BSI warnt vor PHP2Shell-Lücken: Sofortmassnahmen für Serverbetreiber

Ausgangslage

Am Mittwochnachmittag wurden weltweit zahlreiche Websites vorsorglich abgeschaltet, nachdem das BSI zwei Sicherheitslücken in PHP bekannt gab. Die Sicherheitslücken, die mit den Bezeichnungen CVE-2026–109618 und CVE-2026–109619 versehen sind, weisen auf der CVSS-Skala einen Gefahrenwert von 9,2 auf. Das BSI stufte die Bedrohung als „3 / Orange“ ein und empfahl, betroffene Server vorübergehend vom Internet zu trennen.

Die PHP2Shell-Lücken wurden erstmals am 11. August 2026 von den Sicherheitsunternehmen Calif und OpenAI entdeckt. Die Offenlegung erfolgte über die Initiative „Patch the Planet“ von OpenAI, die auf die Koordination von Sicherheitsupdates spezialisiert ist. Die Lücken wurden als „Use-After-Free“-Fehler klassifiziert, was bedeutet, dass Angreifer nach einem Speicherüberlauf auf verwaisten Speicher zugreifen können, um Schadcode auszuführen oder sensible Daten auszulesen.

Die Lücken ermöglichen es Angreifern, Schadcode auszuführen oder sensible Daten aus dem Arbeitsspeicher auszulesen. Dies stellt eine erhebliche Bedrohung für die Sicherheit von Websites und Anwendungen dar. Unternehmen sollten die Warnung des BSI ernst nehmen und umgehend Massnahmen ergreifen, um ihre Systeme zu schützen.

Hintergrund

Die Lücken, zusammengefasst unter dem Namen „PHP2Shell“, ermöglichen Speicherüberläufe, die Angreifern den Zugriff auf Server-Arbeitsspeicher gestatten. Dadurch können sie Schadcode ausführen oder sensible Daten auslesen. Die Lücken betreffen PHP-Versionen ab 5.4 und sind besonders kritisch, da PHP die Basis für rund 70 Prozent aller Websites bildet.

Damals wurden sie jedoch nicht behoben, da kein bekannter Angriffspfad bestand. Die Entwicklung von KI-gestützten Tools wie GPT-5.6 Sol und Gemini 4 Argon hat es ermöglicht, die Lücken innerhalb weniger Stunden auszunutzen.

Einordnung für die Schweiz

In der Schweiz könnten zahlreiche Unternehmen betroffen sein, da viele Websites und Anwendungen auf PHP basieren. Besonders gefährdet sind Server, die mit dem Apache-Modul „mod_php“ betrieben werden. Das BSI empfiehlt dringend, die Server sofort zu aktualisieren oder vom Netz zu nehmen.

In der Schweiz sind viele Unternehmen und öffentliche Einrichtungen auf PHP-basierte Systeme angewiesen. Die Abschaltung von Websites in Finnland, den Niederlanden und Grossbritannien zeigt, dass auch in der Schweiz mit ähnlichen Massnahmen zu rechnen ist. Unternehmen sollten ihre Systeme umgehend prüfen und aktualisieren, um sich vor möglichen Angriffen zu schützen.

Was das für Unternehmen bedeutet

Unternehmen, die PHP-basierte Websites oder Anwendungen betreiben, müssen umgehend handeln. Das PHP-Entwicklungsteam hat Versionen herausgegeben, in denen Fehler korrigiert wurden. Diese Versionen beheben das Problem im Zentrum der Programmiersprache. Auch ältere Versionen wurden rückportiert. Unternehmen sollten ihre Server sofort aktualisieren oder alternative Schutzmassnahmen ergreifen.

Unternehmen sollten auch ihre Drittanbieter-Software und Sicherheits-Appliances überprüfen, da diese ebenfalls betroffen sein könnten. Das niederländische Nationale Cybersicherheitszentrum (NCSC-NL) hat eine fortlaufend ergänzte Übersicht über betroffene Produkte veröffentlicht. Unternehmen sollten diese Übersicht regelmässig konsultieren, um sicherzustellen, dass sie alle notwendigen Massnahmen ergreifen.

Ausblick

Die Entdeckung der Lücken zeigt, wie KI-gestützte Tools sowohl für Angreifer als auch für Verteidiger eine neue Dimension in der Cybersicherheit eröffnen. Unternehmen müssen ihre Sicherheitsstrategien anpassen, um solchen Bedrohungen zukünftig besser begegnen zu können.

Die Entwicklung von KI-gestützten Tools wird die Cybersicherheit weiterhin verändern. Unternehmen sollten in die Schulung ihrer Mitarbeiter investieren und regelmässig Sicherheitsaudits durchführen, um ihre Systeme zu schützen. Die Zusammenarbeit mit Sicherheitsunternehmen und die Nutzung von KI-gestützten Sicherheitslösungen können ebenfalls dazu beitragen, die Sicherheit von Websites und Anwendungen zu erhöhen.

Einordnung

Die PHP2Shell-Lücken sind besonders kritisch, da sie direkt in der PHP-Laufzeitumgebung liegen. Dies bedeutet, dass selbst fehlerfrei programmierte Anwendungen wie WordPress oder Drupal verwundbar sind. Die Lücken ermöglichen Angreifern, Schadcode auszuführen oder sensible Daten aus dem Arbeitsspeicher auszulesen.

Was das für KMU bedeutet

Für Schweizer KMU bedeutet dies, dass sie ihre PHP-basierten Websites und Anwendungen umgehend prüfen und aktualisieren müssen. Besonders gefährdet sind Server, die mit dem Apache-Modul „mod_php“ betrieben werden. Unternehmen sollten ihre Server sofort aktualisieren oder alternative Schutzmassnahmen ergreifen, um sich vor möglichen Angriffen zu schützen.