Angreifer nehmen PHP-Sicherheitslücke ins Visier, doch bestätigte Einbrüche bleiben aus
Weltweit gerieten nach Notfallwarnungen Millionen Webserver unter Beschuss, erfolgreiche Angriffe auf Produktivsysteme sind bisher jedoch nicht belegt.
Weitere Links
PHP Foundation und PHP-SicherheitsteamUnbekannte PHP2Shell-AngreiferAmazon Threat IntelligenceDie Geschichte geht weiter
Palo Alto Networks zieht Bericht über PHP2Shell-Angriff auf Regierungsnetzwerk zurück
29. Oktober 2026Der US-Sicherheitskonzern kann einen Hackerangriff auf eine europäische Behörde nicht länger auf zwei Schwachstellen in der Websprache PHP zurückführen.
Das Wesentliche
Sicherheitslücken in der Programmiersprache PHP, die einen riesigen Teil des Internets antreibt, lösten weltweite Besorgnis und vorübergehende Abschaltungen von Regierungsportalen aus. Bis zum 23. Oktober ergaben Sicherheitsprüfungen jedoch keine bestätigten Angriffe auf Webseiten oder gestohlene Daten. Zwar feuerten Angreifer zehntausende automatisierte Sondierungen auf Server ab, doch Abwehrsysteme und Notfall-Patches hielten stand – womit der Vorfall eine Serie vereitelter Versuche blieb statt eines folgenschweren Datenabflusses.
Die Kernpunkte
- Bis zum 23. Oktober hat keine namentlich bekannte Produktiv-Website einen bestätigten Einbruch oder den Diebstahl von Kundendaten gemeldet.
- Der IT-Sicherheitsanbieter Sophos zog den Bericht über einen kompromittierten Kunden zurück, nachdem forensische Analysen zeigten, dass die Abwehrsysteme den Angriff gestoppt hatten.
- Das Sicherheitsnetzwerk Wordfence registrierte mehr als 74.000 Scan- und Angriffsversuche auf WordPress-Seiten, ohne eine einzige Kompromittierung festzustellen.
- Der Webhoster Pantheon blockierte über 60.000 Angriffsversuche während des Patch-Vorgangs, ohne Anzeichen für ein Eindringen in interne Systeme zu finden.
- Britische Behörden nahmen 32 staatliche Dienste als reine Vorsichtsmaßnahme vom Netz; ein Einbruch in zentrale Regierungssysteme wurde nicht festgestellt.
Durch Web-Schutzsysteme abgewehrte Angriffsanfragen
AnfragenDer BefundMassive Angriffswellen wurden gestoppt, bevor sie interne Server erreichen konnten.
- Die Zahl bösartiger PHP2Shell-Anfragen, die von Web-Abwehrsystemen abgefangen wurden, ohne dass es zu internen Einbrüchen kam.
- Wordfence-Netzwerk — Ein Firewall-Schutzsystem zur Absicherung unabhängiger WordPress-Websites
- Pantheon-Plattform — Ein Cloud-Hosting-Dienstleister für geschäftliche Websites
- Belegt, dass der automatische Scan-Verkehr von den vorgelagerten Schutzsystemen abgewiesen wurde, bevor Systeme Schaden nahmen.
Aus dem Tagebuch des Redakteurs
Ein hohes Aufkommen feindlichen Datenverkehrs zeigt lediglich, dass Angreifer an Türen rütteln – nicht, dass sie ins Gebäude gelangt sind. Wenn Sicherheitslücken publik werden, sind vorübergehend abgeschaltete Dienste oft ein Beleg für rasches Handeln der Administratoren und kein Beweis für einen erfolgreichen Hackerangriff.
Wer beteiligt ist
PHP Foundation und PHP-Sicherheitsteam
Die gemeinnützige Organisation, die die Programmiersprache hinter Millionen von Websites pflegt
will → Dringlichkeits-Updates für Server bereitstellen und das Vertrauen in die Software sichern
Unbekannte PHP2Shell-Angreifer
Nicht identifizierte Akteure, die automatisierte Angriffsskripte gegen Webhosting-Netzwerke richten
will → Verwundbare Server aufspüren, um deren Kontrolle zu übernehmen oder Schadsoftware zu platzieren
Amazon Threat Intelligence
Die IT-Sicherheitsabteilung des Cloud-Anbieters Amazon Web Services
will → Frühzeitige Angriffsmuster in Locknetzen erkennen und geschäftliche Cloud-Kunden abschirmen
Patchstack
Ein auf Website-Sicherheit spezialisiertes Unternehmen, das eingehende Angriffe beobachtet
will → Hosting-Anbieter vor gefährlichem Datenverkehr warnen und den Erfolg von Angriffsversuchen überprüfen
Wiz Research
Ein Forschungslabor für Cloud-Sicherheit, das Softwareschwachstellen analysiert
will → In isolierten Testreihen demonstrieren, wie fehlerhafte Speicherverwaltung sensible Serverdaten preisgeben kann
Sophos
Ein IT-Sicherheitsdienstleister zum Schutz von Unternehmensnetzwerken
will → Eingehende Attacken analysieren, Abwehrmaßnahmen ausrollen und voreilige Meldungen über angebliche Einbrüche korrigieren
BambooHR und weitere betroffene Plattformbetreiber
Unternehmen, die Gehaltsabrechnungen, Hosting und Bürgerdienste betreiben
will → Vertrauliche Nutzerdaten schützen, indem Systeme für Sicherheitsupdates vorübergehend vom Netz genommen werden
Nationale Cybersicherheitsbehörden
Staatliche Einrichtungen, darunter das britische National Cyber Security Centre
will → Die Abwehr im öffentlichen Sektor koordinieren und verhindern, dass vorsorgliche Abschaltungen als Hacks missverstanden werden
Kurz gefasst
Der weltweite Alarm um die als PHP2Shell bekannte Sicherheitslücke hat nach derzeitigem Stand keine verifizierten Datendiebstähle oder Netzwerkeinbrüche hinterlassen. Dass in mehreren Ländern Behördenportale und Websites zeitweise nicht erreichbar waren, lag an eilends eingeleiteten Schutzmaßnahmen der Betreiber und nicht an erfolgreichen Hackerangriffen.
Hosting-Anbieter werten derzeit Serverprotokolle forensisch aus, um auszuschließen, dass unbemerkte Eindringlinge die Systeme noch vor dem Einspielen der Notfall-Updates unterwandert haben.
Ob es vereinzelt zu folgenschweren Einbrüchen kam, bleibt vorerst offen, da die detaillierte Prüfung interner Protokolldateien Tage oder Wochen in Anspruch nimmt. Solange jedoch kein betroffenes Unternehmen forensische Belege für abgeflossene Daten vorlegt, bleibt das Geschehen ein massiver Ansturm abgewehrter Angriffsversuche.
Wie es sich entwickelte
Ein unbemerkter Programmierfehler wird zur Waffe
Die Schwachstelle schlummerte zwei Jahre lang in den Speicherbereinigungsroutinen von PHP, ehe Fachleute erkannten, wie sie sich für Angriffe zweckentfremden ließ. Am 11. August 2026 informierte der Sicherheitsanalyst Ryan A von Calif die PHP-Entwickler vertraulich darüber, dass Unbefugte über das Leck die Kontrolle über entfernte Systeme erlangen könnten. Zeitgleich stieß das KI-Unternehmen OpenAI unabhängig auf dieselbe Ursache, und der Cloud-Sicherheitsspezialist Wiz meldete zwei Wochen später weitere Angriffswege. Die diskreten Warnungen sollten den Entwicklern ausreichend Zeit verschaffen, die Lücke zu schließen, bevor Kriminelle sie ausnutzen konnten. Dieser Plan geriet jedoch am 20. Oktober ins Wanken, als erste Bezeichnungen der Schwachstellen in den sozialen Medien durchsickerten. Das Entwicklerteam sah sich gezwungen, eine vorgezogene Notfallwarnung herauszugeben, während bereits erste technische Details die Runde machten.
Geheimhaltung unter Druck
Während die Entwickler im Spätsommer an Patches für Millionen von Websites arbeiteten, begannen im Hintergrund bereits die ersten feindlichen Scans. Wiz lieferte am 24. August weitere technische Erkenntnisse nach, gefolgt von OpenAI am 18. September. Von der Öffentlichkeit unbemerkt registrierte Amazons Täuschungsnetzwerk MadPot bereits am 17. Oktober einen ersten Ausnutzungsversuch. Dieser Vorfall bewies, dass Dritte frühzeitig von der Sicherheitslücke wussten; da jedoch lediglich ein Ködersystem getroffen wurde, lag darin kein Beleg für einen erfolgreichen Einbruch in ein reguläres Unternehmensnetz. Als drei Tage später vertrauliche Details durchsickerten, mussten die Entwickler ihren Zeitplan vorziehen – wie der Bericht Wie der geheime Patch-Plan für PHP2Shell vor der Veröffentlichung aufflog zeigt. Zeitgleich tauchte kurzzeitig ein Demonstrationsvideo von Calif im Netz auf, bevor es wieder gelöscht wurde.
Die Angriffswelle prallt an Schutzmauern ab
Am Tag der offiziellen Veröffentlichung rollten automatisierte Angriffswellen über das Internet, ohne jedoch nachweisbar in Zielsysteme einzudringen. Amazon fing ab etwa 02:00 Uhr UTC erste Angriffsversuche auf Basis öffentlich gewordener Konzepte ab, während Cloudflare Web-Firewalls aktivierte, um Kunden abzuschirmen. Der Sicherheitsanbieter Patchstack erhielt am Vormittag Warnungen von Partner-Hostern über laufende Angriffe, doch kein einziger Partner meldete einen kompromittierten Server oder gestohlene Datenbanken. Um 13:52 Uhr UTC wurden die korrigierten PHP-Versionen freigegeben. Messdaten aus Honeypots der Deutschen Telekom fingen manipulierte Anfragen ab, die bösartige Befehle einzuschleusen versuchten; die Befehle prallten jedoch an den Überwachungssystemen ab, ohne reale Ziele zu erreichen.
Vorsorgliche Abschaltungen schützen Portale
Aus Sorge vor Übergriffen nahmen staatliche Stellen und Online-Dienste ihre Portale vorübergehend vom Netz, um die Patches in aller Ruhe einzuspielen. In den Niederlanden setzten das Authentifizierungsportal DigiD, die Bürgerplattform MijnOverheid sowie Parlamentsdienste den Online-Zugriff aus. Der US-Personalsoftwareanbieter BambooHR warnte seine Kunden, schaltete seine Dienste um 11:51 Uhr UTC ab, spielte die Updates ein und ging um 18:01 Uhr UTC wieder ans Netz. Auch die Wikimedia Foundation schaltete ihre Entwicklerplattform Phabricator vorübergehend ab. Die britische Regierung teilte mit, 32 staatliche Dienste seien vorsorglich nicht erreichbar gewesen; Ministerien betonten jedoch, dass keines der Systeme kompromittiert worden sei. Das Abschalten diente dem präventiven Schutz und war kein Beleg für einen Datenabfluss.
Angeblicher Einbruch erweist sich als Fehlalarm
Die erste Meldung über einen erfolgreichen Angriff auf ein Unternehmensnetzwerk hielt einer eingehenden forensischen Prüfung nicht stand. Analysten von Arctic Wolf registrierten zwar Skripte, die versuchten, das Botnetz-Programm Potassium nachzuladen, fanden jedoch keine Hinweise darauf, dass der Download glückte. Wiz demonstrierte im Labor, dass sich über ausgelesenen Speicher Passwörter stehlen ließen, stieß bei realen Firmen aber auf keinerlei erbeutete Datensätze. Um 16:18 Uhr UTC meldete der Sicherheitskonzern Sophos zunächst einen erfolgreichen Angriff bei einem Kunden. Fünf Stunden später zog Sophos die Meldung zurück: Eine detaillierte Untersuchung ergab, dass die Abwehrmechanismen den Angriff gestoppt hatten, bevor Schadsoftware eindringen konnte. Unterdessen wehrte die Web-Plattform Pantheon 60.000 Angriffsversuche ab, ohne Schaden zu nehmen, während der Softwareanbieter Bynder seine Systeme ebenfalls für sauber erklärte.
Millionen Scans ohne verifizierte Opfer
Bis zum 23. Oktober belegten weltweite Telemetriedaten ein enormes Aufkommen feindlicher Scans, brachten jedoch keine bestätigten Schadensfälle zutage. Der Sicherheitsexperte Erik Kraijenoord stellte fest, dass Firewalls des WordPress-Sicherheitsdienstes Wordfence über 74.000 Angriffsversuche auf Kundenseiten abfingen, ohne eine einzige Kompromittierung zu verzeichnen. Auch der Datenbankdienstleister Percona teilte nach einer Prüfung mit, dass weder Indikatoren für Angriffe noch kompromittierte Kundendaten vorlägen. Pantheon schloss die Bearbeitung des Vorfalls nach vollständiger Verteilung der Patches offiziell ab, während Sophos seine Erkennungsfilter erweiterte, ohne die Einbruchsmeldung zu erneuern. Die PHP-Entwickler veröffentlichten zwar noch einen Warnhinweis zu einem separaten Fehler beim Hochladen von Dateien, doch die weltweite Web-Infrastruktur überstand die Angriffswelle mit weitgehend intakten Schutzlinien.
Erneut geprüft
Derzeit keine neuen Entwicklungen.
Erneut geprüft
Derzeit keine neuen Entwicklungen.
Wo die Dinge stehen
Bis zum 23. Oktober 2026 um 16:30 Uhr UTC hat keine namentlich bekannte Produktiv-Website oder Online-Plattform einen verifizierten Einbruch oder dokumentierten Datenverlust im Zusammenhang mit PHP2Shell erlitten. Zwar demonstrierten Sicherheitsforscher in isolierten Testumgebungen den Diebstahl von Zugangsdaten, in realen Netzwerken wurden jedoch bislang weder gestohlene Passwörter noch abgegriffene Sitzungsdaten oder Kundendatenbanken nachgewiesen.
Die Aktivitäten der Angreifer beschränkten sich auf versuchte Attacken und automatisierte Massenscans. Sondierungen erreichten die Locknetze von Amazon am 17. und 21. Oktober, parallel zu Messungen der Deutschen Telekom, von Arctic Wolf, Wordfence und Sophos. Die Ausfälle bei BambooHR, Wikimedia, niederländischen Portalen und britischen Regierungsstellen waren bewusst gewählte Schutzabschaltungen. Hosting-Anbieter wie Pantheon, Bynder, enable.services und Percona stellten keinerlei Spuren erfolgreicher Angriffe fest. Solange kein Unternehmen forensische Beweise für ein unbemerktes Eindringen vorlegt, bleibt PHP2Shell das Szenario einer massiven Angriffswelle, die durch schnelles Schließen der Sicherheitslücken neutralisiert werden konnte.
PHP2Shell: die PHP-Sicherheitskrise
PHP-Sicherheitsupdate trotz Falschmeldungen über Umgehung wirksam
21. Oktober 2026Berichte über ein angeblich fehlerhaftes Notfall-Patch für Millionen Webserver entbehren laut technischen Analysen jeder Grundlage.
PHP schließt kritische Sicherheitslücken nach vorzeitiger Veröffentlichung von Angriffscode
21. Oktober 2026Vorzeitig ins Netz gelangte Exploit-Anleitungen bedrohen Millionen Webserver weltweit mit einer feindlichen Übernahme, noch bevor offizielle Updates bereitstanden.
