Kritische Sicherheitslücken in PHP: Updates für PHP2Shell erforderlich
Zwei Schwachstellen in PHP ermöglichen Angreifern die Ausführung von Schadcode. Sicherheits-Patches wurden am 21. Oktober 2026 veröffentlicht.
Im Kern der Programmiersprache PHP wurden zwei kritische Schwachstellen entdeckt, die als PHP2Shell bekannt sind. Diese erlauben es Angreifern, ohne Authentifizierung Schadcode auf betroffenen Servern auszuführen. Da die Sicherheitslücken im PHP-Kern liegen, bieten gängige Schutzmaßnahmen auf Anwendungsebene keinen ausreichenden Schutz.
Nach der Identifizierung der Schwachstellen durch Sicherheitsforscher und KI-gestützte Analysen veröffentlichte das PHP-Team am 21. Oktober Patches für die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Sicherheitsexperten betonen, dass Unternehmen nicht nur die Updates einspielen, sondern auch forensische Prüfungen ihrer Systeme durchführen müssen, um potenzielle Kompromittierungen vor dem Patch-Zeitpunkt aufzudecken.
Das Risiko hängt maßgeblich von der jeweiligen Serverkonfiguration ab. Besonders anfällig sind Altsysteme, die unter Umständen nicht mehr offiziell unterstützt werden. Experten raten Unternehmen dazu, den Patch-Prozess strukturiert abzuarbeiten und nicht davon auszugehen, dass ein Software-Update allein ausreicht, ohne die tatsächliche Wirksamkeit und die Integrität der Systeme im Nachgang zu validieren.