Eine Sicherheitslücke, die neu entdeckt wurde und schwerwiegend ist, bringt weltweit das Fundament von zahlreichen Webseiten und Onlinediensten ins Wanken. Betroffen ist die weitverbreitete Programmiersprache PHP, die auf einen Großteil des gesamten Internets basiert. Das wird von einfachen Blogs bis hin über große Newsportale und auch Content-Management-Systeme wie WordPress benutzt.
Wie unter anderem das IT-Sicherheitsunternehmen Huntress, die Computer Emergency Response Teams des Bundes (CERT) sowie das offizielle PHP-Sicherheitsteam berichteten, dass es sich um eine akute Notfallsituation handele, die Betreiber von Internetseiten in aller Welt zu schnellem Handeln zwingt.
Unter dem Namen „PHP2Shell“ warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Programmiersprache, die unter den offiziellen Registriernummern CVE-2026-109618 und CVE-2026-109619 geführt werden. Die Gefahr dieser Lücken ist demnach extrem hoch. Kriminelle Akteure können diese Schwachstelle nutzen, um aus der Ferne einen Schadcode auf den betroffenen Servern auszuführen. In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Webseite zu übernehmen, um sensible Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.
Da detaillierte Informationen zur Schwachstelle unabsichtlich vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche ziemlich unter Zeitdruck. Experten befürchten, dass Kriminelle schon automatisierte Skripte einsetzen werden, um im großen Stil ungeschützte Server im Internet aufzuspüren und anzugreifen.
Für 16 Uhr wird nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) durch die Entwickler ein Update erwartet. Das BSI ruft IT-Sicherheitsverantwortliche und Betreiber dazu auf, diese umgehend nach Veröffentlichung zu installieren.
Zahlreiche Behörden, aber auch Krankenhäuser und Universitäten haben zur Sicherheit ihre Webseiten offline geschaltet, um möglichen Angriffen vorzukommen. Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen gilt aktuell höchste Alarmbereitschaft. Experten raten dringend dazu, sich unverzüglich mit den zuständigen Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbietern in Verbindung zu setzen. Bereitgestellte Updates für die PHP-Umgebung sowie für genutzte Systeme müssten ohne jeden Verzug eingespielt werden.
Quelle: ntv, dpa
