PHP2Shell-Schwachstellen ermöglichen Übernahme von Webservern ohne Anmeldung; US-Behörden CISA, NSA und FBI mahnen zum sofortigen Patchen oder zur Abschaltung der Server

WASHINGTON

In der weit verbreiteten Programmiersprache PHP, die auf Websites und Webanwendungsservern eingesetzt wird, wurden zwei kritische Schwachstellen entdeckt, die die Ausführung von Befehlen auf Servern ohne vorherige Authentifizierung ermöglichen. Dies veranlasste die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA), die National Security Agency (NSA) und das Federal Bureau of Investigation (FBI), nacheinander zu unverzüglichen Patches aufzurufen. Vom 21. bis 23. Oktober (US-Zeit) machten die drei Behörden die Schwachstellen-IDs CVE-2026-109618 und CVE-2026-109619 jeweils über Warnmeldungen, Pressemitteilungen und eine öffentliche Bekanntmachung (PSA) publik. Alle drei empfahlen übereinstimmend Organisationen, die nicht sofort aktualisieren können, die betroffenen Systeme offline zu nehmen.

CISA erklärt, dass „php2shell“-Schwachstellen nicht authentifizierte Remote-Code-Ausführung ermöglichen

CISA teilte in einer Warnmeldung am 21. Oktober mit, dass die beiden Schwachstellen, die als „php2shell“ bezeichnet werden, eine nicht authentifizierte Remote-Code-Ausführung in PHP ermöglichen. Betroffen seien alle PHP-Installationen, die Webanfragen verarbeiten. CISA nannte Kombinationen aus Apache und mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed als Beispiele. Unter diesen habe die PHP-Entwicklerseite die mod_php-Kombination als höchstes Risiko eingestuft, fügte CISA hinzu.

Die gepatchten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. CISA erklärte, dass Organisationen unverzüglich auf diese Versionen aktualisieren sollten. Allerdings stellte CISA fest, dass bis zum Zeitpunkt der Veröffentlichung der Warnmeldung keine erfolgreichen Angriffe in der Praxis beobachtet wurden, die diese Schwachstellen ausnutzten. Das Cyber-Konto der CISA veröffentlichte am selben Tag die beiden Schwachstellen-IDs auf X und forderte Organisationen auf, unverzüglich Patches einzuspielen.

CISA aktualisierte diese Warnmeldung am 23. Oktober, fügte SIGMA-Erkennungsregeln zum Aufspüren verdächtiger Aktivitäten hinzu und berücksichtigte Material von Partnerbehörden. Das Partnermaterial umfasst Leitlinien des britischen National Cyber Security Centre, des Australian Cyber Security Centre unter dem Australian Signals Directorate, des neuseeländischen National Cyber Security Centre, des Canadian Centre for Cyber Security und des niederländischen National Cyber Security Centre.

Am selben Tag gab auch die NSA über eine separate Pressemitteilung eine Warnung heraus.

NSA warnt davor, dass Cyberakteure Schwachstellen mit hoher Wahrscheinlichkeit als Waffe einsetzen werden

In einer Pressemitteilung vom 21. Oktober teilte die NSA mit, dass die PHP-Entwicklerseite an diesem Tag (Mittwoch) Open-Source-Patches veröffentlicht habe. Die NSA stellte fest, dass PHP (kurz für „PHP: Hypertext Preprocessor“) auf den meisten gängigen Betriebssystemen läuft, direkt auf Webservern ausgeführt wird und in HTML eingebettet wird, um dynamische Webseiten zu erstellen. Da es so weit verbreitet sei, könne dieser Fehler ein ideales Umfeld für Angriffe schaffen, so die NSA. Die NSA bezeichnete dieses Bündel von Schwachstellen als „PHP2Shell“ und erklärte, sie priorisiere die Identifizierung böswilliger Cyberakteure, die versuchten, diese auszunutzen.

Die NSA erklärte, ein Angreifer könne ohne vorherigen Zugriff oder Authentifizierung die Kontrolle über betroffene Webserver erlangen. Über diesen Weg könne ein Angreifer sensible Daten stehlen, Dienste stören oder tiefer in ein Netzwerk vordringen, fügte die NSA hinzu. Die NSA stellte klar, dass es sich bei den Schwachstellen um Mängel in PHP selbst und nicht in den gehosteten Anwendungen oder Konfigurationen handele, sodass Server, auf denen betroffene PHP-Versionen ausgeführt werden, Angriffen ausgesetzt seien.

Die für die nationale Sicherheit der USA zuständige NSA erklärte: „Es ist sehr wahrscheinlich, dass Cyberakteure die PHP2Shell-Schwachstellen als Waffe einsetzen werden.“ Angesichts des ernsten Risikos sei ein sofortiges Patchen in allen US-Bundesministerien und -Behörden erforderlich. Die NSA empfahl, in den kommenden Wochen gegenüber Geräten und Diensten mit Internetanbindung, die auf PHP angewiesen sind, wachsam zu bleiben, das Logging zu verstärken und PHP-Dienste am Ende ihrer Lebensdauer (EOL), die nicht mit den Patches kompatibel sind, zu ersetzen. Das Cybersicherheits-Konto der NSA veröffentlichte diese Warnung am selben Tag ebenfalls auf X.

In dem Beitrag erklärte die NSA, dass diese Schwachstellen häufig einen direkten Pfad zum Dateisystem oder zu Datenbanken des Servers böten. Sie empfahl, Systeme offline zu nehmen, falls eine sofortige Aktualisierung nicht möglich sei, und kündigte an, in Kürze detaillierte Richtlinien zu veröffentlichen.

Die NSA riet dazu, Aktualisierungen genau zu verfolgen, da andere Softwareanbieter Patches bereitstellen könnten, sobald diese verfügbar seien, und wies darauf hin, dass die neuesten Schadensminderungsrichtlinien auf der Seite mit den Sicherheitshinweisen der PHP-Entwickler zu finden seien. Die NSA erklärte, sie werde mit Experten aus der Geheimdienst-Community und der CISA zusammenarbeiten, um Schwachstellen in Regierungs- und nationalen Sicherheitssystemen zu identifizieren und zu beheben.

CISA fordert eine vollständige Erfassung aller Systeme, die PHP verwenden

CISA forderte Organisationen zunächst auf, alle Systeme in ihren Umgebungen zu erfassen, auf denen PHP läuft. Da PHP häufig in anderer Software eingebettet sei, sei es möglicherweise nicht sofort erkennbar, so CISA. Anschließend drängte CISA darauf, Systeme mit Internetzugang vorrangig und unverzüglich zu patchen. Organisationen, die nicht sofort aktualisieren können oder weiterhin nicht mehr unterstützte Versionen wie PHP 8.1 oder älter betreiben, müssen PHP-basierte Systeme offline nehmen, bis das Einspielen von Patches oder die Aktualisierung abgeschlossen ist.

CISA appellierte, die offiziellen Sicherheitshinweise der PHP-Entwicklerseite zu lesen und die Patch-Anweisungen zu überprüfen. Web Application Firewalls könnten bis zur Aktualisierung der Systeme einen gewissen Schutz bieten, so CISA. CISA empfahl, auf verdächtige Aktivitäten zu achten, etwa darauf, ob PHP-Arbeitsprozesse Shells ausführen oder Tools herunterladen.

Das FBI gab am 23. Oktober die öffentliche Bekanntmachung I-102326-PSA heraus. Dies folgte auf einen Social-Media-Beitrag des FBI vom 21. Oktober. Das FBI stellte fest, dass PHP eine weit verbreitete Programmiersprache sei, die Websites und Webanwendungen antreibe, und dass die beiden Schwachstellen böswilligen Cyberakteuren die Remote-Ausführung von Code im PHP-Kern ermöglichen könnten, wodurch sensible Daten und Netzwerke gefährdet würden. Die Cyber-Abteilung des FBI (FBI Cyber Division) veröffentlichte diese Nachricht am 21. Oktober auf X.

Das FBI erklärte, dass Sicherheitsupdates bereits verfügbar seien und unverzüglich angewendet werden sollten. Bei der Ermittlung, wo PHP vorhanden ist, drängte das FBI darauf, Systeme mit Internetanbindung und Produkte von Drittanbietern, die PHP im Bundle enthalten, zu priorisieren sowie Webserver daraufhin zu überwachen, ob PHP-Prozesse unerwartet Befehlsshells starten oder Dateien herunterladen. Das FBI teilte mit, dass die neuesten Informationen in den Hinweisen der PHP-Entwickler, im Sicherheitshinweis 2026-018 des CERT-EU der Europäischen Union und im Katalog bekannter ausgenutzter Schwachstellen (KEV) der CISA zu finden seien. Das FBI forderte Unternehmen und Website-Betreiber auf zu überprüfen, ob ihre Systeme betroffen sind. Sollten Anzeichen einer Kompromittierung festgestellt werden, forderte es Organisationen auf, betroffene Systeme zu isolieren, Webserver- und PHP-Protokolle aufzubewahren und den Vorfall einer lokalen FBI-Dienststelle oder unter ic3.gov zu melden. Das FBI erklärte, dass diese Meldungen den Strafverfolgungsbehörden dabei helfen, die Hintermänner zu identifizieren und andere Organisationen zu warnen, bevor sie geschädigt werden.

Quellen (KST)

• US-CISA, „Critical Vulnerabilities in PHP Require Immediate Patching“ (Veröffentlicht am 21. Oktober 2026, aktualisiert am 23. Oktober): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• US-Agentur für nationale Sicherheit (NSA), „NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities“ (21. Oktober 2026): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• US-Bundespolizei (FBI), „Critical Vulnerability Alert: PHP Core“ (Öffentliche Bekanntmachung I-102326-PSA, 23. Oktober 2026): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• Beitrag des Cyber-Kontos der CISA auf X: https://x.com/CISACyber/status/2112947079458717969
• Beitrag des Cybersicherheits-Kontos der NSA auf X: https://x.com/NSACyber/status/2112903220209098897
• Beitrag der FBI Cyber Division auf X: https://x.com/FBICyberDiv/status/2112921648252719420