AntwortenVeröffentlicht25 Quellen
PHP2Shell: Die kritischen PHP-Lücken und die Notfall-Updates im Überblick
Am 21. Oktober veröffentlichte PHP Updates für zwei kritische Schwachstellen, über die Angreifer unter bestimmten Bedingungen ohne Anmeldung Code auf einem Server ausführen konnten.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- Am 21. Oktober veröffentlichte PHP Updates für zwei kritische Schwachstellen, über die Angreifer unter bestimmten Bedingungen ohne Anmeldung Code auf einem Server ausführen konnten.
- Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber sollten die eingesetzte PHP Version prüfen und den passenden Sicherheitsstand installieren.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell ist der Sammelname für zwei kritische Sicherheitslücken in PHP: CVE-2026-109618 und CVE-2026-109619. PHP veröffentlichte am 21. Oktober 2026 Sicherheitsupdates, nachdem Informationen zu den Schwachstellen vor dem geplanten Veröffentlichungstermin bekannt geworden waren. Am folgenden Tag meldeten Sicherheitsfirmen deutlich mehr Angriffsversuche. PHP läuft nach Schätzungen auf rund 70 Prozent der Websites – das bedeutet jedoch nicht, dass ebenso viele Websites angegriffen oder kompromittiert wurden. 1
2
9
18
19
Was die PHP2Shell-Lücken ermöglichen konnten
Beide Schwachstellen wurden als nicht authentifizierte Lücken zur Remotecodeausführung beschrieben. Unter den betroffenen Bedingungen hätte ein Angreifer also Code auf einem verwundbaren Server ausführen können, ohne sich vorher anzumelden. Eine Lücke hängt mit einer Beschädigung bei einem Speicherüberlauf zusammen, die andere mit veraltetem globalem Zustand. 6
7
Berichte verorten den potenziell betroffenen Versionsbereich bis zurück zu PHP 5.4. Das heißt nicht, dass jede Website mit PHP zwangsläufig verwundbar konfiguriert war – und ebenso wenig, dass jeder mögliche Angriff erfolgreich war. 14
21
Diese PHP-Versionen enthalten die Korrekturen
PHP veröffentlichte am 21. Oktober Sicherheitsupdates für vier Versionszweige: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. 1
6 Vorausgegangen war ein Leak am 20. Oktober – zwei Tage vor der ursprünglich geplanten Bekanntgabe am 22. Oktober. Die vorzeitige Veröffentlichung brachte den koordinierten Zeitplan durcheinander; PHP stellte daraufhin früher als geplant Notfall-Updates bereit.
2
9
13
Für Betreiber heißt das: Auf jedem Webserver prüfen, welche PHP-Version läuft, und das jeweils passende korrigierte Release installieren. Besonders wichtig sind Systeme, die Anfragen aus dem Web entgegennehmen. 7
11
KI half bei der Forschung – aber nicht allein
OpenAI zufolge entdeckte das Sicherheitsunternehmen Calif im Rahmen der Initiative „Patch the Planet“ eine der Schwachstellen mithilfe von GPT-5.6 Sol. Wiz entdeckte und meldete unabhängig davon beide Schwachstellen. Die PHP-Maintainer waren für die Korrekturen und deren Veröffentlichung verantwortlich. 48
OpenAI erklärte außerdem, in den zwei Monaten zuvor mit Maintainerinnen und Maintainer, Forschenden und Sicherheitsdienstleistern an der Koordination gearbeitet zu haben. Der Fall zeigt den Einsatz von KI bei der Sicherheitsforschung – nicht, dass ein KI-System allein die Lücken entdeckt, überprüft oder behoben hätte. Laut den vorliegenden Berichten waren auch Sicherheitsfirmen und das PHP-Team beteiligt. 35
48
Viele Angriffsversuche, aber keine weltweite Schadensbilanz
Cloudflare meldete einen starken Anstieg der Angriffsversuche: von Tausenden vor der öffentlichen Bekanntgabe auf Millionen danach. Amazon zufolge gab es bereits am 17. Oktober einen Angriffsversuch – vier Tage vor der öffentlichen Bekanntgabe. Dabei handelt es sich um Versuche, nicht um eine Zahl bestätigter erfolgreicher Angriffe. 19
Sicherheitsanbieter berichteten zudem von Aktivitäten außerhalb sogenannter Honeypots – also absichtlich als Köder aufgesetzter Systeme. Zum damaligen Zeitpunkt hatten Behörden diese Berichte jedoch nicht offiziell bestätigt. 17 Separat berichteten Medien, dass Websites und Dienste vorsorglich vom Netz genommen wurden, darunter mehr als 30 britische Regierungsdienste.
23
Die US-amerikanische National Security Agency (NSA) warnte, Angreifer könnten die Lücken nutzen, um Webserver zu übernehmen, Daten zu stehlen, Dienste zu stören oder tiefer in Netzwerke vorzudringen. USA Today berichtete, die Behörde habe Websites, die nicht zeitnah gepatcht werden könnten, zum vorübergehenden Offlinegehen geraten. 18
23
Die Berichte belegen eine schnelle Sicherheitsreaktion und eine hohe Zahl von Angriffsversuchen. Eine weltweite Gesamtzahl erfolgreicher Einbrüche lässt sich daraus nicht ableiten. Auch die Schätzung, dass PHP auf rund 70 Prozent der Websites eingesetzt wird, ist keine Messung bestätigter Verwundbarkeit oder Kompromittierung.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „PHP2Shell: Die kritischen PHP-Lücken und die Notfall-Updates im Überblick“?
Am 21. Oktober veröffentlichte PHP Updates für zwei kritische Schwachstellen, über die Angreifer unter bestimmten Bedingungen ohne Anmeldung Code auf einem Server ausführen konnten.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Am 21. Oktober veröffentlichte PHP Updates für zwei kritische Schwachstellen, über die Angreifer unter bestimmten Bedingungen ohne Anmeldung Code auf einem Server ausführen konnten. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber sollten die eingesetzte PHP Version prüfen und den passenden Sicherheitsstand installieren.