Das Europäische Computer-Notfallteam (CERT-EU) mit der Aufforderung, Websites und Anwendungen offline zu nehmen. In der Programmiersprache PHP wurden Sicherheitslücken entdeckt
APA-Images / ANP / ROB ENGELAAR
Auch Österreich betroffen
PHP-Sicherheitslücken – Millionen Webseiten in Gefahr
Cyber-Alarm im Internet! Zwei schwere Sicherheitslücken gefährden Millionen Webseiten. Auch österreichische Unis gingen vorsorglich offline.
Zwei schwerwiegende Sicherheitslücken in der weitverbreiteten Programmiersprache PHP sorgen weltweit für Aufregung. Millionen Webseiten könnten betroffen sein. Angreifer könnten die Schwachstellen ausnutzen, um die Kontrolle über ungeschützte Webserver zu übernehmen.
Auch in Österreich hatte die Warnung bereits konkrete Folgen: Unter anderem nahmen die Universität Wien, die Technische Universität Wien und die "Niederösterreichischen Nachrichten" (NÖN) ihre Webseiten vorsorglich vom Netz.
"Heute" auf Google als bevorzugte Quelle festlegen
Inzwischen stehen Sicherheitsupdates bereit. Betreiber müssen allerdings rasch handeln, um ihre Systeme abzusichern.
Auch österreichische Webseiten offline
PHP gehört zu den wichtigsten technischen Grundlagen des Internets. Die Programmiersprache kommt bei zahlreichen Webseiten, Nachrichtenportalen, Onlineshops und Verwaltungsplattformen zum Einsatz.
Besonders verbreitet ist sie im Zusammenhang mit dem Content-Management-System WordPress. Aber auch Joomla, Drupal, Moodle und TYPO3 verwenden PHP.
Allein auf WordPress basieren Schätzungen zufolge weltweit zwischen 400 und 500 Millionen Webseiten. Das bedeutet allerdings nicht, dass sämtliche dieser Seiten automatisch angreifbar sind: Entscheidend ist unter anderem, welche PHP-Version auf dem jeweiligen Server läuft und ob bereits Sicherheitsupdates installiert wurden.
Wie der "Kurier" berichtet, waren am Mittwoch (21. Oktober) auch Webseiten in mehreren europäischen Ländern betroffen. In Österreich entschieden sich einige Betreiber vorsorglich für eine vorübergehende Abschaltung.
Hacker könnten ganze Server übernehmen
Die beiden Sicherheitslücken tragen die offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619. In der IT-Sicherheitsbranche werden sie unter dem Namen "PHP2Shell" zusammengefasst.
Das Besondere daran: Unter bestimmten Voraussetzungen können Angreifer die Schwachstellen über das Internet ausnutzen, ohne sich zuvor anmelden zu müssen.
Im schlimmsten Fall ermöglicht dies die Ausführung eigener Schadprogramme auf dem betroffenen Server. Kriminelle könnten dadurch Zugriff auf gespeicherte Informationen erhalten, Webseiten manipulieren oder die Infrastruktur für weitere Attacken missbrauchen.
Betroffen ist der Kern von PHP selbst und nicht bloß ein einzelnes WordPress-Plugin oder eine bestimmte Erweiterung.
Behörden schlagen Alarm
Die Lage wird von IT-Sicherheitsbehörden als besonders ernst eingestuft. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte mit der Stufe "3/Orange" vor den Schwachstellen. Auch Österreichs Computer Emergency Response Team CERT.at machte auf die Gefahr aufmerksam.
Die Bilder des Tages
?
Beide Sicherheitslücken wurden vom PHP-Sicherheitsteam mit einem Schweregrad von 9,2 auf einer zehnteiligen Skala bewertet. Besonders brisant: Informationen über die Schwachstellen gelangten bereits vor der geplanten Veröffentlichung der Sicherheitsupdates an die Öffentlichkeit. Damit stieg das Risiko, dass Angreifer nach verwundbaren Systemen suchen.
CERT.at berichtete bereits am Mittwoch von veröffentlichtem Exploit-Code. Ob dieser zu diesem Zeitpunkt tatsächlich funktionierte, war zunächst nicht bestätigt.
Diese Updates sind jetzt verfügbar
Am Mittwoch (21. Oktober) veröffentlichten die PHP-Entwickler neue Versionen, die beide Sicherheitslücken schließen sollen.
Für die unterstützten Versionsreihen stehen folgende abgesicherte Versionen bereit:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
Betreiber betroffener Webseiten sollten die entsprechenden Updates möglichst rasch installieren oder von ihren Hosting-Anbietern einspielen lassen.
Besonders problematisch sind ältere PHP-Versionen, die nicht mehr regulär vom Entwicklerteam unterstützt werden. Hier können je nach Anbieter spezielle Sicherheitskorrekturen verfügbar sein. Langfristig wird der Wechsel auf eine unterstützte Version empfohlen.
Im Zweifel Webseite abschalten
Falls ein Sicherheitsupdate nicht sofort installiert werden kann, raten Experten dazu, die betroffenen Systeme vorübergehend vom öffentlichen Internet zu trennen.
Eine solche Abschaltung kann verhindern, dass Angreifer bis zur Installation des Patches auf ungeschützte Server zugreifen.
Auch nach dem Update sollten Betreiber prüfen, ob es bereits verdächtige Aktivitäten auf ihren Systemen gegeben hat. Denn eine nachträgliche Aktualisierung beseitigt nicht automatisch mögliche Folgen eines früheren Angriffs.
Das vollständige Einspielen der Sicherheitskorrekturen gilt als entscheidende Schutzmaßnahme.
Müssen Internetnutzer jetzt handeln?
Für Menschen, die lediglich mit ihrem Smartphone oder Computer im Internet surfen, besteht wegen dieser beiden PHP-Schwachstellen zunächst kein unmittelbarer Handlungsbedarf. Die Sicherheitslücken befinden sich auf den Webservern und nicht auf den Geräten der Besucher.
Indirekt können Nutzer dennoch betroffen sein: Webseiten könnten vorübergehend ausfallen. Werden Server erfolgreich angegriffen, besteht außerdem die Gefahr, dass dort gespeicherte persönliche Daten in falsche Hände geraten.
Wie viele Webseiten tatsächlich verwundbar sind oder bereits erfolgreich angegriffen wurden, lässt sich derzeit nicht verlässlich beziffern. Für Webseitenbetreiber gilt jedenfalls: Die verfügbaren Sicherheitsupdates sollten ohne Verzögerung installiert werden.
