Gestern wurden zwei kritische Schwachstellen in der Skriptsprache PHP bekannt, die unter dem Namen „php2shell“ zusammengefasst werden. Die Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 erlauben es Angreifern, ohne Anmeldung Schadcode aus der Ferne auszuführen, und betreffen grundsätzlich alle PHP-Installationen, die Webanfragen verarbeiten. Das PHP-Projekt stuft beide Lücken mit einem CVSS-Wert von 9.2 als kritisch ein.

Die Lage wurde sehr ernst genommen: Das BSI hielt eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen des Updates für wahrscheinlich. Der Cybersicherheitsdienst der EU (CERT-EU) empfahl sogar, Webseiten vorübergehend offline zu nehmen, wenn das Update nicht sofort eingespielt werden kann.

Was wir getan haben

Das PHP-Team hat die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Wir haben die Updates direkt nach ihrem Erscheinen auf allen von HMnet betriebenen Webservern eingespielt und die PHP-Dienste neu gestartet. Ihre Websites, Online-Shops und Anwendungen bei uns sind damit gegen „php2shell“ geschützt. Auch ältere PHP-Versionen, die einzelne Bestandsprojekte noch benötigen und für die das PHP-Projekt selbst keine Updates mehr liefert, haben wir über zurückportierte Sicherheitskorrekturen abgesichert. 

Was Sie tun müssen

Wenn Ihre Website bei uns gehostet wird, müssen Sie nichts tun. Wir beobachten die Lage weiter und reagieren sofort, falls neue Erkenntnisse vorliegen.