Die Sicherheitslücke
PHP ist trotz seines stattlichen Alters von über 30 Jahren (1995 veröffentlicht) immer noch die dominante Programmiersprache im Internet. Ca. 70 - 80 % alles Webseiten mit serverseitiger Programmierung laufen mit PHP, darunter viele bekannte Software wie WordPress, Nextcloud oder Shopware. Doch nun bedroht eine enorm gefährliche Sicherheitslücke alle Anwendungen auf PHP-Basis. Ersten Schätzungen zufolge könnten weltweit über 40 Millionen Webseiten betroffen sein. Alle PHP-Versionen sind gefährdet.
Die Sicherheitslücke trägt den treffenden Namen “PHP2Shell”. Treffend deshalb, weil über die Lücke ein Angreifer auf dem Server seinen eigenen Code ausführen und so den Server übernehmen kann. Diese Form von Sicherheitslücken sind besonders gefährlich, weil sie aus der Ferne und voll automatisiert ausgenutzt werden können. Angreifer können binnen kürzester Zeit Zehntausende Server oder mehr übernehmen. Entsprechend groß war der Handlungsdruck.
2 Jahre Vorlauf
Tatsächlich existiert die besagte Sicherheitslücke bereits seit 20 Jahren in PHP. Das grundlegende Problem geht bereits auf eine frühe Version zurück. Allerdings haben mehrere folgende Versionen das Problem weiter verschärft, bis daraus eine praktisch ausnutzbare Sicherheitslücke wurde. Es gab in dieser Zeit durchaus Hinweise auf ein bestehendes Problem, die Tragweite wurde aber nicht erkannt.
Erstmals 2024 wurde von einer externen Sicherheitsfirma eine vollständige Überprüfung des PHP-Quellcodes durchgeführt. In Folge dieser Überprüfung wurde die Schwachstelle dann konkret gefunden. Damit begann ein langer und leider zu langsamer Prozess. Die Arbeiten zur Behebung liefen über fast zwei Jahre und wurden in dieser Zeit immer wieder unterbrochen und verschoben. Entscheidend war, dass die Behebung der Sicherheitslücke wieder neue Probleme mit sich brachte. Auch wurde der Sicherheitslücke damals nicht die heutige Schwere zugesprochen. Die Arbeiten fanden im Geheimen statt und das funktionierte bis vor wenige Wochen.
Der KI-Durchbruch
Im Sommer diesen Jahres veränderte KI dann das Spielfeld. Mehrere Sicherheitsforscher untersuchten unabhängig voneinander den PHP-Quellcode mit KI-Werkzeugen und stießen auf genau diese Lücke. Mithilfe dieser KI-Werkzeuge konnte erstmals auch ein funktionierender Exploit entwickelt werden. Plötzlich wurde in kurzer Zeit aus einem theoretischen Problem eine reale Sicherheitslücke. Mithilfe von KI wurden weitere Varianten und Schwachstellen gefunden, die Fehlerbehebung wurde umfangreicher als gedacht. Noch war aber alles unter Kontrolle.
Der Leak
Ursprünglich sollte Ende Oktober eine koordinierte Veröffentlichung erfolgen. Zusammen mit korrigierten Versionen sollte die Sicherheitslücke bekannt gemacht werden. Damit sollte ein planbarer Updateprozess weltweit angestoßen werden. Technische Details werden bei solchen Veröffentlichungen üblicherweise so lange zurückgehalten, bis die meisten Systeme auf einen sicheren Stand gebracht wurden.
Wenige Tage vor der geplanten Veröffentlichung wurden dann überraschend die ersten Angriffe mithilfe der Sicherheitslücke beobachtet. Kurz danach machten auch technische Details und Anleitungen zur Ausnutzung die Runde. Offenbar waren kritische Informationen weitergegeben worden. Das Rennen begann am 21. Oktober 2026. Noch am selben Tag veröffentlichte das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine kritische Sicherheitsmitteilung. Im Laufe des Tages wurden auch die korrigierten PHP-Versionen veröffentlicht.
Abschaltung als Notlösung
Da mit dem Leak großflächige, automatisierte Angriffe binnen kurzer Zeit befürchtet wurden, blieb vielen Betreibern nur die Notlösung: Eine Abschaltung. Die Verteilung und Installation der Updates braucht Zeit. Ein Faktor, der in diesem Fall nicht vorhanden war. Die Konsequenzen haben selbst normale Menschen zum Ende der Woche bemerkt. Plötzlich waren diverse Dienste nicht mehr erreichbar. Darunter auch staatliche Stellen wie Ämter, Polizeidienste und Regierungswebseiten. Die Tragweite war so groß, dass selbst die Tagesschau am 23.10.2026 einen Beitrag veröffentlichte.
Knapp an der Katastrophe vorbei?
Zum jetzigen Zeitpunkt sieht es so aus, als ob das Internet knapp an einer Katastrophe vorbei geschrammt ist. Zwar ist die koordinierte Veröffentlichung gescheitert, aber offenbar sind unzählige ITler mit langen Nachtschichten den bösen Jungs noch einmal knapp zuvor gekommen.
Trotz des Leaks konnten viele Server aktualisiert oder abgeschaltet werden, bevor sie in der Fläche angegriffen wurden. Zwar ist noch viel Arbeit offen, die meisten kritische Systeme scheinen aber erfolgreich geschützt zu werden. Fraglich bleibt, wie viele Server nicht aktiv bereut werden. Inzwischen gibt es erste Berichte laufender Angriffe. Knapp eine Woche nach dem Bekanntwerden soll es immer noch Millionen verwundbare Server alleine in Deutschland geben. In den nächsten Tagen und Wochen werden wir beobachten können, wer seine Systeme nicht schnell genug geschützt hat. Die große Welle an Hacks und Ausfällen kommt vermutlich erst nachgelagert.
Die Zukunft
Dieser Vorfall hat die Bedeutung von KI für die IT-Sicherheit erneut hervorgehoben. Die Verfügbarkeit solcher KI-Werkzeuge nimmt immer weiter zu. Vielleicht finden beim nächsten Mal nicht Sicherheitsforscher, sondern Cyberkriminelle die Sicherheitslücke zuerst. Schon wenige Tage Vorsprung könnten dramatische Auswirkungen haben. Die nächsten Jahre werden in der IT eine kritische Phase werden. Wir stehen an der Schwelle zu einem KI-Wettrüsten zwischen Sicherheitsforschern und Cyberkriminellen.
Was sollten Sie tun?
Als normaler Mensch haben Sie wenig Einfluss auf die großen Fragen der IT-Sicherheit. Trotzdem wird diese Entwicklung auch Ihre IT verändern. Die Zeit, um auf Sicherheitslücken zu reagieren, wird immer kürzer. Besonders wenn Sie selbst Server oder Software betreiben, werden Sie zum Handeln gezwungen. PHP ist nur ein aktuelles Beispiel. Es kann jede Programmiersprache und jede Software betroffen sein. Selbst populäre Software ist nicht vor gravierenden Sicherheitslücken gefeilt.
Sie müssen sicherstellen, dass Sie alle Ihre Software konsequent und kurzfristig aktuell halten. In Newsbereich finden Sie tagesaktuelle Meldungen zu Sicherheitslücken und wichtige Updates von bekannter Software. Schauen Sie regelmäßig rein, um nichts zu verpassen. Sie haben leider immer weniger Zeit, um noch zu reagieren.