In der Scriptsprache PHP sind zwei gravierende Sicherheitsschwachstellen aufgetaucht, welche Millionen von Webseiten gefährden. Betroffen sind alle PHP-Versionen seit der Version 5. Die beiden Lecks laufen unter der gemeinsamen Bezeichnung php2shell und tragen die Kennungen CVE-2026-109618 beziehungsweise CVE-2026-109619. Sie werden mit einem Score von jeweils 9,2 als kritisch beurteilt. Die beiden Lecks ermöglichen es einem potenziellen Angreifer ohne Passwort Schadcode auszuführen; ein entsprechender Exploit-Code wurde bereits veröffentlicht.
Wie im
Security Advisory zu entnehmen ist, wird allen PHP-Nutzern geraten, ihre Systeme auf die Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 zu
aktualisieren. Derweil werden für die PHP-Versionen 8.1 und älter keine Updates bereitgestellt. Betroffenen Site-Betreibern wird empfohlen, ihre Systeme umgehend auf eine unterstützte Version upzugraden. Ist dies nicht möglich, wird im verlinkten Advisory eine Reihe weiterer Massnahmen empfohlen, die zur Sicherheit beitragen können.
Mittlerweile warnt auch das
Bundesamt für Cybersicherheit vor der Schwachstelle. Site-Betreibern, die ihre Systeme nicht per sofort aktualisieren können, wird geraten, den Zugriff auf die betroffenen Anwendungen möglichst auf die tatsächlich benötigten Personen und Systeme zu beschränken. Ausserdem soll man bei kritischen Anwendungen prüfen, "ob eine vorübergehende Trennung vom Internet oder eine Ausserbetriebnahme erforderlich ist".
(rd)
