Tausende österreichische Websites sind weiterhin durch kritische Sicherheitslücken in der Programmiersprache PHP gefährdet. Laut einer Erhebung von EY Österreich und risikomonitor.com waren bei einer Nachmessung Ende Oktober noch 28.622 Seiten verwundbar. Besonders problematisch: Viele davon laufen mit Softwareversionen, für die es seit Jahren keine Sicherheitsupdates mehr gibt.
Auslöser ist die als "PHP2Shell" bezeichnete Schwachstelle. Dahinter stecken zwei kritische Sicherheitslücken, über die Angreifer unter bestimmten Voraussetzungen auch ohne Anmeldung eigenen Code auf einem betroffenen Server ausführen können. Die Schwachstellen wurden am 21. Oktober 2026 öffentlich gemacht. Das PHP-Projekt stellte noch am selben Tag korrigierte Versionen bereit.
"Heute" auf Google als bevorzugte Quelle festlegen
Eine Woche später untersuchten EY und risikomonitor.com insgesamt 1,059 Millionen erreichbare Websites in Österreich. Bei 46.182 davon war zunächst eine verwundbare PHP-Version erkennbar. Bei der Nachmessung waren noch 28.622 verwundbar, 6.322 hatten inzwischen ein Sicherheitsupdate erhalten. Das entspricht einer Patchrate von 18,1 Prozent unter den erneut erreichbaren und überprüften Seiten.
Viele Websites laufen mit veralteter Software
Europaweit sank der Anteil verwundbarer Websites laut der Erhebung innerhalb weniger Tage von 11,2 auf 5,6 Prozent. Die erste Reaktion fiel damit vergleichsweise schnell aus. Danach verlangsamte sich die Entwicklung jedoch deutlich. Das Problem liegt vor allem bei älteren PHP-Versionen: In Österreich liefen 75,7 Prozent der ursprünglich betroffenen Websites mit Versionen, für die keine regulären Sicherheitsupdates mehr angeboten werden.
Besonders häufig war PHP 7.4.33 im Einsatz. Diese Version erhält bereits seit November 2022 keine Sicherheitskorrekturen mehr. Europaweit betrifft das Problem laut den Studienautoren sogar 81 Prozent der verbliebenen verwundbaren Server. Im Durchschnitt seien diese Versionen seit 4,7 Jahren ohne Sicherheitsupdates. Bei fast jeder fünften betroffenen Website liege das letzte Update mehr als sieben Jahre zurück.
Auch Kunden von Online-Shops können betroffen sein
Häufig finden sich verwundbare Websites laut Auswertung bei Hotels und Pensionen, im Handel, im Transportbereich und in der Gastronomie. Auch Arztpraxen und Kfz-Werkstätten zählen in Österreich zu den betroffenen Branchen. Die Gefahr beschränkt sich nicht unbedingt auf die Betreiber der Websites. Werden etwa Online-Shops oder Buchungsseiten kompromittiert, könnten Angreifer auch an Daten von Kundinnen und Kunden gelangen.
Die Studienautoren verweisen auf Fälle von manipulierten Zahlungsseiten und Schadsoftware, die über gehackte Websites verbreitet wurde. Im europäischen Vergleich liegt Österreich mit einer Patchrate von 18,1 Prozent genau im Durchschnitt. Weit zurück liegt Deutschland: Dort waren bei der Nachmessung noch 259.891 Websites verwundbar, die Patchrate betrug lediglich 5,8 Prozent. Litauen, Zypern und Malta erreichten hingegen Werte von rund 38 bis 40 Prozent.
Die Erhebung basiert auf öffentlich sichtbaren Versionsangaben von Webservern. Die Forschenden führten nach eigenen Angaben keine Angriffe, Exploit-Versuche oder Penetrationstests durch. Eine als verwundbar erkannte Website ist daher nicht automatisch bereits gehackt worden.
Betreiber sollten ihre PHP-Version aktualisieren. Die empfohlenen korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer eine ältere Version verwendet, muss auf einen unterstützten Zweig wechseln. Bei gemietetem Webspace ist dafür in der Regel der Hosting-Anbieter die erste Anlaufstelle.
