Kritische PHP-Zero-Day-Schwachstelle löst weltweite Ausfälle und dringende Patches aus

Die Web-Infrastruktur steht heute vor einer schweren Störung, da zwei kritische Zero-Day-Schwachstellen in PHP aktiv in freier Wildbahn ausgenutzt werden. Das PHP-Entwicklungsteam hat am 21. Oktober 2026 Notfall-Patches veröffentlicht, doch das Ausmaß des Problems hat bereits dazu geführt, dass Regierungswebsites in Europa und anderen Regionen offline gegangen sind. Da nahezu 70 Prozent aller Websites auf dieser Kernsoftware basieren, warnen Sicherheitsexperten, dass Angreifer die volle Kontrolle über ungepatchte Server übernehmen können.

Was passiert ist

Im Zentrum der Krise stehen zwei spezifische Fehler, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden und Remote Code Execution (RCE) ermöglichen. Dies bedeutet, dass ein Angreifer beliebige Befehle auf einem verwundbaren Server ausführen kann, was faktisch einer Übernahme der Maschine gleichkommt. Das PHP-Projekt hat Notfall-Updates zur Behebung dieser Bugs herausgegeben, aber das Zeitfenster für eine Ausnutzung öffnete sich, bevor viele Organisationen die Patches installieren konnten. Reuters berichtete, dass mehrere Regierungsportale heute dunkel blieben, während Administratoren fieberhaft versuchten, die Bedrohung zu entschärfen oder Systeme offline zu nehmen, um Kompromittierungen zu verhindern.

Cloudflare, ein großer Anbieter von Internet-Infrastruktur, entdeckte kurz nach der Offenlegung aktive Exploit-Versuche. Um 3:02 Uhr UTC setzte das Unternehmen Regeln für die Web Application Firewall ein, um Traffic zu blockieren, der diese spezifischen Schwachstellen anvisiert. Diese Angriffe zielen darauf ab, Denial-of-Service-Bedingungen herbeizuführen, schädlichen Code remote auszuführen und sensible Daten offenzulegen. Die Geschwindigkeit der Reaktion seitens der Infrastruktur-Anbieter unterstreicht die unmittelbare Gefahr, die von diesen Fehlern ausgeht, die bereits bei koordinierten Angriffen eingesetzt werden und nicht nur als theoretische Proof-of-Concepts dienen.

Der Umfang der Verwundbarkeit ist enorm. Censys, ein Unternehmen, das internetverbundene Geräte kartografiert, identifizierte ungefähr 2,58 Millionen ins Internet exponierte Hosts und 54,9 Millionen Web-Eigenschaften, auf denen PHP läuft. Da PHP populäre Content-Management-Systeme wie WordPress, Drupal, Joomla und Magento antreibt, breiten sich die Auswirkungen über unzählige unabhängige Websites und Unternehmensanwendungen aus. OpenAI, das an den Forschungs- und Aufklärungsbemühungen beteiligt war, beschrieb die Situation aufgrund der schieren Verbreitung der betroffenen Software als eines der gravierendsten Sicherheitsprobleme der jüngeren Vergangenheit.

Wie es funktioniert

Diese Schwachstellen sind keine neuen Code-Fehler, sondern tief verankerte Mängel, die seit Jahrzehnten in PHP existieren. Laut Forschern bei Wiz ist jede PHP-Version, die in den letzten zehn Jahren veröffentlicht wurde, von mindestens einem dieser beiden Bugs betroffen. Der Grund, warum sie so lange unentdeckt blieben, liegt in der extremen Komplexität, die für ihre Ausnutzung erforderlich ist. Die Verkettung der notwendigen Schritte zum Erreichen von Remote Code Execution lag zuvor an der Grenze dessen, was menschliche Forscher ohne immensen Zeitaufwand und Ressourcen praktisch erreichen konnten.

Der Durchbruch gelang mit Unterstützung von Frontier-AI-Modellen. Wiz-Forscher merkten an, dass künstliche Intelligenz die Hürde für die Findung der Exploit-Kette erheblich gesenkt hat, wodurch ein langjähriger, schlafender Fehler zu einer sofortigen Waffe wurde. Dieser Wandel zeigt, wie KI die Landschaft der Schwachstellen verändert und es Angreifern oder Forschern ermöglicht, komplexe Bug-Ketten aufzudecken, die zuvor als zu schwierig für eine Nutzung galten. Nach der Ausnutzung ist das wahrscheinlichste Ergebnis die Installation von Web-Shells – Backdoors, die Angreifern ein persistentes, webbasiertes Panel zur Fernsteuerung infizierter Sites bieten.

Wichtige Details

• Die Schwachstellen betreffen alle Webserver, auf denen PHP 5.4 oder neuer läuft.
• Behobene Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
• Ungefähr 54,9 Millionen Web-Eigenschaften und 2,58 Millionen Hosts sind exponiert.
• Aktive Exploits sind bereits im Umlauf; Cloudflare blockiert Angriffe seit 3:02 Uhr UTC.
• Regierungswebsites in Europa sind aufgrund der Offenlegungen und des darauffolgenden Chaos offline gegangen.
• Wiz-Forscher vergleichen die Schwere und Reichweite dieses Ereignisses mit der Log4Shell-Krise von 2021.

Warum es wichtig ist

Für Software-Ingenieure und IT-Leiter unterstreicht dieses Ereignis die Fragilität abhängiger Ökosysteme. PHP ist tief in Clouds, Hosting-Anbietern und Content-Delivery-Networks eingebettet. Eine Schwachstelle in einer solchen Kernschicht betrifft nicht nur eine einzelne Anwendung; sie kompromittiert den gesamten darunterliegenden Stack. Der Vergleich mit Log4Shell ist treffend, denn ähnlich wie Java’s Logging-Framework ist PHP oft eine transitive Abhängigkeit. Entwickler wissen möglicherweise nicht einmal, dass sie verwundbare Versionen verwenden, wenn sie auf Managed Hosting oder ältere Container-Images setzen, die nicht aktualisiert wurden.

Die Beteiligung von KI an der Entdeckung dieser Exploits signalisiert eine neue Ära des Sicherheitsrisikos. Fehler, die früher aufgrund ihrer Komplexität als sicher galten, sind nun praktikable Ziele. Das bedeutet, dass Legacy-Systeme, die Organisationen oft ungepatcht lassen, weil sie davon ausgehen, dass niemand sie knacken kann, nun Prioritätsziele sind. Der Kampf um das Patchen dieser Schwachstellen wird voraussichtlich wochen- oder monatelang andauern, da Teams die Komplexität der Aktualisierung von Produktionsumgebungen meistern müssen, ohne bestehende Funktionalitäten zu brechen. Die erforderliche Koordination im gesamten Ökosystem, vom PHP-Team bis zu den Cloud-Anbietern, zeigt, dass keine einzelne Entität dies allein lösen kann.

Was Sie tun können

• Prüfen Sie unverzüglich die PHP-Version Ihres Servers und aktualisieren Sie auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
• Wenn Sie Managed Hosting nutzen, kontaktieren Sie Ihren Anbieter, um zu bestätigen, wann gepatchte Images verfügbar sein werden.
• Überprüfen Sie die Logs Ihrer Web Application Firewall auf ungewöhnliche POST-Anfragen oder Anzeichen einer Web-Shell-Installation.
• Aktualisieren Sie zugrunde liegende Betriebssystempakete, wie etwa die neuen PHP-Pakete, die von Ubuntu veröffentlicht wurden.
• Auditiere Sie eigene PHP-Anwendungen auf Anzeichen unerlaubter Datei-Erstellung oder -Änderung.
• Beobachten Sie das SANS Internet Storm Center für laufende Updates und entstehende Mitigationsstrategien.