Wir haben diese Behauptung analysiert: Stimmt es, dass
CISA zwei als PHP2Shell bekannte PHP-Schwachstellen am 26. Oktober in ihren Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen und eine Frist für Bundesbehörden bis zum 29. Oktober gesetzt hat?
Offizielle Behördeneinträge belegen, dass CISA beide Schwachstellen am 26. Oktober in ihre Liste aktiver Bedrohungen aufnahm und Bundesbehörden verpflichtete, die Lücken bis zum 29. Oktober zu schließen und Systeme auf Einbrüche zu prüfen
US-Behörde CISA setzt Bundesbehörden Frist bis 29. Oktober zur Behebung von PHP-Sicherheitslücken
Die Cybersicherheitsbehörde warnt vor laufenden Angriffen auf Programmcode, der Millionen Webdienste und behördliche Systeme antreibt.
Die Geschichte geht weiter
Dritte PHP-Schwachstelle verlangt Konfigurationsprüfung statt Notfall-Patch
30. Oktober 2026Eine neu entdeckte Sicherheitslücke in der weitverbreiteten Web-Engine lässt sich nur durch gezielte Einstellungen und nicht über außerplanmäßige Updates schließen.Cloudflare setzt Kopfgeld auf eigene Schutzwälle aus
29. Oktober 2026Der US-Netzwerkdienstleister belohnt Sicherheitsforscher mit Prämien, wenn sie die vorgeschaltete Firewall vor ungepatchter Serversoftware überwinden.
Nextron warnt vor unbestätigter Botnet-Schadsoftware
28. Oktober 2026Ein deutsches Sicherheitsunternehmen hat Angriffscode in einer Schadcodedatei entdeckt, doch Belege für funktionierende Attacken im Netz fehlen bislang.Japans Cybersicherheitsbehörde warnt vor Angriffswelle auf PHP-Server
27. Oktober 2026Das JPCERT/CC verschärft seinen Sicherheitshinweis, nachdem Angreifer frei verfügbare Werkzeuge gegen frei erreichbare Webserver einsetzen.
Das Wesentliche
Die US-Cybersicherheitsbehörde CISA hat zivilen Bundesministerien und -behörden am 26. Oktober befohlen, zwei gravierende Schwachstellen in der Programmiersprache PHP bis zum 29. Oktober zu schließen und ihre Netzwerke auf Eindringlinge zu überprüfen. Unabhängige Sicherheitsforscher hatten zuvor nachgewiesen, dass Hacker bereits scharfe Befehle gegen internetfähige Server absetzen, woraufhin Konzerne wie Oracle Notfall-Patches nachreichten. Obwohl Zehntausende automatisierte Angriffe durch das Netz laufen, ist bislang weder bekannt, wer die Drahtzieher sind, noch wie viele Netzwerke tatsächlich geknackt wurden.
Die Kernpunkte
- CISA setzt zivilen Bundesbehörden eine Frist bis zum 29. Oktober, um beide PHP2Shell-Sicherheitslücken vollständig zu schließen.
- Der Sicherheitsforscher Adel Karimi dokumentierte 35 Fälle, in denen Angreifer erfolgreich Shell-Befehle auf Köderservern ausführten.
- Netzwerksensoren des Delft Threat Intelligence Lab registrierten 65.409 Ausnutzungsversuche von 633 IP-Adressen aus 71 Ländern.
- Im offiziellen CISA-Katalog wird eine Beteiligung von Ransomware-Gruppen an den Angriffen derzeit als unbekannt eingestuft.
Erfasste PHP2Shell-Angriffsversuche im Zeitverlauf
Der BefundDie Angriffsversuche stiegen am 26. Oktober sprunghaft an und flachten nach dem Überschreiten von 65.000 erfassten Anfragen allmählich ab.
- Gesamtzahl der bösartigen Angriffsversuche, die von den Netzwerksensoren des Delft Threat Intelligence Lab gemessen wurden.
- Angriffsanfragen — Bösartige Datenpakete im Internet, die gezielt Schwachstellen in PHP-Software ansprechen
- Der steile Anstieg der Scan-Wellen erklärt, warum die US-Behörden den öffentlichen Stellen ein kurzes Reparaturfenster von nur drei Tagen setzten.
Aus dem Tagebuch des Redakteurs
Ein Software-Patch verriegelt die Tür gegen künftige Einbrecher, doch verlässliche Sicherheit verlangt den Nachweis, dass während der offenen Phase niemand unbemerkt hineinspaziert ist.
Wer beteiligt ist
Cybersecurity and Infrastructure Security Agency (CISA)
Die US-Behörde für Cybersicherheit, die aktiv ausgenutzte digitale Bedrohungen erfasst und verbindliche Schutzvorgaben für zivile Regierungsnetze erlässt
will → Bundesnetzwerke schützen, indem gefährliche Softwaremängel identifiziert und strenge Fristen für Sicherheitsupdates durchgesetzt werden
Unbekannte PHP2Shell-Angreifer
Nicht identifizierte Hackergruppen, die über das Internet manipulierte Befehle an verwundbare PHP-Systeme senden
will → Fremde Rechner unter die eigene Kontrolle bringen, um Daten abzugreifen, Zugangsdaten zu stehlen oder Rechenleistung zu kapern
Adel Karimi
Sicherheitsforscher beim KI-Unternehmen Perplexity, der manipulierte Köderserver zur Analyse realer Cyberangriffe betreibt
will → Reale Angriffe lückenlos dokumentieren, damit Sicherheitsteams tatsächliche Gefahren frühzeitig erkennen und abwehren können
Zivile US-Bundesbehörden
US-Regierungsstellen, die behördliche Netzwerke unter verbindlichen Cybersicherheitsregeln betreiben
will → Verwundbare Systeme identifizieren, vorgeschriebene Patches fristgerecht einspielen und Netzwerke auf unbemerkte Einbrüche untersuchen
PHP Group
Das ehrenamtliche Entwicklerteam, das die Programmiersprache PHP pflegt, weiterentwickelt und bereitstellt
will → Funktionierende Sicherheitsupdates veröffentlichen, mit denen Administratoren unterstützte Installationen absichern können
Oracle
US-amerikanischer Anbieter von Unternehmenssoftware, dessen Geschäftsanwendungen und Betriebssysteme PHP-Komponenten einbinden
will → Betroffene Produkte bereinigen und offizielle Aktualisierungen bereitstellen, um Unternehmenskunden vor Übergriffen zu schützen
Delft Threat Intelligence Lab
Forschungslabor einer niederländischen Universität, das Schadverkehr im Netz über Sensoren überwacht
will → Angriffsversuche im weltweiten Datenverkehr erfassen, um die Ausbreitung neuer digitaler Angriffswellen zu beziffern
Kurz gefasst
Die US-Regierung hat zivile Bundesbehörden angewiesen, zwei kritische Sicherheitslücken in der Programmiersprache PHP unverzüglich zu schließen, da Angreifer die Schwachstellen bereits für Serverübernahmen ausnutzen. Die Notfallanweisung zwingt die Systembetreuer der Behörden dazu, zentrale digitale Infrastrukturen innerhalb von drei Tagen abzusichern und umgehend nach Spuren möglicher Vordringlinge zu suchen, die vor den Reparaturen in die Netzwerke gelangt sein könnten.
In den kommenden Tagen steht IT-Abteilungen von Behörden und Technologiekonzernen ein Wettlauf gegen die Zeit bevor, um Systeme zu patchen und Serverprotokolle zu überprüfen.
Dass dieser Schritt flächendeckend folgt, gilt als sicher: Für zivile US-Bundesbehörden sind die Sicherheitsweisungen rechtlich bindend, während große Softwareanbieter wie Oracle bereits eigene Notfallupdates für Unternehmenskunden bereitgestellt haben.
Gemeldet von: Europa-heute-Barometer · 29. Oktober 2026
Die Vorgeschichte
Wikidot schließt kritische Sicherheitslücke und schaltet Plattform wieder frei
25. Oktober 2026Der Hosting-Dienst bringt kollaborative Schreibarchive nach einer Notabschaltung zurück ans Netz, nachdem Systemprüfungen keine Spuren von Angriffen ergaben.Internet Initiative Japan registriert Angriffe auf PHP2Shell-Schwachstelle
25. Oktober 2026Angreifer kapern Server für Botnetze, unmittelbar nachdem Sicherheitsupdates für die Programmiersprache PHP bereitgestellt wurden.Sicherheitslücke in PHP hebelt Schutzfunktionen von Millionen Servern aus
24. Oktober 2026Angreifer können gängige Linux-Speichersperren überwinden und laufende Webanwendungen vollständig übernehmen.
US-Behörde CISA verschärft Schutzregeln nach Angriffswelle auf PHP-Schwachstellen
24. Oktober 2026Fehler im Code von Millionen Websites lösen weltweite Attacken aus, bestätigte Server-Übernahmen bleiben jedoch aus.
Britische Regierung schaltet Dutzende Behördenportale wegen Softwarelücken ab
24. Oktober 2026Um sich vor globalen Schwachstellen in weit verbreiteter Websoftware zu schützen, kappte Großbritannien vorsorglich den Zugang zu zahlreichen Bürgerdiensten.Mexikos größte Universität schweigt zu Warnung vor Sicherheitslücke
24. Oktober 2026Die UNAM lässt Berichte über ein angeblich ungeschütztes Hauptportal ohne Bestätigung oder Dementi im Raum stehen.
Neue Schwachstelle gefährdet gepatchte PHP-Server trotz Notfallupdates
24. Oktober 2026Die jüngsten Sicherheitsreparaturen für die weit verbreitete Websprache lassen unter seltenen Bedingungen ein Einfallstor offen.
Japan schließt kritische Softwarelücken unter Hochdruck
22. Oktober 2026Ein eiliges Update für weit verbreitete Web-Software legt öffentliche Dienste lahm, doch Berichte über Datendiebstahl gibt es bislang nicht.
PHP-Sicherheitsupdate trotz Falschmeldungen über Umgehung wirksam
21. Oktober 2026Berichte über ein angeblich fehlerhaftes Notfall-Patch für Millionen Webserver entbehren laut technischen Analysen jeder Grundlage.
PHP schließt kritische Sicherheitslücken nach vorzeitiger Veröffentlichung von Angriffscode
21. Oktober 2026Vorzeitig ins Netz gelangte Exploit-Anleitungen bedrohen Millionen Webserver weltweit mit einer feindlichen Übernahme, noch bevor offizielle Updates bereitstanden.
Wie es sich entwickelte
Köderserver fangen scharfe Angriffe ab
Eindeutige Belege für reale Angriffe wurden am 24. Oktober sichtbar, als der Sicherheitsforscher Adel Karimi die Ausführung von Betriebssystembefehlen auf drei präparierten Köderservern registrierte. Diese sogenannten Honeypots imitieren reale Server, um Angreifer anzulocken. Die Messungen bewiesen, dass manipulierte Netzwerkanfragen die zugrundeliegende Webserver-Software dazu zwingen können, beliebige Befehle von Außenstehenden auszuführen.
Softwarehersteller reagieren mit Notfallupdates
Große Technologieanbieter reagierten prompt mit Sicherheitsaktualisierungen, nachdem sich die Belege mehrten, dass Angreifer fremde Systeme vollständig übernehmen können. Oracle veröffentlichte am 25. Oktober eine Dringlichkeitswarnung für eigene Kommunikationslösungen und Betriebssystemwerkzeuge, während Palo Alto Networks Softwarekorrekturen für seine Unternehmens-Firewalls herausgab.
CISA stuft beide Schwachstellen offiziell als aktive Gefahren ein
Die US-Regierung griff am 26. Oktober ein und nahm beide Schwachstellen unter den Kennungen CVE-2026-109618 und CVE-2026-109619 in ihr Verzeichnis aktiv ausgenutzter Sicherheitslücken auf. Der offizielle Katalogeintrag stellte fest, dass nicht authentifizierte Angreifer aus der Ferne über beide Fehler Systeme kapern können, und setzte verbindliche Fristen für die Bundesverwaltung in Gang.
Drei Tage Frist für Behörden bei anhaltenden Angriffen
Mit dem Katalogeintrag setzte die Behörde zivilen Bundeseinrichtungen eine Frist bis zum 29. Oktober, um gefährdete Systeme abzusichern und Netzwerke forensisch auf unbemerkte Einbrüche zu prüfen. Die Angriffe im weltweiten Netz rissen unterdessen nicht ab, was unterstreicht, dass die Bereitstellung von Softwarekorrekturen automatisierte Scans und feindliche Zugriffe nicht auf einen Schlag beendet.
Wo die Dinge stehen
Beide PHP-Sicherheitslücken stehen nun verbindlich im Bedrohungsregister der CISA, womit zivile US-Bundesbehörden ihre verwundbaren Systeme bis zum 29. Oktober abdichten und auf frühere Eindringlinge untersuchen müssen. Die Behörde stuft beide Schwachstellen als aktiv ausgenutzt ein, hält die konkreten technischen Geheimdienstinformationen hinter dieser Einstufung bislang jedoch unter Verschluss.
Sicherheitsforscher konnten zwar nachweisen, dass Angreifer auf eigens eingerichteten Köderservern erfolgreich Befehle absetzen konnten, doch diese Versuche verraten nicht, wie viele echte Systeme in Behörden oder Unternehmen tatsächlich kompromittiert wurden. Bislang ist weder geklärt, wer hinter den weltweiten Angriffswellen steckt, noch welche Organisationen echten Datenabfluss erlitten haben oder ob Erpresserbanden mit Ransomware beteiligt sind. Für Netzwerkbetreiber lautet die entscheidende offene Frage bis zum Ablauf der Frist am 29. Oktober nun nicht nur, ob ihre Patches rechtzeitig greifen, sondern ob die forensischen Prüfungen bereits erfolgte Einbrüche ans Licht bringen.