Kritische PHP vulnerabilities setzen Websites dem Risiko einer vollständigen Übernahme aus
Kritische PHP vulnerabilities mit den Kennungen CVE-2026-109618 und CVE-2026-109619 könnten es Angreifern ermöglichen, betroffene Webserver vollständig zu übernehmen. PHP ist eine Programmiersprache, mit der Websites erstellt und betrieben werden, darunter Websites auf Basis von WordPress, Drupal, Joomla und Magento. PHP veröffentlichte am 21. Oktober 2026 dringende Sicherheitsupdates, während KrebsOnSecurity berichtete, dass fast 70 Prozent der Websites ihre Kernsoftware aktualisieren müssen. Von der Publikation zitierte Experten erklärten, dass bereits funktionsfähige exploit-Verfahren, also praktisch einsetzbare Angriffsmethoden, existieren und die vulnerabilities in realen Systemen aktiv ausgenutzt werden.
Beide vulnerabilities können es einem Angreifer ermöglichen, auf einem anfälligen Server, also dem Computersystem, das Besuchern eine Website bereitstellt, Code seiner Wahl auszuführen. Diese Fähigkeit kann weitreichende Kontrolle über das betroffene System ermöglichen und beschränkt sich nicht nur auf den Zugriff auf eine einzelne Seite oder Funktion. Reuters berichtete, dass Websites von Behörden in Europa und anderen Regionen offline gingen, nachdem die vulnerabilities bekannt gegeben worden waren. Dies deutet darauf hin, dass die Störungen bereits außerhalb von Sicherheitsforschungsumgebungen sichtbar waren.
Cloudflare teilte mit, dass das Unternehmen eine aktive Ausnutzung erkannt und um 3:02 Uhr UTC Regeln für seine web application firewall eingeführt habe. Eine web application firewall prüft und filtert Anfragen, die an Websites gesendet werden. Laut Cloudflare könnten Angriffe auf die PHP vulnerabilities denial of service verursachen, wodurch eine Website nicht mehr erreichbar ist, außerdem remote code execution, wodurch ein Angreifer von einem anderen Standort aus Befehle ausführen kann, sowie die Offenlegung von Daten. firewall-Regeln können erkannten Angriffsverkehr filtern, Betreiber müssen jedoch weiterhin die korrigierte PHP-Software installieren.
Der Bericht bezeichnet CVE-2026-109618 und CVE-2026-109619 als zero-day vulnerabilities, also Schwachstellen, die ausgenutzt werden können, bevor eine Fehlerbehebung öffentlich verfügbar ist. Betroffen sind Webserver, auf denen PHP 5.4 oder eine neuere Version ausgeführt wird. Wiz erklärte, dass jede während des vergangenen Jahrzehnts veröffentlichte PHP-Version von mindestens einem der beiden Fehler betroffen sei. PHP hat die Schwachstellen in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Das SANS Internet Storm Center überwacht große Softwareplattformen bei der Veröffentlichung entsprechender Updates, und Ubuntu hat bereits aktualisierte PHP-Pakete bereitgestellt.
Das potenzielle Ausmaß der Gefährdung ist ungewöhnlich groß. Censys, das auf Internetsystemen sichtbare Software erfasst, erklärte, bei einem kürzlich durchgeführten Scan seien etwa 2,58 Millionen Internet-facing hosts, also direkt über das Internet erreichbare Systeme, und 54,9 Millionen Webangebote mit PHP gefunden worden. Diese Messwerte zeigen, wie weit PHP verbreitet ist. Die Zahlen beschreiben jedoch Systeme, die PHP verwenden, und stellen keine bestätigte Anzahl erfolgreich angegriffener Websites dar.
Wiz war eine von mehreren Organisationen, denen die Entdeckung der vulnerabilities zugeschrieben wurde. Nach Angaben von Wiz arbeitete das Unternehmen vor der öffentlichen Bekanntgabe mit dem PHP-Team, Calif und OpenAI zusammen, um das Ausmaß zu bestimmen, patches zu überprüfen und die Offenlegung zu koordinieren. OpenAI beteiligte sich an der Forschung und der Kontaktaufnahme und bezeichnete die Schwachstellen aufgrund ihrer Schwere und der umfassenden Nutzung von PHP als eines der folgenschwersten Sicherheitsprobleme der jüngeren Vergangenheit.
Laut Wiz bestanden die zugrunde liegenden Schwachstellen bereits seit Jahrzehnten. Der Nachweis, dass sie ausgenutzt werden konnten, erforderte jedoch eine außergewöhnlich komplizierte Abfolge von Schritten nahe den praktischen Grenzen menschlicher Forschung. Wiz erklärte, frontier AI models, also hochleistungsfähige Systeme künstlicher Intelligenz, hätten dieses Hindernis erheblich verringert und dazu beigetragen, aus einer seit Langem bestehenden Schwachstelle einen funktionsfähigen exploit zu entwickeln. Dieses Detail ist wichtig, weil es darauf hindeutet, dass eine Schwachstelle jahrelang in ausgereifter Software verborgen bleiben kann, während Fortschritte bei Forschungswerkzeugen die Entwicklung eines praktisch einsetzbaren Angriffs erleichtern.
Wiz erwartet, dass Angreifer eine massenhafte Ausnutzung versuchen und backdoors oder web shell-Systeme installieren werden. Ein web shell ist ein verborgenes webbasiertes Bedienfeld, das einem Angreifer Fernzugriff auf eine infizierte Website ermöglicht. Die Forscher verglichen die voraussichtliche Herausforderung beim Einspielen von patches mit Log4Shell, der 2021 bekannt gegebenen schweren Schwachstelle in Log4j, einer Java-Komponente zur Aufzeichnung von Softwareaktivitäten. PHP ist in Cloudplattformen, Hostingunternehmen, content-delivery networks und unabhängig verwalteten Servern integriert. Um die Gefährdung zu reduzieren, sind daher Maßnahmen im gesamten Ökosystem erforderlich und nicht nur ein Update einer einzelnen Anwendung. Für WordPress-Betreiber, die dieses Risiko prüfen, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting an.
Websitebetreiber sollten ihren Hostinganbieter fragen, welcher PHP-build ihre Website aktuell bereitstellt und ob sie auf eine der korrigierten releases umgestellt wurde. Ein Update von WordPress, Drupal, Joomla oder Magento allein darf nicht mit dem Austausch der darunterliegenden anfälligen PHP-Software verwechselt werden. Censys hat außerdem php2shell.censys.com eingerichtet, um die vulnerabilities zu verfolgen, während Calif eine technische Darstellung des zeitlichen Ablaufs der Entdeckung im Comicstil veröffentlicht hat. Da eine aktive Ausnutzung bereits gemeldet wurde, ist die Installation des geeigneten PHP-Sicherheitsupdates der entscheidende Schritt, um die Gefährdung zu verringern und vermeidbare Kompromittierungen oder Ausfälle zu verhindern.