| php2shell-Sicherheitslücke in PHP (21.10.2026 | Update 22.10.2026) |
Die heute veröffentlichte Lücke in der Fehler- und Speicherverwaltung der Skriptsprache PHP machen Webserver, die damit laufen, angreifbar (Komplettübernahme möglich). In anderen Worten: rd. 70% aller Webseiten weltweit (die z.B. mit WordPress arbeiten aber auch Onlineshops auf PHP-Grundlage) sind davon betroffen. Auch verschiedene andere vernetzte Geräte (wie Router und NAS) nutzen PHP für eine webbasierte Verwaltungsoberfläche.
Das Leck steckt in allen PHP-Versionen seit Version 5 (hat vor 21 Jahren sein Lebensende erreicht). Viele Webhoster, Behörden, Universitäten und Unternehmen nahmen/nehmen deshalb vorsichtshalber ihre Systeme vom Netz bis ein Patch installiert wurde.
Für die grossen Linux-Distributionen schaffen folgende PHP-Versionen bereits Abhilfe: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1.x und ältere Versionen erhalten keine Updates mehr vom PHP-Projekt.
Auch mein Website-CMS ist in PHP von mir geschrieben, der Webserver ist gepatcht/aktualisiert. |
Update 22.10.2026:
Die Angriffswelle ist bereits in vollem Gange. Bereits nach 38 Sekunden kann - mit wenigen Tausenden HTTP-Anfragen -Code auf dem angegriffenen (ungepatchten) Server ausgeführt werden (ergo: alles geht!). Entsprechende Exploits kursieren bereits massenhaft im Netz.
Das einzig wirksame Mittel dagegen ist, PHP auf o.g. Versionen zu aktualisieren oder Webseiten per .htaccess komplett aus dem Verkehr zu ziehen. PHP-webbasierte Verwaltungsoberflächen von NAS oder Routern, die noch ungepatcht sind, dürfen nicht aus dem Netz von aussen (ohne sicheres VPN) erreichbar sein, sondern auf das lokale Netzwerk begrenzt werden (ein reiner Passwortschutz für solche Weboberflächen ist deshalb nutzlos, weil der Angriff auf die Laufzeitumgebung abzielt)!
Mini-Server und Raspi-Geräte sollten auch geprüft werden, ob dort nicht evtl. irgendwo PHP benutzt wird und mit altem Gammelcode läuft. |
