Kritische PHP-Lücken: Entwickler stellen Update bereit, nachdem Details durchgesickert sind

Nachdem Details zu zwei kritischen Sicherheitslücken in der Webskriptsprache PHP öffentlich geworden waren, haben viele Betreiber ihre Webseiten vorsorglich abgeschaltet. Kurz vor 16.00 Uhr deutscher Zeit stellten die PHP-Entwickler eine Lösung bereit und forderten alle Website-Betreiber auf, umgehend zu aktualisieren.

Die Schwachstellen tragen den Namen „PHP2Shell“ und sind unter den Kennungen CVE-2026–109618 und CVE-2026–109619 registriert. Sicherheitsexperten warnen, dass beide Lücken im Kern der Software liegen. Das erklärt, warum die Berichterstattung weltweit Webseiten bedroht sieht; die FAZ spricht von Millionen betroffener Websites.

Zunächst lief das Verfahren geordnet: Die Schwachstellen wurden den PHP-Entwicklern vertraulich gemeldet und blieben unter Verschluss, während an einer Lösung gearbeitet wurde. Am Dienstag, einen Tag vor der geplanten Veröffentlichung des Updates, wurden die Details jedoch online geleakt. Damit lagen Informationen über die Lücken offen, bevor eine Korrektur verfügbar war.

Auf diese Lage reagierten viele Betreiber mit der vorsorglichen Abschaltung ihrer Seiten. Nach Darstellung des Spiegels handelt es sich dabei bisher um eine Vorsichtsmaßnahme, die einen Angriff über die Lücken unmöglich machen soll. Eine Webseite, die nicht erreichbar ist, bietet keine Angriffsfläche.

Die Abfolge der Ereignisse lässt sich so ordnen: Die vertrauliche Meldung sollte den Entwicklern Zeit für eine Korrektur verschaffen, der Leak verkürzte diesen Vorlauf auf einen Tag. In dieser Zeit blieb Betreibern nur der Weg, Dienste vom Netz zu nehmen. Mit der bereitgestellten Lösung steht nun eine Alternative zur Abschaltung zur Verfügung, sofern die Betreiber sie einspielen.

Die Entwickler appellieren deshalb an alle Betreiber, ihre Installationen umgehend zu aktualisieren. Die zweite Folge des Leaks ist damit eine Aufgabe für die gesamte Branche: Weil PHP weit verbreitet ist, hängt die Sicherheit vieler Webseiten davon ab, wie schnell das Update tatsächlich eingespielt wird.