betreibt mehrere PHP-Honeypots und dokumentierte am Wochenende die erste bestätigte Ferncodeausführung. Auf drei Honeypots mit PHP 8.4.26 wurden insgesamt 35 Shells gestartet. Die Angriffe kamen von zwei IP-Adressen. Zuvor hatte es bereits millionenfache Exploit-Versuche gegeben, die jedoch zumeist erfolglos geblieben waren.
Die CISA reagierte prompt: Die Aufnahme in den KEV-Katalog erfolgte am Montag, dem 26. Oktober 2026, womit eine verbindliche Anweisung an US-Bundesbehörden einhergeht, ihre Systeme bis Donnerstag, den 29. Oktober 2026, abzusichern. Diese Frist gilt zwar formal nur für Bundesbehörden, doch die Behörde empfiehlt allen Organisationen ausdrücklich, dem Beispiel zu folgen.
Was jetzt zu tun ist
Die wichtigste Maßnahme ist und bleibt das Patchen. Wer PHP in einer betroffenen Version nutzt, sollte umgehend auf eine der korrigierten Fassungen aktualisieren. Ein reines Update reicht jedoch nicht immer aus. Um die Schwachstelle vollständig zu schließen, müssen auch die PHP-Worker-Prozesse neu gestartet werden. Andernfalls kann eine kompromittierte Instanz weiterhin anfällig bleiben.
Für Systeme, die nicht zeitnah aktualisiert werden können, empfiehlt die CISA drastischere Maßnahmen: Betroffene Hosts sollten offline genommen werden, bis ein Patch installiert werden kann. Da die Lücken bereits aktiv ausgenutzt werden und es keine Workarounds gibt, ist Eile geboten.
Ein Weckruf für die PHP-Community
Die php2shell-Episode macht einmal mehr deutlich, wie verwundbar die Infrastruktur des Internets ist. Eine Lücke im Interpreter einer der meistgenutzten Programmiersprachen der Welt betrifft Millionen von Systemen – völlig unabhängig davon, wie sicher die darauf laufenden Anwendungen programmiert sind. Die schnelle Reaktion der PHP-Entwickler und die deutliche Warnung der CISA sind zwar lobenswert, doch der Wettlauf gegen die Angreifer hat bereits begonnen.
Betreiber von PHP-Servern sollten umgehend ihre Version prüfen, die Patches einspielen und ihre Systeme auf Anzeichen einer Kompromittierung überwachen. Die Aufnahme in den KEV-Katalog ist kein bloßes bürokratisches Update, sondern ein dringender Weckruf.
