Seit Mittwoch, dem 21. Oktober, warnt das BSI vor zwei kritischen Lücken in PHP. PHP ist die Programmiersprache, mit der die meisten Firmenwebseiten laufen, etwa mit WordPress, TYPO3, Joomla oder einem Onlineshop. Bei mir kamen am Morgen danach die ersten Fragen: Müssen wir etwas tun? Ist die Firewall betroffen? Muss ich unsere Agentur anrufen?
Kurz gesagt: Betroffen sind Webserver, auf denen PHP läuft. Ihre Arbeitsplätze und Microsoft 365 sind es nicht. Für Ihre Webseite sollten Sie sich aber eine Bestätigung holen.
Ein Angreifer braucht kein Passwort. Eine einzige Anfrage an die Webseite kann reichen, um dort eigenen Code auszuführen.
Was passiert ist
Die beiden Lücken haben die Nummern CVE-2026-109618 und CVE-2026-109619 und laufen auch unter dem Namen „PHP2Shell“. Das BSI stuft sie als kritisch ein. Wer sie ausnutzt, kann auf dem Webserver eigenen Code ausführen, ohne sich anzumelden. Damit lassen sich Seiten verändern, Daten aus Kontaktformularen oder Shops abgreifen oder der Server für weitere Angriffe nutzen.
Die PHP-Entwickler haben am 21. Oktober die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Für die älteren Versionen 7.4, 8.0 und 8.1 gibt es nur Korrekturen im Quelltext, die ein Hoster selbst einbauen muss. Noch ältere Versionen bekommen von den PHP-Entwicklern keine Korrektur mehr.
Dazu kommt: Angriffe gab es schon vor dem Update. Amazon hat schon am 17. Oktober einen Versuch beobachtet, vier Tage bevor die Lücken öffentlich bekannt wurden.
Wer das Update einspielen muss
Das hängt davon ab, wo Ihre Webseite liegt.
- Webhosting oder Managed Server bei einem Anbieter wie IONOS, Strato oder Hetzner: PHP pflegt der Anbieter, Sie und Ihre Agentur kommen da gar nicht heran. Hetzner hat die Updates zum Beispiel am Abend des 21. Oktober eingespielt, für ältere Versionen am Morgen danach.
- Eigener oder gemieteter virtueller Server: Hier spielt niemand automatisch etwas ein. Zuständig ist, wer den Server betreut, also Sie selbst, Ihre Agentur oder Ihr IT-Dienstleister.
- Die Webseite selbst mit WordPress, TYPO3 und Erweiterungen: Die betreut meist Ihre Agentur. Für PHP ist sie beim Hosting nicht zuständig. Sie sollte aber prüfen, ob auf der Seite seit dem 17. Oktober etwas Ungewöhnliches passiert ist.
Drei Fragen an Ihren Anbieter oder Ihre Agentur
- Welche PHP-Version nutzt unsere Webseite, und ist sie seit dem 21. Oktober aktualisiert?
- Wurde die Seite auf Spuren eines Angriffs geprüft, also auf neue Benutzer, geänderte Dateien, unbekannte Skripte und auffällige Einträge in den Protokollen?
- Läuft bei uns noch PHP 8.1 oder älter? Wenn ja, wann wird auf eine aktuelle Version umgestellt?
Lassen Sie sich die Antworten schriftlich geben, eine Mail reicht. Dann wissen Sie auch später noch, wer was geprüft hat.
Was sonst noch mit PHP läuft
Die Webseite ist oft nicht das Einzige. Denken Sie auch an:
- Onlineshops und Buchungssysteme
- Nextcloud oder andere Dateiablagen im Browser
- Webmail und phpMyAdmin
- Intranetseiten und kleine Werkzeuge, die jemand irgendwann für Sie gebaut hat
- Geräte mit Weboberfläche: Die Firewalls OPNsense und pfSense zum Beispiel laufen mit PHP. Ihre Oberfläche gehört nicht ins Internet. Das Update des Herstellers spielen Sie trotzdem ein, sobald es kommt.
Was nicht betroffen ist
Windows-PCs, Microsoft 365 und Windows-Server ohne Webanwendung haben mit dieser Lücke nichts zu tun. Bei Firewalls und anderen Geräten hilft ein Blick in die Hinweise des Herstellers.
Das heißt nicht, dass dort alles in Ordnung ist. Auch eine Firewall braucht regelmäßig Updates, nur eben aus anderen Gründen. Wann die letzte eingespielt wurde, sollte Ihr IT-Dienstleister ohne langes Suchen sagen können.
Sie wissen nicht, wo Ihre Webseite liegt?
Schicken Sie mir die Adresse Ihrer Webseite. Ich sehe nach, wo sie läuft und wen Sie fragen müssen.
Webseite prüfen lassen