CVE-2026-109618 und CVE-2026-109619 ermöglichen die Ausführung von Code aus der Ferne; NOS bewertete beide mit 9,2 auf einer Skala von 1 bis 10. Laut PHP Foundation erhalten nur PHP 8.2 und neuer noch Patches.
Finnland nahm alle Behördenwebsites offline, das französische Innenministerium meldete nicht erreichbare Seiten lokaler Verwaltungen. Auch die niederländische Cybersicherheitsbehörde ging vorsorglich offline.
Cloudflares Technologievorstand Dane Knecht sprach von ersten Angriffen, Sansec erwartete massenhafte Attacken innerhalb von 15 Minuten nach der Veröffentlichung. Matthijs Koot sagte, Exploit-Code zirkuliere bereits.
Die PHP-Entwickler bestätigten das Update am Mittwoch, 21. Oktober, laut NOS erschien es gegen vier Uhr nachmittags. Wordfence warnte, automatische Updates würden den Fix nicht einspielen.
Zwei kritische Schwachstellen in PHP, der Programmiersprache, auf der ein großer Teil des Webs basiert, veranlassten Administratoren in ganz Europa am Mittwoch, 21. Oktober, Websites offline zu nehmen. Die PHP-Entwickler hatten am Dienstag, 20. Oktober, gewarnt, dass ein Patch bevorstehe. Am frühen Mittwoch erschienen auf X Screenshots, die die Lücken beschrieben, nachdem Details in einem bekannten Hackerforum veröffentlicht worden waren; laut NRC ermöglichen diese Angaben Hackern den Versuch, die Lücke zu finden und auszunutzen. Die Entwickler bestätigten später, dass ein Korrektur-Update verfügbar sei, und NOS berichtete, es sei gegen vier Uhr nachmittags erschienen – zu einem Zeitpunkt, an dem die Lücke offenbar bereits seit Stunden ausgenutzt worden war.
Die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden laut N-tv unter dem Namen PHP2Shell geführt. Sie erlauben Kriminellen, aus der Ferne eigenen Code auf betroffenen Servern auszuführen, was die vollständige Kontrolle über eine Website oder Zugriff auf Kundendaten ermöglichen könnte. NOS bewertete jede Lücke mit 9,2 auf der CVE-Skala, die von 1 bis 10 reicht. Die PHP Foundation erklärte, die Lücken beträfen alle PHP-Installationen, die Webanfragen bedienen, bis zurück zu PHP 5 aus dem Juli 2004, doch nur PHP 8.2 und neuer erhielten noch Patches. Wordfence warnte, automatische Updates würden den Fix nicht einspielen, sodass Website-Betreiber klären müssten, wer PHP auf ihren Servern aktualisiert.
Daten aus dem Artikeltext
Mehrere Regierungen handelten vorsorglich. Finnland nahm alle seine Behördenwebsites offline, während das französische Innenministerium mitteilte, die Websites der lokalen Verwaltungsstellen seien vorübergehend nicht erreichbar. In den Niederlanden gingen DigiD, Thuisarts.nl und die Website der Tweede Kamer offline, ebenso Teile des Nationalen Cybersicherheitszentrums (NCSC) sowie Seiten von Medien und Parteien. In Rotterdam waren die Informationsseite Rijnmond Veilig, der Verkehrsbetrieb RET und der Hafen Rotterdam offline; der Hafen erklärte, es gebe keine operativen Probleme. In Belgien waren die Schulplattform Smartschool, die Titel Libelle und Knack sowie mehrere Kliniken im Raum Antwerpen nicht erreichbar, während in Deutschland die Seiten Baden-Württembergs, der Stadt Mainz, der Berliner Charité und des Bundesbauministeriums abgeschaltet wurden. Auch die Wikimedia Foundation fuhr einige ihrer Systeme herunter.
Dane Knecht, Technologievorstand von Cloudflare, erklärte auf X, das Unternehmen aktualisiere als Übergangslösung seine Firewall-Regeln.
„Wir sehen erste Angriffe aufkommen und passen die Gegenmaßnahmen an, sobald neue Angriffsvektoren auftauchen.“
Er betonte, diese Maßnahme sei nur vorübergehend, und drängte Betreiber, die Version zu installieren, sobald sie erscheine. Die Sicherheitsfirma Sansec schrieb vor den Fixes, sie erwarte massenhafte Angriffe innerhalb von 15 Minuten nach der Veröffentlichung. Die Sicherheitshinweise der PHP Foundation waren deutlich in der Bewertung der Optionen.
„Es gibt keine vollständigen Gegenmaßnahmen, das Update ist die einzige sichere Wahl.“
NOS merkte an, das Filtern verdächtigen Datenverkehrs könne nicht jeden Versuch stoppen, weshalb viele Betreiber ihre Seiten lieber abschalteten, als auf den Patch zu warten.
Lukasz Olejnik, unabhängiger Sicherheitsberater und Gast-Senior-Forschungsstipendiat am King's College London, brachte die Lage drastisch auf den Punkt.
„Das ist kein Probealarm.“
Er verglich PHP mit kritischer Infrastruktur und warnte, Millionen Systeme könnten betroffen sein; der schlimmste Fall wären sich selbst verbreitende Schadprogramme über weite Teile des Internets. Matthijs Koot von Bureau Veritas Cybersecurity sagte am Mittwochmorgen, er habe seine eigene Website offline genommen, und Exploit-Code zirkuliere bereits. Der Internetexperte Bert Hubert sagte, offline zu sein sei besser als gehackt zu werden, und er unterstützte die Entscheidung, DigiD abzuschalten. Das Cybersicherheitsunternehmen Huntress schrieb, PHP sei überall zu finden, und verwies darauf, dass es WordPress-, Drupal-, Joomla- und Magento-Seiten, Shared-Hosting-Plattformen und viele Programme antreibe, die es nicht offen ausweisen.
Pollar ist kostenlos und ohne Werbung im Text. Getragen wird es von seinen Mitgliedern.
Pollar unterstützenDigital · Rotterdam und Antwerpen
Zwei kritische Schwachstellen in der Programmiersprache PHP haben am Mittwoch, 21. Oktober, dazu geführt, dass Behörden, Kliniken und öffentliche Websites in mehreren europäischen Ländern offline gingen. Die PHP-Entwickler veröffentlichten am Nachmittag ein Korrektur-Update.
KI-Text auf Grundlage von Berichten von The Independent, NRC, AD.nl und weiteren Medien. Geändert .