Am 21. Oktober 2026 hat das PHP-Entwicklungsteam zwei schwerwiegende Sicherheitslücken in der Skriptsprache PHP öffentlich gemacht. Diese läuft auf einem Großteil aller Webserver weltweit und bildet die technische Grundlage zahlreicher Websites, Online-Shops und Content-Management-Systeme wie WordPress. Über die beiden Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619, auch unter dem Namen "PHP2Shell" bekannt, können Angreifer:innen ohne Passwort oder Login Schadcode auf einem Server ausführen und diesen im schlimmsten Fall vollständig übernehmen.
Auf der gängigen CVSS-Skala, die Sicherheitslücken nach ihrem Gefährdungspotenzial von 0 bis 10 bewertet, erreichen beide einen Wert von 9,2 und gelten damit als kritisch. Das Beratungsunternehmen EY rät daher, die eigenen Systeme rasch zu prüfen, und verweist dafür auf einen kostenlosen Check des österreichischen Start-ups Risikomonitor, mit dem EY im Bereich Cybersecurity und Monitoring kooperiert. Damit können sowohl Unternehmen als auch Privatpersonen mit eigener Website herausfinden, ob ihr Server auf einer verwundbaren PHP-Version läuft.
So funktioniert der kostenlose Check
Auf der Seite von Risikomonitor wird die eigene Domain eingegeben. Damit nicht beliebige fremde Websites ausgeforscht werden können, zeigt das Tool das Ergebnis nur den Inhaber:innen an. Den Besitz bestätigen diese über einen Code, der an eine E-Mail-Adresse unter derselben Domain verschickt wird. Wer eine Website unter meinefirma.at betreibt, braucht also ein Postfach mit der Endung @meinefirma.at. Auf der Seite wird außerdem um die Einwilligung gebeten, dass Risikomonitor zum Check und zu Sicherheitsthemen Kontakt aufnehmen darf, diese ist laut Anbieter jederzeit widerrufbar.
Technisch arbeitet das Tool rein passiv. Es ruft die Startseite einmal so auf, wie es ein gewöhnlicher Browser tut, und liest dabei die Versionsangabe aus, die viele Webserver bei jedem Seitenaufruf ohnehin mitschicken. Einen Angriff, einen Login-Versuch oder einen Penetrationstest gibt es laut Risikomonitor nicht, die Belastung entspricht jener eines einzelnen Besuchs. Daraus ergibt sich allerdings auch eine Grenze des Checks. Server, die ihre PHP-Version verbergen, werden nicht als betroffen gezählt, sondern gesondert ausgewiesen. Eine eindeutige Entwarnung ist in diesem Fall nicht möglich, spätestens dann empfiehlt sich die Nachfrage beim Hoster.
Fast 32.000 heimische Websites verwundbar
Parallel zum Self-Check veröffentlicht Risikomonitor ein laufend aktualisiertes Lagebild für Österreich, die Schweiz und weitere europäische Länder, in dem keine einzelnen Websites genannt, sondern nur zusammengefasste Werte ausgewiesen werden. Mit Stand Donnerstagnachmittag hat das Start-up hierzulande knapp 659.000 Websites geprüft. Bei 31.877 davon, also 4,8 Prozent, war eine verwundbare oder nicht mehr unterstützte PHP-Version erkennbar. Bei weiteren rund 17.500 Seiten blieb die Version verborgen.
Zwischen den Bundesländern zeigen sich deutliche Unterschiede, wobei sich die Zuordnung nach dem Server- bzw. Hosting-Standort richtet und nicht nach dem Firmensitz. In Wien, wo mit fast 108.000 die meisten Seiten erfasst wurden, gelten 7,2 Prozent als betroffen, das entspricht mehr als 7.700 Websites. Den höchsten Anteil weist Vorarlberg mit 16,2 Prozent aus, allerdings bei einer deutlich kleineren Basis von knapp 1.500 geprüften Seiten. Vergleichsweise gut steht Salzburg mit 1,7 Prozent da. Die Werte verändern sich laufend, da Hoster und Betreiber:innen ihre Systeme derzeit aktualisieren.
Nur ein Update schützt vollständig
Die beiden Lücken stecken im Kern von PHP selbst und nicht in einzelnen Anwendungen. Ausgenutzt werden sie über präparierte Webanfragen. Betroffen sind laut EY alle PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Es geht damit nicht nur um die Firmenwebsite, sondern ebenso um Online-Shops, Kundenportale und Systeme, die bei Hosting-Partnern oder externen IT-Dienstleistern laufen.
Geschlossen sind die Lücken in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, die gängigen Linux-Distributionen stellen bereits aktualisierte Pakete bereit. Für PHP 8.1 und ältere Zweige gibt es keine offiziellen Updates mehr, hier rät EY zur Migration oder zur Absicherung über einen Anbieter mit Langzeit-Support. Wo ein sofortiges Update nicht möglich ist, können Konfigurationsänderungen laut offiziellem Security Advisory die Angriffsfläche vorübergehend verkleinern, das PHP-Entwicklungsteam betont jedoch, dass sie das Update nicht ersetzen. Zudem empfiehlt EY, sich den Patch-Status von Hosting-Partnern und IT-Dienstleistern aktiv bestätigen zu lassen und Logs auf Auffälligkeiten zu prüfen, insbesondere bei Systemen, die bereits vor dem Patch erreichbar waren.
Hier geht's zum kostenlosen Check.
www.risikomonitor.com
www.ey.com
Kommentar veröffentlichen