Nachtschicht in der IT: PHP2SHELL
Auf dem Heimweg von einer Veranstaltung in Zürich entdeckten wir am Dienstagabend in Foren zwei Nummern, ohne weitere Details: CVE-2026-109618 und CVE-2026-109619. Damit kam rasch das ungute Gefühl auf, dass in PHP gerade etwas Grosses kaputt ist. Für uns beginnt in diesem Moment die Gewissheit, dass der darauffolgende Tag ein langer werden würde.
Was war passiert?
PHP ist der Motor eines grossen Teils des Internets: WordPress-Websites, Onlineshops, Behördenportale – all das läuft damit. In diesem Motor steckten zwei Lücken, über die Angreifer ohne Passwort die Kontrolle über einen Webserver übernehmen konnten (Quelle). Der Name dafür lautet: «PHP2Shell». Das klingt nach Actionfilm, ist für Admins aber eher ein Horrorfilm.
Die beiden Lücken im Überblick: Beide wurden 9,2 von 10 Punkten als kritisch eingestuft.
- Fehler bei vollem Speicher (CVE-2026-109618): Angreifer bringen PHP mit präparierten Uploads gezielt an seine Speichergrenze. Bricht PHP im falschen Moment ab, bleiben halbfertige Daten zurück, über die sich fremder Code einschleusen lässt.
- Reste aus der vorherigen Anfrage (CVE-2026-109619): PHP bearbeitet viele Anfragen nacheinander. Bricht eine davon ab, bleiben Reste im Speicher liegen, die die nächste Anfrage weiterverwendet. Angreifer bereiten so mit einer Anfrage den Boden vor und schlagen mit der nächsten zu.
Das Fiese daran: All das passiert im Maschinenraum, bevor die Website überhaupt merkt, dass jemand an der Tür ist. Jede Anwendung im Netz, ohne vorgelagerten Server, ist angreifbar. Ein WordPress-Update hilft da etwa so viel wie ein neues Türschild bei einem kaputten Schloss. Helfen tut nur ein Update von PHP auf dem Server (bzw. im Container) selbst.
Wie ist es dazu gekommen?
Die Geschichte beginnt im Jahr 2024, als ein PHP-Entwickler erste Anzeichen des Problems entdeckt. Da jede mögliche Lösung Nebenwirkungen hat, sich das kleine Sicherheitsteam nicht einigen kann und das Thema monatelang liegen bleibt, ist keine Lösung in Sicht. Die PHP Foundation bezeichnet dies selbstkritisch als «strukturelles Versagen» (Quelle). In diesem Sommer melden dann gleich mehrere Sicherheitsfirmen, unterstützt von KI, funktionierende Angriffe. Jetzt brennt es.
Der Plan: Am 22. Oktober sollen alle gleichzeitig den Fix erhalten. Die Realität sieht jedoch anders aus: Zwei Tage vorher sickern die Lücken durch, PHP zieht den Termin auf Mittwoch um 16 Uhr vor – und als der Patch erscheint, kursieren bereits fertige Angriffswerkzeuge (Quelle).
Was sind die Auswirkungen?
Das deutsche BSI ruft zum sofortigen Handeln auf und rechnet mit Angriffen innerhalb weniger Stunden. Einige Betreiber in Deutschland ziehen deshalb kurzerhand den Stecker.
Auch die Schweiz bleibt nicht verschont: Cyon und weitere Shared-Webhosting-Betreiber nehmen – sinnvollerweise – kurz vor der Veröffentlichung sämtliche Webhostings vom Netz (Quelle). Auch Bexio und viele weitere kritische Anwendungen werden heruntergefahren.
Wie hat whatwedo reagiert?
Abwarten und Tee trinken war keine Option. Unser Plan in drei Akten:
- Tür zu: Die bekannten Angriffe kommen über eine bestimmte Art von Anfragen – wir versuchten, diese anhand von Leaks vor dem Eintreffen bei dern Anwendung zu mitigieren. Bei einigen exponierteren Kunden konnten die IP-Ranges eingeschränkt werden, von welchen aus zugegriffen werden konnte.
- Koffer packen: Noch bevor der Patch existierte, haben wir für jedes Projekt das Update vorbereitet und getestet. Am Ende fehlte nur noch der Knopfdruck, sobald die Patches bereitstanden.
- Ausliefern: Kaum war der Patch verfügbar, haben wir unsere Basis-Images – das gemeinsame Fundament unserer Anwendungen – neu erstellt und Projekt für Projekt aktualisiert. Hinzu kamen 180 smartlearn-Installationen, welche aktualisiert wurden.
Es wurde trotzdem spät. Daher der Titel. Eine (Teil-)Abschaltung wäre für uns denkbar gewesen, wenn wir Angriffsversuche auf unseren Servern festgestellt hätten oder wenn wir länger auf die Patches hätten warten müssen. Glücklicherweise kam es nicht dazu.
Was lernen wir daraus?
Sicherheitslücken können nicht verhindert werden – man muss darauf vorbereitet sein und sie ernst nehmen. Projekte müssen aktuell gehalten werden, um im Ernstfall rasch reagieren zu können. Auch hier sehen wir bei uns noch Potenzial und werden die Erkenntnisse aus diesem Vorfall mitnehmen.
Und die Uhr tickt schneller: KI findet Lücken heute im Rekordtempo – für die Guten wie für die Bösen. Zwischen dem Einspielen eines Patches und einem Angriff liegen nicht mehr Tage, sondern Stunden.
Möchtest du bei der nächsten Sicherheitslücke ruhig schlafen können?
Weiterstöbern
