PHP-Sicherheitslücken: BSI warnt vor Angriffen binnen Stunden

heute 17:21 Uhr, dts-nachrichtenagentur.de

Zwei kritische Schwachstellen in PHP setzen Betreiber von Webanwendungen unter unmittelbaren Handlungsdruck. Das BSI rechnet nach der Veröffentlichung des Updates mit einer schnellen und breiten Ausnutzung.

PHP-Sicherheitslücken setzen Webseiten unter DruckIn der Programmiersprache PHP sind zwei kritische Sicherheitslücken bekanntgeworden, die das PHP-Entwicklerteam mit 9,2 von 10 Punkten bewertet.

Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik wurden am Mittwoch zahlreiche Webseiten vorsorglich offline genommen, darunter Angebote deutscher Behörden, Kommunen und Einrichtungen.Update gilt als einzige sichere OptionDas PHP-Sicherheitsteam veröffentlichte am Mittwoch gegen 16 Uhr ein Sicherheitsupdate und erklärte, dass es keine vollständigen Abhilfemaßnahmen gebe. Nutzern wurde dringend empfohlen, die Aktualisierung unverzüglich einzuspielen; inzwischen gibt es einen nachgewiesenen Exploit.Zu den betroffenen Open-Source-Projekten zählen unter anderem WordPress, Drupal, Typo3, Joomla, Magento, Nextcloud, pfSense und OPNsense. Nach Angaben von Wordpress nutzt mehr als 40 Prozent aller existierenden Internetseiten das Content-Management-System.Börse verstehen statt raten: live zur US-EröffnungJeden Mittwoch um 15:15 Uhr zeigt die trading-house Börsenakademie live, wie erfahrene Trader Chartmuster, Einstieg und Absicherung zur US-Eröffnung einordnen. 45 Minuten, kein Vorwissen nötig - Börsenwissen seit 1998.Kostenlosen Platz für Mittwoch sichernAnzeige | trading-house BörsenakademieBSI warnt vor Angriffen binnen StundenDas BSI warnte, Angreifer könnten mit Kenntnis solcher Schwachstellen massive Kampagnen gegen IT-Systeme aus unterschiedlichen Bereichen durchführen.

Eine kurzfristige breite Ausnutzung innerhalb weniger Stunden nach dem Erscheinen der Patches werde für wahrscheinlich gehalten.Das Amt verwies zudem auf KI-gestützte Werkzeuge zur Entwicklung von Exploits. Damit könnten Akteure Patches schnell analysieren und daraus Angriffswerkzeuge erzeugen.Bitkom fordert vollständige BestandsaufnahmeFelix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom, riet Betreibern von Online-Anwendungen zu prüfen, ob sie PHP einsetzen, und verfügbare Sicherheitsupdates ohne Verzögerung einzuspielen.

Das gelte besonders für Hoster und IT-Dienstleister mit Systemen für viele Kunden.Unternehmen sollten außerdem untersuchen, wo PHP auch in älteren, nicht mehr unterstützten Versionen eingesetzt werde. Kuhlenkamp verwies auf die Erfahrungen mit Microsoft Exchange und Log4Shell im Jahr 2021, als Kriminelle binnen Stunden weltweit nach verwundbaren Systemen suchten.
Die Warnung betrifft eine zentrale Grundlage des Internets: PHP läuft nicht nur auf einzelnen Webseiten, sondern bildet die technische Basis zahlreicher Content-Management-Systeme und Webanwendungen.

Dadurch kann eine Schwachstelle in der Programmiersprache über viele unterschiedliche Betreiber, Hoster und Dienstleister hinweg relevant werden.Besonders kritisch ist der zeitliche Ablauf. Mit der Veröffentlichung des Sicherheitsupdates werden technische Details zur Lücke grundsätzlich leichter auswertbar. Wenn bereits ein funktionierender Exploit kursiert, verkürzt sich das Zeitfenster für Betreiber zusätzlich. Das erklärt, warum Sicherheitsbehörden nicht auf reguläre Wartungszyklen verweisen, sondern unverzügliche Prüfungen und Aktualisierungen verlangen.Breite Abhängigkeiten erhöhen den HandlungsdruckFür Unternehmen reicht es nicht, nur die sichtbaren Webseiten zu kontrollieren.

PHP kann auch in älteren Anwendungen, internen Portalen, Kundenumgebungen oder ausgelagerten Hosting-Strukturen eingesetzt werden.

Gerade bei komplexen Softwareketten ist eine aktuelle Bestandsaufnahme Voraussetzung dafür, betroffene Systeme schnell zu identifizieren.Die konkrete Bedeutung der Warnung liegt deshalb weniger in der Zahl einzelner Webseiten als in der möglichen Kaskade: Ein kompromittierter Server kann Daten, Zugangsdaten oder weitere Systeme gefährden.

Betreiber sollten Versionen inventarisieren, die vom PHP-Team bereitgestellten Aktualisierungen einspielen, externe Dienstleister einbeziehen und nach verdächtigen Zugriffen suchen.

Nicht mehr unterstützte PHP-Versionen erfordern gegebenenfalls eine technische Migration, weil dort ein reguläres Sicherheitsupdate fehlen kann.

Pressespiegel: Einigkeit, Unterschiede und offene Fragenn-tv: „Hacker starten Angriffe: Kritische Fehler in der Programmiersprache PHP machen Websites weltweit angreifbar“ (21.10.2026)Der Bericht bestätigt die zwei kritischen Schwachstellen und nennt die Bezeichnung PHP2Shell sowie die beiden CVE-Nummern. Sein Schwerpunkt liegt auf bereits gestarteten Angriffen und der weltweiten Reichweite.WDR: „Welle an Cyber-Angriffen droht: BSI warnt vor kritischer Schwachstelle in Web-Anwendungen“ (21.10.2026)Der WDR stellt die Warnung des BSI und die Gefährdung von Webanwendungen in den Mittelpunkt. Damit ergänzt der Beitrag die technische Darstellung um die behördliche Einschätzung einer möglichen schnellen Ausnutzung.Beide Berichte unterstreichen die Dringlichkeit des Updates; Unterschiede ergeben sich vor allem beim Schwerpunkt zwischen konkreten Angriffen und der behördlichen Warnung vor einer breiten Ausnutzung.