Sicherheitsupdate für PHP

    Heute um 16 Uhr unserer Zeit wird das PHP Team ein Sicherheitsupdate veröffentlichen. Sie empfehlen die möglichst sofortige Einspielung, da es sich um eine gravierende Lücke handelt, die geschlossen wird.

    PHP: News Archive - 2026
    PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world.
    www.php.net

    Es sind bereits viele Gerüchte dazu im Umlauf. Aber es sind eben Gerüchte. Dennoch empfiehlt es sich vorbereitet zu sein. Die Lücke hat einen CVSS von 9.2 erhalten, was wirklich sehr kritisch ist.

    Simon hat hier den aktuellen Stand auf deutsch zusammengefasst:

    Kritische Sicherheitslücken in PHP, das ist zu tun | KrautPress
    Für den 21.10.2026 ist der Patch einer schwerwiegenden Sicherheitslücke der Programmiersprache PHP angekündigt. Das wissen wir bisher…
    krautpress.de

    Wenn ihr Anwender seid und ein Hosting gebucht habt, sprecht den Support eures Hosters darauf an.
    Wenn ihr selbst Server betreut, bereitet euch auf die Einspielung von Updates oder (falls doch irgendwie möglich) die Konfiguration von Abwehrmechanismen heute Abend vor.

    • Gerade eben
    • Anzeige

    Hallo!

    Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

    • ✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
    • ✔️ Deutsche Server & DSGVO-konform
    • ✔️ Persönlicher Support (kein 0815-Ticket-System)

    Mehr erfahren

    Die Lücke ist schon sehr gefährlich. Du kannst damit beliebigen Code auf dem angegriffenen System ausführen. Es gibt schon einige, die das auch als Video demonstriert haben, z.B. hier: https://www.wiz.io/blog/php2shell-php-rce - der führt einfach in verschiedenen CMS (auch WordPress) beliebigen Code innerhalb von Sekunden aus.

    Ich habe es heute auch schon anderen sagen müssen: Hackern, die wie in diesem Fall wild drauf los angreifen, geht es nicht um ein spezifisches Projekt oder spezifische Daten. Sie wollen Zugriff erlangen um eine weitere Plattform zur Verteilung ihrer eigenen Software zu haben oder ein Bot-Netz aufzubauen. Die gucken nicht, ob Nutzerdaten vorhanden sind, das ist denen egal, es sei denn sie stoßen zufällig auf eine Goldgrube. Und ja, es gibt auch die Gruppe Hacker die auf konkrete Daten aus sind, die werden jetzt wohl nur aktiv werden, wenn ihr konkretes Ziel keinen Fix eingespielt hat.

    Was mich in den letzten 24 Stunden eher aufgeregt hat, ist die träge Reaktion der meisten Hoster (nicht alle). Während die an vorderster Front stehenden Linux-Distributionen und auch Dienstleister wie Plesk innerhalb von wenigen Minuten nach öffentlicher Bekanntgabe der Sicherheitslücke, bereits Updates bereitgestellt hatten, dauert der Vorgang des Einspielens davon bei vielen Hostern immernoch an. Manche haben sogar stundenlang alles abgeschaltet - was ist das für ein geschäftlicher Schaden für die Anwender, Wahnsinn. Würde mal etwas noch ernsthafteres entdeckt werden, müsste man vermutlich die ganze IT komplett abschalten (nicht nur Websites, auch Steuerungsanlagen, Ampeln, Wasserwerke ..), weil der Großteil der Dienstleister einfach zu träge ist.

    Dass deren Support-Mitarbeiter dann mit Anfragen völlig überlastet sind, kann ich total verstehen. Das ist das Abschieben der Last auf die mit Kundenkontakt. Die Menschen in den Hotlines tun mir derzeit am meisten Leid.

    Und btw. waren meine handvoll selbst betriebenen Server um 16:15 Uhr komplett gepatched. Lief für mich überaus zufriedenstellen :)

    Zitat von arnego2

    Was man aus dem Hack ziehen kann sind Nutzerdaten. Also sind da eher shops betroffen.

    Wenn man klein denkt ja ... Aber auch das wäre ein Super-GAU da personenbezogene Daten abhanden kommen. Über den Imageschaden wollen wir nicht reden.

    Sobald die Shell liegt, führt der Server Befehle der Hacker aus. Das beschränkt sich keineswegs nur auf "Nutzerdaten aus Shops":

    • Vollständige Serverübernahme: Angreifer erlangen Kontrolle über den Webserver-Prozess, laden Tools nach und versuchen oft direkt eine Privilege Escalation auf Root-Ebene (was meinst du wie viele lokal Exploits der Linux Kernel in diesem Jahr hatte?).
    • Lateral Movement: Der gehackte Webserver dient als Sprungbrett ins interne Netzwerk, um Datenbanken, NAS-Systeme oder andere Server im Netz anzugreifen.
    • Ransomware & Erpressung: Sämtliche Daten und Datenbanken können verschlüsselt, gelöscht oder abgezogen werden.
    • Missbrauch als Botnet: Der Server wird zum Versenden von Phishing-Spam, für DDoS-Attacken oder zum Verteilen von Malware an Seitenbesucher missbraucht.

    Und was würden kriminelle nicht tun um den Source-Code von Unternehmen zu erhalten? Man konnte gut beobachten, wer alles auf PHP setzt. Da waren so einige große Unternehmen bei, die ihr Unternehmen dicht machen könnten, wenn der Code Ihrer Anwendung frei verfügbar wäre!

    Zitat von threadi

    Die Lücke ist schon sehr gefährlich. Du kannst damit beliebigen Code auf dem angegriffenen System ausführen

    Mach doch mal mal sehen ob du es hinbekommst.
    Du musst bei PHP shell schon im Server drin sein. Oder zumindest schon Zugang haben.

    Zitat von JABA-Hosting

    Wenn man klein denkt ja ... Aber auch das wäre ein Super-GAU da personenbezogene Daten abhanden kommen. Über den Imageschaden wollen wir nicht reden.

    Nur wer Angst hat denkt so.

    Zitat von arnego2

    Du musst bei PHP shell schon im Server drin sein. Oder zumindest schon Zugang haben.

    Nein, der Request kommt von draußen. Du musst nur eine URL mit einem bestimmten Request aufrufen und schon kannst du beliebigen Code ausführen. Schau dir die Videos mal an.

    Und nein, das ist keine Angst. Das ist die Realität die ein ITler erkennt, wenn er sich mit der Materie beschäftigt. Und da habe ich eher Respekt vor dem was passieren könnte.

    Zitat von arnego2

    Du musst bei PHP shell schon im Server drin sein.

    Du hast die Lücke nicht verstanden.

    Man braucht vorher weder SSH-Zugang, FTP-Daten noch ein Login im CMS. Der Webserver nimmt HTTP-Requests von jedem Besucher an. Wenn in der PHP-Verarbeitung eine RCE-Lücke klafft, schickt der Angreifer einen präparierten Request von außen an die Seite, der Server führt den darin enthaltenen Code aus und legt die Webshell an. Und dann hast du deine Shell. Genau deshalb heißen solche Lücken Remote Code Execution.

    Jeder der fachlich und technisch in der Lage dazu ist und über wenig Skrupel und kein Gewissen verfügt, kann so einen Angriff durchführen. Und das sind sicherlich mehrere Millionen Menschen weltweit, da die Menschheit leider nicht frei von solchen Zeitgenossen ist.

    Zitat von threadi

    Jeder der fachlich und technisch in der Lage dazu ist und über wenig Skrupel und kein Gewissen verfügt, kann so einen Angriff durchführen.

    Richtig und das sind keine Millionen sondern eine Handvoll.
    99% aller erfolgreichen Hacks kommen über Phishing. Da ist die Mühe wesentlich kleiner, man kann KI nutzen und braucht nur ein Email.

    Zitat von arnego2

    Es ist voll übertrieben.

    Zitat von arnego2

    Was man aus dem Hack ziehen kann sind Nutzerdaten.

    Zitat von arnego2

    Du musst bei PHP shell schon im Server drin sein.

    Zitat von arnego2

    Nur wer Angst hat denkt so.

    Es ist schon erstaunlich, was du so alles (wie auch in anderen Foren) schreibst. Ich weiß nicht, ob das an einer gewissen Portion Überheblichkeit liegt oder ob du weniger Anhnung hast, wie du oft vortäuscht.

    Zitat von arnego2

    Wie viele Hacker sind denn in der Lage das Scenario des Videos überhaupt durchzuführen?
    Ihr tut gerade so als wenn jeder es kann

    Was spielt das für eine Rolle? Ob es 10, 100, 1000 oder mehr sind, diese Hacker können erheblichen Schaden anrichten.

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden