PHP2Shell: Laut BSI können Angreifer die PHP-Updates mit KI-gestützten Werkzeugen schnell auswerten, die US-Behörde CISA führt die Lücken als ausgenutzt

Zwei Lücken in PHP, die laut BSI ohne Anmeldung Schadcode auf einem Webserver ausführen lassen können, sind seit dem 21. Oktober 2026 bekannt, und die Behörde rechnet mit Angriffen binnen Stunden.

Zwei Lücken, vier Updates

Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Das PHP-Projekt schreibt in seiner Mitteilung vom 21. Oktober 2026, die Updates schlössen zwei kritische Lücken, die unauthentifizierte Fernausführung von Code erlauben können. Betroffen seien alle PHP-Installationen, die Webanfragen bedienen. Als Updates nennt das Projekt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

PHP 8.1 und älter erhalten vom Projekt keine Updates mehr.

Das BSI geht in seiner Pressemitteilung vom selben Tag weiter: „alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5“ seien verwundbar, so der Stand der Mitteilung am Tag der Updates. Es rief die Betreiber auf, die Patches sofort einzuspielen. Linux-Distributionen und LTS-Anbieter haben die Patches laut PHP-Projekt vorab erhalten; wer PHP über das Paket eines Anbieters betreibt, soll dort nach aktualisierten Paketen schauen. Als vollständige Lösung gilt dem Projekt nur ein Update, Zwischenmaßnahmen machten eine Installation nicht sicher.

Die Begründung der Eile

BSI-Vizepräsident Thomas Caspers hielt am 21. Oktober eine großflächige Ausnutzung innerhalb weniger Stunden nach den Updates für wahrscheinlich. Seine Begründung, wörtlich aus der Pressemitteilung: „Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren.“ Das ist die Einschätzung der Behörde und kein Messergebnis.

Zu KI-gestützten Cyberangriffen insgesamt gibt es bei uns einen eigenen Artikel.

Katalog, Honeypots, Telemetrie

Die US-Behörde CISA nahm beide Kennungen am Montag, 26. Oktober 2026, in ihren „Catalog of Known Exploited Vulnerabilities“ auf. Der Eintrag beschreibt die Lücke als Speicherfehler in PHP, der unauthentifizierte Ausführung von Code aus der Ferne erlaubt.

Am Tag darauf liegen zwei Berichte vor, die sich nicht decken. heise online schreibt am 27. Oktober, seit den Updates habe es millionenfache Exploit-Versuche gegeben. Erst am Wochenende seien erste erfolgreiche Angriffe auf Honeypots entdeckt worden. Der Betreiber dokumentiere 35 gestartete Shells auf drei Honeypots mit PHP 8.4.26, die Angriffe kamen von zwei IP-Adressen. Zahlreiche Organisationen hätten in der Woche davor Websites vorsorglich vom Netz genommen, die meisten seien wieder online.

Wiz beschreibt am selben Tag ein anderes Bild. In der eigenen Telemetrie habe das Unternehmen bisher eine begrenzte Zahl von Angriffsversuchen gesehen und keinen öffentlichen Beispielangriff gefunden, der vollständig und allgemein gegen ein beliebiges Ziel funktioniert. Einige Partner hätten Wiz allerdings privat funktionierende Exploits gemeldet. Honeypots und Wiz-Telemetrie messen an verschiedenen Systemen, beide Aussagen gelten deshalb nebeneinander. Die Zahlen von Wiz sind Telemetrie des Unternehmens selbst und von außen nicht überprüft.

Wie viele Server noch offen sind

Laut heise zeigte der Scanner von Censys am Dienstagmorgen, 27. Oktober, in Deutschland noch mehr als 4 Millionen Dienste, die sich mit den Versionsnummern anfälliger PHP-Versionen melden. Am Freitag davor waren es rund 4,2 Millionen. Censys selbst weist darauf hin, dass mehrere Linux-Distributionen Patches auf ältere Versionsstände zurückportieren. Die Zahlen sind deshalb nur ein Indiz, eine Versionsnummer beweist keine Verwundbarkeit.

Wiz zählt seit der Offenlegung am 21. Oktober rund 67 Prozent weniger täglich erkannte verwundbare, aus dem Netz erreichbare Maschinen. Eine Woche nach der Offenlegung seien weniger als 53 Prozent der anfangs betroffenen Organisationen noch verwundbar. Wiz räumt ein, dass die Daten den Beitrag einzelner Maßnahmen nicht belegen.

Unsere Einschätzung

Ein Onlineshop, eine Firmenwebsite oder ein Kundenportal kann auf PHP laufen, ohne dass der Inhaber weiß, welche Version auf dem Server liegt. Aus unserer Sicht ist das der eigentliche Engpass dieser Meldung. Ob die Angriffe schon in der Breite laufen, beurteilen heise und Wiz unterschiedlich. Für einen Betrieb ändert das wenig, denn das Update liegt seit dem 21. Oktober vor, und das BSI rechnet mit Stunden zwischen Update und großflächiger Ausnutzung.

Wir würden Hoster und Agentur schriftlich fragen, ob der Patch eingespielt ist und seit wann. Die Frage nach der Versionsnummer allein genügt dafür nicht, weil Anbieter Patches zurückportieren, wie Censys anmerkt. Läuft die Website auf PHP 8.1 oder älter, für das das Projekt keine Updates mehr liefert, gehört die Frage dazu, woher der Patch stammt.

Auch die Rückgangszahlen von Wiz helfen dabei nur begrenzt. Sie beschreiben Organisationen insgesamt und sagen nichts darüber, ob die eigene Website zu denen gehört, die schon gepatcht sind. Diese Auskunft gibt nur der Hoster oder der Betreiber der Installation, und sie liegt am besten schriftlich vor.

Und wer im Betrieb nicht weiß, wen er für die Website anruft, sollte das vor dem nächsten Sicherheitsupdate klären.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 29. Oktober 2026):

• BSI: PHP: BSI warnt vor kritischen Schwachstellen – Sicherheitsupdate noch heute notwendig
• PHP-Projekt: Security advisory: Critical remote code execution vulnerabilities, update now
• CISA: CISA Catalog of Known Exploited Vulnerabilities
• heise online: php2shell: Erfolgreiche Angriffe auf PHP-Schwachstelle bestätigt
• Wiz: PHP2Shell: Exploitation Attempts and Remediation Trends

Häufige Fragen

Zuletzt aktualisiert: 29. Oktober 2026. Stand der Recherche: 29. Oktober 2026.