PHP2Shell: Gigantische Web-Lücke – deutsche Behörden ziehen den Stecker!

Zwei kritische Sicherheitslücken in der Programmiersprache PHP haben in dieser Woche Regierungen, Konzerne und Behörden rund um den Globus aufgeschreckt. Unter dem Namen „PHP2Shell“ erlauben sie Angreifern, aus der Ferne Schadcode auf Webservern auszuführen. In Deutschland gilt beim BSI die Warnstufe Orange. Erste Städte haben ihre Internetseiten vorsorglich abgeschaltet.

Das Fundament des Internets hat Risse

PHP ist quelloffen und zählt seit Jahrzehnten zu den wichtigsten Bausteinen des Netzes. Blogs, Onlineshops, Nachrichtenportale und Verwaltungsseiten laufen darauf. Genau deshalb ist der Schreck so groß.

Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Auf der zehnstufigen CVSS-Skala erhalten sie jeweils den Wert 9,2, also „kritisch“. Laut Fachberichten stecken die Fehler in der Speicherverwaltung und in der Fehlerbehandlung von PHP. Betroffen seien die Versionen 5.4 bis 8.5, und damit eine Software-Generation, die mehr als ein Jahrzehnt zurückreicht. Die Lücken wurden am 20. Oktober angekündigt, einen Tag später folgten die Patches: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Ein Angriff klappt nicht auf Anhieb. Oft brauche es Tausende Anfragen, heißt es. Die Entdecker vom Sicherheitsunternehmen Calif hätten trotzdem gezeigt, wie sie einen Server mit dem verbreiteten Framework Laravel in nur 38 Sekunden übernehmen konnten.

Hacker waren schneller als die Warnung

Besonders brisant ist eine Beobachtung von Amazon. Nach Angaben des Konzerns hat sein Frühwarnsystem MadPot schon Angriffsversuche registriert, bevor die Lücken öffentlich bekannt waren. Fachleute datieren die ersten Attacken auf den 17. Oktober, vier Tage vor der Veröffentlichung. Wie die Angreifer an ihr Wissen kamen, sei laut Amazon noch unklar.

Die Reaktion in Washington fiel deutlich aus. Die NSA rät, betroffene Systeme vom Netz zu nehmen, falls sie sich nicht sofort aktualisieren lassen. Angreifer könnten sonst direkt auf Dateisysteme und Datenbanken zugreifen. Auch das FBI warnte. Ähnliche Hinweise kamen aus Singapur, Großbritannien, Australien, Kanada und von der EU.

Abgeschaltete Rathäuser statt digitaler Vorreiter

Hierzulande traf die Warnung auf eine Verwaltung, die ohnehin nicht als Vorbild der Digitalisierung gilt. Berichten zufolge gingen in Nordrhein-Westfalen ganz oder teilweise Angebote von Bonn, Düsseldorf, Duisburg und Aachen vom Netz. Auch in Bayern, Berlin und Brandenburg schalteten Einrichtungen ihre Seiten ab oder schränkten sie ein. Wer die Internetseite des baden-württembergischen Innenministeriums aufrief, bekam eine Sicherheitswarnung im Browser angezeigt.

Das ist eine ernüchternde Bilanz. Seit Jahren verspricht die Politik einen „digitalen Staat“, und im Ernstfall bleibt oft nur der Griff zum Stecker. Erinnerungen werden wach an „Log4Shell“ im Dezember 2021. Damals rief das BSI sogar die höchste Warnstufe Rot aus.

KI als Retter und als Brandbeschleuniger

Bemerkenswert ist, wer die Lücken gefunden hat. Laut Google setzte die konzerneigene Sicherheitssparte Wiz KI-Modelle ein, um die Schwachstellen aufzuspüren. Die KI Gemini habe außerdem Angriffe simuliert und Patches überprüft. OpenAI erklärte, Forscher hätten mit Hilfe seiner Modelle ebenfalls kritische Lücken entdeckt. Zwei Monate lang habe das Unternehmen im Hintergrund eine Allianz aus Entwicklern und Sicherheitsfirmen koordiniert. Der ChatGPT-Hersteller zählt die Fehler zu den gravierendsten Sicherheitsproblemen der jüngeren Vergangenheit.

Doch die Medaille hat zwei Seiten. Was Verteidigern hilft, kann ebenso Kriminellen in die Hände spielen. Das räumt sogar OpenAI selbst ein. Cloudflare filtert inzwischen verdächtige Anfragen über seine Web-Firewall, aber das ist lediglich eine zusätzliche Schutzschicht. Ein Update ersetzt sie nicht.

Die unbequeme Lehre

Der Fall führt vor Augen, wie verwundbar eine Welt ist, in der Daten, Geschäfte und Vermögen fast vollständig digital verwaltet werden. Europa schaut zu, während amerikanische Tech-Riesen die Brandmauer hochziehen. Von der viel beschworenen digitalen Souveränität ist wenig zu sehen. Wer Vorsorge ernst nimmt, sollte deshalb nicht alles einer Infrastruktur anvertrauen, die sich per Schadcode aushebeln lässt. Physisches Gold und Silber können als Beimischung in einem breit gestreuten Vermögen eine sinnvolle, greifbare Ergänzung sein.

Hinweis: Dieser Beitrag stellt keine Anlageberatung dar. Jeder Leser sollte eigenständig recherchieren und trägt für seine Anlageentscheidungen selbst die Verantwortung.