PHP-Lücken: Sicherheitsbehörden raten zum Abschalten
Am Mittwoch nahmen Behörden, Kliniken, Hochschulen und Regierungen in mehreren europäischen Ländern ihre Websites vorsorglich vom Netz. Zwei kritische PHP-Lücken können Codeausführung ohne Anmeldung erlauben, mehrere Sicherheitsbehörden rieten zum Abschalten, wo kein sofortiges Update möglich ist. Zugleich meldeten Entwicklerplattformen Angriffe auf die Zugangsdaten ihrer Kunden.
Das Wichtigste in Kürze
- Mehrere Sicherheitsbehörden rieten zum Abschalten. CISA und CERT-EU empfahlen, PHP-Systeme vom Netz zu nehmen, wenn das Update nicht sofort möglich ist.
- Die Fehler steckten seit mehr als einem Jahrzehnt im Code. Nach Angaben von Wiz Research halfen Frontier-KI-Modelle, sie zu finden und ausnutzbar zu machen.
- Entwicklerplattformen meldeten Einbrüche. Bei Zeabur flossen Daten von 321.810 Konten ab, Railway empfahl allen Nutzern, ihre dort gespeicherten Schlüssel zu rotieren.
Verwandt: OpenSSL: Was Hersteller jetzt nachweisen müssen · Simon Gooch: KI-Agenten brauchen einen getesteten Stopp
Websites im vorsorglichen Stillstand
Für 16 Uhr deutscher Zeit war am Mittwoch ein Patch für zwei kritische Lücken in PHP angekündigt. Das BSI forderte, ihn unverzüglich zu diesem Zeitpunkt zu installieren. CERT.at riet, PHP-Systeme zu finden und ein Update-Zeitfenster für 16:00 Uhr einzuplanen.
PHP wird laut W3Techs von 69,3 Prozent aller Websites genutzt, deren serverseitige Programmiersprache bekannt ist. Quelle
In Berlin waren zwischenzeitlich die Websites des Robert-Koch-Instituts, des BND, des BKA, des Zolls und der Bundespolizei abgeschaltet. In Brandenburg fehlten unter anderem das Ernst von Bergmann Klinikum, die Universität Potsdam und die Internetwache der Polizei. Einige Portale waren nach 17 Uhr wieder online. Ein Sprecher des Bundesdigitalministeriums sagte, das ITZBund als IT-Dienstleister des Bundes habe mehrere Websites vorsorglich vom Netz genommen. Sicherheitsvorfälle seien nicht bekannt.
In Nordrhein-Westfalen waren die Websites vieler Kliniken nicht erreichbar, unter anderem in Köln, Bonn, Düsseldorf und Bielefeld. Beim Landesamt für Zentrale Polizeiliche Dienste fielen Onlinedienste wie die Online-Anzeige über Stunden aus. Alle Betroffenen betonten eine vorsorgliche Maßnahme.
Die Universität Wien schaltete zentrale IT-Services ab und brachte sie nach dem Update schrittweise zurück. Das niederländische NCSC nahm seine eigene Website vom Netz. Nach Angaben von Reuters folgten der Hafen Rotterdam, das Regierungsportal Overheid.nl und zahlreiche Kliniken. In Frankreich gingen die Websites der Präfekturen offline, in Finnland die öffentlichen Webdienste der Regierung. Die tschechische Regierung folgte um 19 Uhr Ortszeit. Die Wikimedia Foundation nahm Dienste wie Toolforge und Cloud VPS bewusst offline. In Japan nannte Premierministerin Sanae Takaichi die vorübergehende Abschaltung von Website-Funktionen eine wirksame Möglichkeit, das Risiko zu senken.
Was ist Remote Code Execution? Remote Code Execution bezeichnet eine Schwachstelle, über die ein Angreifer aus der Ferne eigenen Programmcode auf einem fremden System ausführt. Ist dafür keine Anmeldung nötig, genügt der Zugriff auf den betroffenen Dienst. Bei PHP2Shell betrifft das alle PHP-Installationen, die Webanfragen bedienen.
Abschalten als offizielle Empfehlung
Die US-Cybersicherheitsbehörde CISA riet, PHP-Systeme sofort zu patchen. Gemeinsam mit NSA und FBI warnte sie, Systeme offline zu nehmen, wenn sie sich nicht zügig absichern lassen. CERT-EU empfahl, erreichbare Anwendungen vom öffentlichen Netz zu isolieren, bis der Fix eingespielt und verifiziert ist. Das britische NCSC forderte sofortiges Handeln und den Wechsel auf unterstützte Versionen. Das Schweizer BACS lenkte den Blick auf Anwendungen und Geräte, die PHP als Komponente nutzen.
| Fakt | Quelle |
|---|---|
| NSA, FBI und CISA forderten Organisationen gemeinsam auf, die beiden Lücken zu schließen und warnten, Systeme sollten offline genommen werden, wenn sie nicht zügig abgesichert werden können. | Quelle |
| CERT-EU rät, aus dem Internet erreichbare Anwendungen vom öffentlichen Netz zu isolieren, bis der Fix eingespielt und verifiziert ist, wenn sofortiges Patchen nicht möglich ist. | Quelle |
| CERT.at empfahl, Systeme mit PHP zu finden, ein Update-Zeitfenster für 16:00 Uhr einzuplanen und wenn möglich in Erwägung zu ziehen, Systeme herunterzufahren. | Quelle |
| Das britische NCSC forderte Organisationen zu sofortigem Handeln auf; betroffen seien Organisationen mit jeder PHP-Version, wer ältere Versionen nutzt, solle auf eine unterstützte Version wechseln. | Quelle |
| Das Schweizer Bundesamt für Cybersicherheit BACS rät, betroffene Systeme unverzüglich zu aktualisieren und neben Webservern auch Anwendungen und Geräte zu prüfen, die PHP als Komponente nutzen. | Quelle |
PHP läuft auf 69,3 Prozent aller Websites, deren serverseitige Programmiersprache bekannt ist. Betroffen sind alle PHP-Installationen, die Webanfragen bedienen. PHP 8.1 und älter erhalten keine offiziellen Fix-Versionen. Für 7.4, 8.0 und 8.1 stellte das PHP-Sicherheitsteam minimale Quellcode-Backports bereit, also Korrekturen, die als Quelltext in alte Versionszweige übertragen wurden. Einige Distributionen und LTS-Anbieter liefern zusätzlich korrigierte Pakete.
Die Details waren am Dienstag vor der koordinierten Veröffentlichung durchgesickert. Das Embargo, die vereinbarte Sperrfrist bis zur Veröffentlichung, lag nach Angaben von watchTowr auf Donnerstag. Eine Ausnutzung hatte die CISA nach eigener Aussage bis zur Veröffentlichung nicht beobachtet.
Alte Fehler und KI-Werkzeuge
Den Spitznamen PHP2Shell trägt das Lückenpaar in Anlehnung an Log4Shell. Entdeckt haben es Wiz.io und Calif.io, beteiligt war OpenAI. Nach Angaben von Wiz Research halfen Frontier-KI-Modelle, also die jeweils leistungsstärksten KI-Systeme, die Lücken zu finden und ausnutzbar zu machen. Die Fehler steckten demnach seit mehr als einem Jahrzehnt im Code, betroffen sind Versionen bis zurück zu PHP 5.4. Ohne KI hätte die Angriffskette nach Einschätzung von Wiz an der Grenze dessen gelegen, was menschliche Forscher praktisch leisten können.
Am selben Tag schloss GitLab eine Lücke im Kompilieren regulärer Ausdrücke, also von Suchmustern für Text. Sie trägt den CVSS-Wert 10.0 und erlaubt nicht angemeldeten Angreifern unter bestimmten Bedingungen Codeausführung auf dem Server. Betroffen sind alle Versionen ab 7.0. Version 7.0 erschien im Juni 2014, die Lücke reicht damit zwölf Jahre zurück. Node.js veröffentlichte Updates für die Zweige 22.x, 24.x und 26.x, unter anderem gegen eine Remote Code Execution im Brotli-Decoder für komprimierte Daten.
Angriffe auf Entwicklerplattformen
Die Version 1.107.0 der KI-Gateway-Bibliothek LiteLLM war kompromittiert. Alle Wheels auf PyPI, die fertigen Installationspakete im Python-Paketverzeichnis, enthielten einen Credential Stealer, ein Programm zum Abgreifen von Zugangsdaten. Er lief bei jedem Start des Python-Interpreters und sammelte unter anderem SSH-Schlüssel, Cloud-Zugangsdaten für AWS, Azure und Google Cloud sowie Kubernetes-Tokens. LiteLLM bestätigte den Vorfall als eingedämmt. Schon im März 2026 waren die Versionen 1.82.7 und 1.82.8 kompromittiert.
| Fakt | Quelle |
|---|---|
| Die Version 1.107.0 der KI-Gateway-Bibliothek LiteLLM war kompromittiert: Alle Wheels auf PyPI enthielten einen Credential Stealer und einen Nachlader für Fremdcode, die bei jedem Start des Python-Interpreters automatisch laufen, ohne dass LiteLLM importiert werden muss. Betroffen waren auch die Docker-Tags latest, main-latest und main-stable. | Quelle |
| Die Hosting-Plattform Railway meldete, ein Unbefugter habe möglicherweise auf verschlüsselte Umgebungsvariablen von Kunden zugegriffen und einen Teil davon entschlüsselt. Railway pausierte alle Deployments und empfahl allen Nutzern, sämtliche dort gespeicherten Umgebungsvariablen, API-Schlüssel und Registry-Zugangsdaten zu rotieren. | Quelle |
| Zeabur kündigte im eigenen Blog die Einstellung an und sprach vom zweiten Sicherheitsvorfall; erste Dienste enden am 1. Dezember 2026, alle dedizierten Server und geteilten Cluster bis 31. Dezember 2026. | Quelle |
| Laut PingCAP enthielten die kopierten Datensätze unter anderem Nutzernamen, E-Mail-Adressen, Vertrags- und Preisdaten sowie eine Tabelle mit verschlüsselten API-Schlüsseln für TiDB Cloud; die Behauptungen der Angreifer über weitere Zugangsdaten hat PingCAP nicht bestätigt. | Quelle |
Bei der Hosting-Plattform Railway hat ein Unbefugter nach Angaben des Unternehmens möglicherweise auf verschlüsselte Umgebungsvariablen von Kunden zugegriffen und einen Teil davon entschlüsselt. Umgebungsvariablen sind Konfigurationswerte, die eine Plattform an Anwendungen übergibt. Railway pausierte alle Deployments und empfahl allen Nutzern, sämtliche dort gespeicherten Variablen, API-Schlüssel und Registry-Zugangsdaten zu rotieren. Das Unternehmen ordnet den Vorfall einer Angriffsserie auf Plattformfirmen zu, deren Ziel Anbieter von KI-Inferenz sind.
Die Plattform Zeabur bestätigte schon am 17. Oktober ihren zweiten Sicherheitsvorfall in zwei Monaten. Ein Angreifer nutzte im Klartext gespeicherte interne Zugangsdaten und erbeutete Daten von 321.810 Konten und rund 3,2 Millionen Datensätze mit Umgebungsvariablen. Die Admin-Tokens waren seit Januar 2024 nicht rotiert worden. Die Plattform wird bis Ende Dezember 2026 abgeschaltet. Bei PingCAP griff ein Unbefugter zwischen dem 09.09. und dem 07.10.2026 mit gestohlenen Service-Account-Zugangsdaten auf interne Systeme zu und kopierte unter anderem verschlüsselte API-Schlüssel für TiDB Cloud.
Drei Vorkehrungen bis zur nächsten kritischen Lücke
Für PHP2Shell waren zum Zeitpunkt der BSI-Warnung keine bestätigten Ausnutzungen bekannt, es gab unbestätigte Berichte über existierende Exploits. Bis zur nächsten Lücke dieser Art können IT-Verantwortliche drei Dinge vorbereiten.
– PHP-Inventur über den Webserver hinaus. Das BACS riet, auch Anwendungen und Geräte zu prüfen, die PHP als Komponente nutzen. Eine aktuelle Liste dieser Systeme verkürzt die Suche im Ernstfall. – Notbetrieb für Website und Portale. Am Mittwoch fiel die Online-Anzeige der NRW-Polizei über Stunden aus, die Internetwache der Brandenburger Polizei und viele Klinikseiten waren nicht erreichbar. Das niederländische NCSC verwies während der Abschaltung auf advisories.ncsc.nl und LinkedIn. Solche Ausweichwege für Bürger und Kunden sollten vor dem Alarm feststehen. – Geheimnisse mit Laufzeit. Railway empfahl allen Nutzern, ihre gespeicherten Schlüssel zu rotieren. Bei Zeabur liefen die Admin-Tokens nie ab und blieben seit Januar 2024 unverändert. Kurze Laufzeiten und regelmäßige Rotation begrenzen den Schaden, wenn ein Plattformanbieter Daten verliert. Gestohlene oder erratene Passwörter zählen auch zu den Einfallstoren der Ransomware-Gruppe SafePay, vor der FBI, CISA und das LKA Rheinland-Pfalz am Dienstag gemeinsam warnten.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Welche PHP-Versionen schließen PHP2Shell?
Das PHP-Projekt veröffentlichte am 21.10.2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Sie beheben die Schwachstellen CVE-2026-109618 und CVE-2026-109619.
Welche GitLab-Versionen sind abgesichert?
Fix-Versionen sind 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13. GitLab.com ist bereits gepatcht, selbst betriebene Installationen sollen sofort aktualisieren.
Welche LiteLLM-Artefakte waren kompromittiert?
Neben den Wheels der Version 1.107.0 auf PyPI waren die Docker-Tags latest, main-latest und main-stable betroffen. Das Paket 1.107.0 wurde von PyPI zurückgezogen, das Docker-Image v1.107.0 entfernt. Die Tags latest, main-latest und main-stable zeigen wieder auf sichere Images.
Lesetipps der Redaktion
LesetippPHP-Exploits sind öffentlich, Hoster müssen jetzt patchenLesetippGoogle und Apple vertrauten erratbaren eMudhra-SchlüsselnLesetippWenn der Security-Stack schneller wächst als die Strategie
Bildquelle: KI-generiert (Oktober 2026)
Mehr aus dem MBF Media Netzwerk
cloudmagazinGoogle kontert Meta mit Spitzen-KI zum halben Preis
MyBusinessFutureNachfolge: Käufer brauchen die Bankzusage vor dem Termin
Digital ChiefsMicrosoft: Deutschland ist EU-Spitze bei Cyberangriffen
Mehr aus dem MBF Media Netzwerk
cloudmagazinGoogle kontert Meta mit Spitzen-KI zum halben Preis
MyBusinessFutureNachfolge: Käufer brauchen die Bankzusage vor dem Termin
Digital ChiefsMicrosoft: Deutschland ist EU-Spitze bei Cyberangriffen
