PHP2Shell: Kritische PHP-Sicherheitslücke bedroht Websites weltweit
Eine neu entdeckte Sicherheitslücke in PHP sorgt weltweit für Alarm. Unter dem Namen „PHP2Shell” sind zwei kritische Schwachstellen bekannt geworden, die es Angreifern ermöglichen, Websites zu manipulieren, sensible Daten zu stehlen oder sogar ganze Webserver zu übernehmen. Besonders bemerkenswert ist, dass künstliche Intelligenz bei der Entdeckung der Sicherheitsprobleme eine entscheidende Rolle spielte. Die PHP-Entwickler veröffentlichten am 21. Oktober 2026 Notfall-Updates und fordern Website-Betreiber auf, ihre Systeme schnellstmöglich zu aktualisieren.
Die Bedrohung ist keineswegs theoretisch. Bereits kurz nach Bekanntwerden der Schwachstellen wurden weltweit Millionen von Angriffsversuchen registriert. Zahlreiche Unternehmen, Behörden und andere Organisationen nahmen ihre Websites vorsorglich vom Netz, um mögliche Hackerangriffe zu verhindern.
Was ist PHP2Shell und warum ist diese Sicherheitslücke so gefährlich?
PHP ist eine der weltweit am häufigsten verwendeten Programmiersprachen für Websites. Sie bildet die technische Grundlage zahlreicher Internetangebote, darunter Blogs, Onlineshops und Content-Management-Systeme wie WordPress, Joomla oder Drupal. Laut dem IT-Sicherheitsunternehmen Wiz kommt PHP auf rund 70 Prozent aller Websites zum Einsatz.
Die unter dem Namen PHP2Shell zusammengefassten Sicherheitslücken betreffen nicht eine einzelne Website oder Erweiterung, sondern die PHP-Software selbst. Dadurch können sehr unterschiedliche Internetangebote gefährdet sein, selbst wenn ihre Anwendungen und Plug-ins auf dem neuesten Stand sind.
Die beiden Schwachstellen tragen die offiziellen Bezeichnungen CVE-2026-109618 und CVE-2026-109619 und wurden beide mit einem CVSS-Wert von 9,2 von maximal 10 Punkten als kritisch eingestuft.
Technisch handelt es sich um Fehler bei der Speicherverwaltung. Unter bestimmten Bedingungen verarbeitet PHP interne Daten fehlerhaft und ermöglicht dadurch sogenannte Remote Code Execution (RCE). Das bedeutet, dass Angreifer aus der Ferne eigene Befehle auf einem betroffenen Server ausführen können, ohne sich zuvor anmelden zu müssen.
Gelingt ein solcher Angriff, können Cyberkriminelle unter Umständen Dateien verändern, Schadsoftware installieren, Datenbanken auslesen oder eine Website vollständig unter ihre Kontrolle bringen. Welche Auswirkungen tatsächlich möglich sind, hängt unter anderem von der Serverkonfiguration und den Berechtigungen des PHP-Prozesses ab.
Bei der Entdeckung von PHP2Shell spielte Künstliche Intelligenz eine entscheidende Rolle.
Ein bemerkenswerter Aspekt der aktuellen PHP-Krise ist der Einsatz von KI bei der Suche nach Sicherheitslücken.
Laut dem Cloud-Sicherheitsunternehmen Wiz waren einige der zugrunde liegenden Programmierfehler bereits seit mehr als zehn Jahren im PHP-Quellcode vorhanden. Ihre Entdeckung und insbesondere die Entwicklung funktionierender Angriffsmethoden waren jedoch technisch äußerst schwierig.
Mithilfe moderner KI-Modelle konnten Sicherheitsforscher diese Hürden deutlich schneller überwinden. Bei ihren Untersuchungen nutzte das Wiz-Team unter anderem Gemini 4 Argon von Google, GPT-5.6 Sol von OpenAI und die eigene KI-gestützte Sicherheitsplattform Wiz Atlas.
Die KI half dabei, komplexe Programmabläufe zu analysieren, mögliche Fehler zu erkennen und funktionsfähige Angriffsmethoden zu entwickeln. Besonders wichtig war ihre Fähigkeit, unterschiedliche Varianten eines Angriffs automatisiert zu testen und an verschiedene Serverumgebungen anzupassen.
Laut Wiz konnten die Forscher so innerhalb weniger Stunden funktionierende Angriffsmethoden für unterschiedliche Webanwendungen entwickeln. Arbeiten, die früher möglicherweise ein hochspezialisiertes Expertenteam über Monate beschäftigt hätten, ließen sich mit KI-Unterstützung wesentlich schneller durchführen.
Die ersten Schwachstellen wurden im August 2026 entdeckt und anschließend vertraulich an die PHP-Entwickler gemeldet. Zusammen mit weiteren Sicherheitsunternehmen – darunter OpenAI und Cloudflare – wurden Schutzmaßnahmen und Softwarekorrekturen vorbereitet.
Der Fall zeigt somit eine neue Entwicklung in der IT-Sicherheit: KI kann selbst sehr alte und schwer erkennbare Programmierfehler aufspüren, die herkömmlichen Sicherheitsanalysen über Jahre hinweg entgangen sind.
Wie können Hacker künstliche Intelligenz für PHP2Shell-Angriffe nutzen?
Die Fähigkeiten moderner KI-Systeme können allerdings auch von Cyberkriminellen missbraucht werden.
KI kann beispielsweise dabei helfen, große Mengen potenziell gefährdeter Server zu untersuchen, bekannte Angriffsmethoden anzupassen oder technische Fehler automatisiert zu analysieren. Dadurch sinkt der Aufwand, den Angreifer benötigen, um komplexe Sicherheitslücken auszunutzen.
Besonders problematisch ist die Möglichkeit, Angriffsmethoden schnell an unterschiedliche PHP-Versionen, Serverkonfigurationen und Webanwendungen anzupassen. Sicherheitsforscher von Wiz haben demonstriert, wie KI diese bislang aufwendigen Arbeiten erheblich beschleunigen kann.
In welchem Umfang die aktuell beobachteten PHP2Shell-Angriffe tatsächlich KI-gesteuert durchgeführt werden, ist allerdings nicht abschließend geklärt. Automatisierte Massenangriffe sind auch ohne KI möglich.
Dennoch verdeutlicht PHP2Shell, wie sich die IT-Sicherheit durch KI verändert. Einerseits können Sicherheitsexperten Schwachstellen schneller entdecken und schließen, andererseits könnten Angreifer dieselben technologischen Fortschritte zur Entwicklung neuer Angriffsmethoden nutzen.
Millionen von Hackerangriffen: Websites weltweit wurden vorsorglich abgeschaltet.
Die Veröffentlichung der Sicherheitslücken löste umfangreiche Schutzmaßnahmen aus. Unternehmen, Behörden und andere Organisationen überprüften ihre Server oder schalteten öffentlich erreichbare Websites vorübergehend ab.
Der Internetdienstleister Cloudflare hatte bereits vor der offiziellen Bekanntgabe Schutzregeln vorbereitet. Laut dem Unternehmen waren Informationen über die Schwachstellen vorzeitig bekannt geworden, woraufhin erste Angriffe auf Kunden beobachtet wurden.
Cloudflare entwickelte deshalb zusätzliche Schutzmechanismen, die verdächtige HTTP-Anfragen erkennen und blockieren sollen. Allerdings können solche Systeme nicht jede denkbare Angriffsmethode zuverlässig verhindern.
Die hohe Zahl registrierter Angriffsversuche bedeutet zudem nicht, dass tatsächlich Millionen Websites kompromittiert wurden. Viele automatisierte Angriffe werden durch Sicherheitsmaßnahmen abgewehrt oder scheitern an der jeweiligen Serverkonfiguration.
Welche Gefahr besteht für normale Internetnutzer?
PHP2Shell betrifft das eigene Smartphone, Tablet oder den Computer von gewöhnlichen Internetnutzern nicht unmittelbar. Die Sicherheitslücken befinden sich auf den Servern, die Websites und Internetdienste bereitstellen.
Trotzdem können Besucher indirekt betroffen sein. Wenn beispielsweise ein Onlineshop, ein Kundenportal oder eine andere Website erfolgreich angegriffen wird, können Cyberkriminelle auf die dort gespeicherten Informationen zugreifen.
Je nach Art des Angriffs könnten persönliche Daten, Zugangsinformationen oder andere vertrauliche Inhalte gestohlen werden. Auch manipulierte Websites, betrügerische Weiterleitungen oder die Verbreitung von Schadsoftware sind mögliche Folgen einer erfolgreichen Serverübernahme.
Ein vorübergehend nicht erreichbares Internetangebot ist allerdings kein Beweis für einen Hackerangriff. Viele Betreiber schalten ihre Websites vorsorglich ab, bis die erforderlichen Sicherheitsupdates installiert sind.
Welche PHP-Versionen sind von PHP2Shell betroffen?
Laut den Sicherheitsforschern reichen die betroffenen PHP-Versionen bis zur Version 5.4 zurück. Das PHP-Projekt veröffentlichte am 21. Oktober 2026 vier Sicherheitsupdates, welche die beiden kritischen Schwachstellen beheben.
Folgende Versionen enthalten die Korrekturen:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35.
Ältere Versionen dieser Entwicklungszweige müssen entsprechend aktualisiert werden. Für PHP 8.1 und ältere Versionen stellt das offizielle PHP-Projekt keine regulären Sicherheitsupdates mehr bereit. Betreiber solcher Systeme sollten daher auf einen unterstützten Versionszweig wechseln oder prüfen, ob ihr Betriebssystem- bzw. Hosting-Anbieter spezielle Sicherheitspatches bereitstellt.
Besonders gefährdet sind nach Einschätzung der PHP-Entwickler Server, die Apache mit dem Modul mod_php verwenden. Grundsätzlich können aber auch andere PHP-Umgebungen wie PHP-FPM, php-cgi, LiteSpeed oder FrankenPHP betroffen sein.
Was Website-Betreiber jetzt gegen PHP2Shell tun sollten
Aufgrund der bereits laufenden Angriffe sollten Website-Betreiber die verfügbaren Sicherheitsupdates möglichst schnell installieren.
Zunächst sollte die aktuell verwendete PHP-Version im Hosting-Kontrollpanel oder direkt auf dem Server überprüft werden. Dabei ist zu beachten, dass auf einem Server mehrere PHP-Versionen gleichzeitig installiert sein können.
Vor einer Aktualisierung empfiehlt sich ein vollständiges Backup der Website einschließlich ihrer Datenbanken. Anschließend sollte die passende abgesicherte PHP-Version installiert werden.
Nach dem Update müssen die betroffenen PHP-Prozesse bzw. Webserverdienste neu gestartet werden. Andernfalls könnten ältere, weiterhin verwundbare Prozesse im Arbeitsspeicher aktiv bleiben.
Darüber hinaus sollten Administratoren ihre Systeme auf mögliche Spuren bereits erfolgter Angriffe überprüfen. Hinweise hierfür können beispielsweise unbekannte Dateien, ungewöhnliche Serverprozesse, neue automatisierte Aufgaben oder auffälliger Netzwerkverkehr sein.
Eine zusätzliche Schutzmaßnahme ist der Einsatz einer Web Application Firewall (WAF). Eine WAF kann verdächtige Zugriffe blockieren, bietet jedoch keinen vollständigen Schutz vor PHP2Shell. Das Einspielen von Sicherheitsupdates bleibt deshalb unverzichtbar.
Wer seine Website bei einem Managed-Hosting-Anbieter betreibt, sollte überprüfen, ob die PHP-Aktualisierung bereits automatisch vorgenommen wurde. Bei selbst verwalteten Servern liegt diese Aufgabe in der Regel beim Administrator.
Schützt ein WordPress-Update vor PHP2Shell?
Ein gewöhnliches Update von WordPress, Joomla, Drupal oder einem anderen Content-Management-System reicht nicht aus, um PHP2Shell zu beheben.
Der Grund dafür ist, dass sich die Sicherheitslücken direkt in PHP befinden. Selbst eine vollständig aktualisierte WordPress-Installation kann deshalb gefährdet sein, wenn auf dem Server eine anfällige PHP-Version läuft.
Zwar gehören regelmäßige CMS-, Plugin- und Theme-Updates weiterhin zu den wichtigsten Sicherheitsmaßnahmen. Gegen PHP2Shell hilft jedoch nur eine entsprechend korrigierte PHP-Installation.
PHP2Shell zeigt, wie Künstliche Intelligenz die IT-Sicherheit verändert.
Aufgrund der weiten Verbreitung von PHP und der möglichen Folgen erfolgreicher Angriffe gehört PHP2Shell zu den besonders schwerwiegenden Sicherheitsvorfällen des Jahres 2026.
Der Fall verdeutlicht zugleich, welche Bedeutung KI künftig für die Cybersicherheit haben könnte. Moderne KI-Systeme helfen Forschern dabei, bislang verborgene Programmierfehler aufzuspüren und deren Gefährlichkeit nachzuweisen. Gleichzeitig besteht das Risiko, dass auch Cyberkriminelle diese Technologien zur Entwicklung und Automatisierung von Angriffen nutzen.
Für Website-Betreiber bleibt die wichtigste Konsequenz jedoch unverändert: Sicherheitsupdates müssen schnell installiert, veraltete Software ersetzt und Server regelmäßig überwacht werden. Denn selbst die leistungsfähigsten KI-Schutzsysteme können eine ungepatchte Sicherheitslücke nicht zuverlässig unschädlich machen.
