PHP2Shell
PHP2Shell ist die Bezeichnung für zwei Remote-Code-Execution-Sicherheitslücken im Interpreter der Programmiersprache PHP, die am 21. Oktober 2026 öffentlich bekannt wurden. Das Computer Emergency Response Team der Europäischen Union führt die Sicherheitslücken als CVE-2026-109618 und CVE-2026-109619.[1]
Um die Sicherheitslücken zu schließen, wurde die umfangreichste Fehlerbehebung (Patch) in der Geschichte von PHP veröffentlicht. Das Update betraf 10.000 Zeilen Programmcode in 400 Dateien.
Entdeckung und Methodik
[Bearbeiten | Quelltext bearbeiten]Die PHP Foundation stufte die Sicherheitslücken, die alle Versionen ab PHP 5 (seit 2004) betreffen, mit einem CVSS-Rating von 9,2 als kritisch ein und veröffentlichte am 20. Oktober 2026 eine entsprechende Warnmeldung. Die ursprünglich für den 22. Oktober 2026 geplante Bereitstellung von gepatchten Versionen ab PHP 8.2, die am 21. Oktober 2026 um 16:00 Uhr MESZ angekündigt worden war, wurde vorgezogen, da Informationen über die Sicherheitslücke durch ein Leak in einschlägigen Foren bekannt wurden.[2] Tatsächlich erfolgte die Veröffentlichung dann unangekündigt etwa 20 Minuten vor dem angekündigten Zeitpunkt. Für die nicht mehr unterstützte Versionen 7.4 bis 8.1 wurden seitens PHP Patches bereitgestellt, die von weiteren Entwicklern auf PHP 5.6 zurückportiert wurden.[3]
In einem Interview in Die Zeit (vom 22. Oktober) erklärt Volker Dusch von der PHP Foundation, dass diese bereits vor 2 Jahren explizit auf die Lücken hingewiesen wurde und dass die Lücken allerdings seit Jahrzehnten bekannt gewesen sein. Zur Behebung sei die umfangreichste Fehlerbehebung in der Geschichte von PHP notwendig gewesen. Das Update betraf 10.000 Zeilen Programmcode in 400 Dateien.[4] Das Linux Magazin warf der PHP Foundation vor, die Behebung der Lücke aufgrund von Zielkonflikten und gelähmten Strukturen so lange hinausgezögert zu haben, bis das Projekt durch funktionierende Exploit-Ketten unter Handlungszwang geriet.[5]
Der Name PHP2Shell stammt von dem geleakten Werkzeug zur Ausnutzung der Sicherheitslücken und ist angelehnt an die Sicherheitslücke log4shell. Ausgehend von dessen Funktionalität des Werkzeugs wurden Proof of Concepts veröffentlicht, die den genutzten Angriffsvektor beschreiben sollen. Demnach soll eine multipart-POST-Anfrage mit einem Feld namens PHP_SESSION_UPLOAD_PROGRESS an die Fortschrittsanzeige für Uploads in der Session session.upload_progress, die ab PHP 5.4 standardmäßig aktiv ist, den Exploit ermöglichen.[6] Die zweite Lücke liegt in der Speicherverwaltung der Skriptsprache und ist ausnutzbar, wenn einige Vorbedingungen erfüllt sind und das in der PHP-Konfigurationsdatei eingestellte Speicherlimit (Direktive: memory_limit) anschlägt. Unter bestimmten Bedingungen wird ein Ausführungsfehler erzeugt, und durch Fehler beim automatischen Aufräumen des Speichers können Angreifer diesen auslesen, freigeben und eigenen Schadcode auf dem Webserver ausführen. Dabei sind mehrere Tausend HTTP-Anfragen nötig, um eine der Schwachstellen auszulösen. Danach arbeitet die Remote-Codeausführung besorgniserregend effektiv und eignet sich somit für automatisierte Attacken analog zu Heartbleed.[7]
Auswirkungen
[Bearbeiten | Quelltext bearbeiten]
Da PHP auf etwa 70 % bis 75 % der Webserver eingesetzt wird und Webanwendungen wie WordPress, Drupal, Joomla und Magento darauf basieren, wurde die potenzielle Reichweite der Sicherheitslücke auf hunderte von Millionen Websites eingeschätzt. Palo Alto Networks identifizierte über 22,6 Millionen Internet-Webserver mit verwundbarer PHP-Software.[8]
Der DNS- und Internetsicherheitsdienst Cloudflare bestätigte am 21. Oktober 2026 beginnende Angriffe auf Websites durch die PHP-Lücken und leitete Maßnahmen ein.[9] Von wenigen tausend Angriffen vor öffentlichem Bekanntwerden der Lücke stieg die Zahl danach innerhalb von zwei Stunden auf 200.000 und wenig später auf mehrere Millionen.[10]
Ein sofortiges Update der Systeme bei Verfügbarkeit veröffentlichter Patches wurde empfohlen.[11] Es wurde geraten, ungepatchte gefährdete Applikationen zu isolieren und aus öffentlichen Netzwerken zu entfernen.[1]
In Deutschland rief das Bundesamt für Sicherheit in der Informationstechnik dazu auf, unmittelbar Ressourcen bereitzuhalten, um Patches umgehend zu installieren, da großflächige KI-gestützte Angriffe zu erwarten seien.[12] Mehrere Städte deaktivierten ihre Onlinedienste, in mehreren Bundesländern gingen Regierungs- und Behördenseiten vom Netz und Kliniken und Universitäten deaktivierten oder sperrten ihre Webseiten.[13]
In den Niederlanden wurden verschiedene bedeutende Webseiten und -dienste vorsorglich vom Netz genommen, darunter das Bürgerportal der niederländischen Regierung MijnOverheid.nl, der Authentifizierungsdienst DigiD und die Webseiten von RTL Nederland.[14] In Finnland wurden alle Netzwerkdienste der Regierung ebenfalls für den gesamten eingehenden Datenverkehr gesperrt. Auch in Dänemark und Frankreich wurden ähnliche Maßnahmen ergriffen.[15][13]
Weblinks
[Bearbeiten | Quelltext bearbeiten]
- Website PHP2Shell, betrieben von wiz.io
- Bundesamt für Sicherheit in der Informationstechnik: PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit, 21. Oktober 2026
Einzelnachweise
[Bearbeiten | Quelltext bearbeiten]- 1 2 Critical Vulnerabilities in PHP. CERT-EU, 20. Oktober 2026
- ↑ PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert. The Hacker News, 20. Oktober 2026
- ↑ Philipp Esselbach: Sury.org now ships PHP2Shell protection across every PHP branch for Debian/Ubuntu, oldest back to 5.6. In: Linux Compatible. Abgerufen am 23. Oktober 2026.
- ↑ David Will, Lisa Hegemann: PHP-Sicherheitslücke: Diese Sicherheitslücke war nie ein echtes Problem. Dann kam KI. In: Die Zeit. 22. Oktober 2026, ISSN 0044-2070 (zeit.de [abgerufen am 23. Oktober 2026]).
- ↑ Thomas Leichtenstern: Kritische PHP-Schwachstellen waren seit Jahren bekannt. In: Linux-Magazin. 22. Oktober 2026, abgerufen am 23. Oktober 2026.
- ↑ php2shell, die Nginx- und Apache-Regeln, die PHP-Angriffe vor dem Patch blockieren. Pasquale Pillitteri, 21. Oktober 2026
- ↑ php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP. heise online, 21. Oktober 2026
- ↑ PHP vulnerability 2026 explained: What happened with 'PHP2Shell', how it affects millions of sites, and what precautions you must take. Clarin, 21. Oktober 2026
- ↑ Cyber agency warns websites may go dark as PHP prepares critical fix Reuters, 21. Oktober 2026
- ↑ Cloudflare sees millions of exploit attempts after PHP disclosure. The strait Times, 22. Oktober 2026
- ↑ Critical security issue affecting PHP. NCSC, 21. Oktober 2016
- ↑ PHP: BSI warnt vor kritischen Schwachstellen – Sicherheitsupdate noch heute notwendig. BSI, 21. Oktober 2026
- 1 2 php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen. Heise online, 22. Oktober 2026
- ↑ Websites van overheid en in onderwijs offline vanwege lek, risico op hacks. NOS, 21. Oktober 2026
- ↑ Valtion julkisen verkon palveluja ajetaan alas varotoimena – taustalla varautuminen PHP-haavoittuvuuksiin. Valtori, 21. Oktober 2026