Wir haben diese Behauptung analysiert: Stimmt es, dass
zwei schwerwiegende Sicherheitslücken in PHP vorzeitig an die Öffentlichkeit gelangten, während Angreifer sie bereits testeten?
Die am Patch beteiligte Koalition verlor die Kontrolle über den Zeitplan, nachdem ein Forenbeitrag, ein versehentlich veröffentlichtes Video und vorzeitige Downloads die Arbeiten einen Tag zu früh aufdeckten.
Wie der geheime Sicherheits-Patch für PHP vorzeitig aufflog
Ein vertraulicher Plan zur Behebung kritischer Schwachstellen im Fundament des Webs scheiterte kurz vor der Veröffentlichung.
Die Geschichte geht weiter
Europäische Warnhinweise widersprechen sich bei PHP-Patchzeiten
28. Oktober 2026Offizielle EU-Mitteilungen nennen unterschiedliche Veröffentlichungszeitpunkte für Notfall-Updates jener Software, die Millionen von Websites antreibt.
Das Wesentliche
Ein koordinierter Plan, zwei kritische Schwachstellen im Programmiergerüst PHP geheim zu beheben, brach am 20. und 21. Oktober binnen weniger Stunden zusammen. Ein anonymer Forenbeitrag, ein versehentlich veröffentlichtes Demonstrationsvideo und vorzeitige Software-Downloads zwangen die Entwickler, ihre Sicherheitsupdates einen Tag früher als geplant bereitzustellen. Obwohl Sensorfallen bereits Tage vor den Leaks verdächtige Zugriffe verzeichneten, haben Ermittler tatsächliche Serverübernahmen bislang nicht bestätigt.
Die Kernpunkte
- Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 ermöglichen Angreifern die Ausführung von Schadcode ohne Passwort.
- Amazon registrierte bereits am 17. Oktober Angriffsversuche auf die Lücke, drei Tage vor den ersten öffentlichen Leaks.
- Ein anonymer Forenbeitrag am 20. Oktober zwang das PHP-Team, die Veröffentlichung um 24 Stunden vorzuziehen.
- Das Sicherheitsunternehmen Chainguard stellte fertige Patches mehr als sechs Stunden vor Ablauf der Frist bereit.
- Eine Stichprobe am 22. Oktober ergab, dass 867 von 1.302 erreichbaren Websites weiterhin ungesichert blieben.
Aus dem Tagebuch des Redakteurs
Schwere Sicherheitslücken lassen sich kaum geheim halten, sobald Dutzende Partner eingebunden sind. Bricht die Absprache zusammen, schrumpft die Reaktionszeit der Administratoren auf null – und die Verteidigung wird zur Notfallübung unter laufendem Beschuss.
Wer beteiligt ist
PHP Foundation und PHP-Sicherheitsteam
Gemeinnützige Verwalter von PHP, der Sprache hinter der Hintergrundlogik von Millionen Websites
will → Den Systemkern sauber instand setzen, Distributoren koordinieren und Patches vor ersten Angriffswellen veröffentlichen
Calif Research und Ryan Austin
Ein IT-Sicherheitsunternehmen und dessen Analyst, der die Speicherfehler entdeckte
will → Sicherheitslücken verantwortungsvoll melden, die Angriffswege nachweisen und die Fehlerbehebung unterstützen
Chainguard und Dan Lorenc
Ein Anbieter für Software-Lieferkettensicherheit und dessen Geschäftsführer, der vorkonfigurierte Container-Umgebungen vertreibt
will → Kundensysteme sofort absichern, selbst wenn ein vorzeitiges Handeln eine vereinbarte Sperrfrist bricht
OpenAI und das Codex-Sicherheitsteam
Ein Unternehmen für künstliche Intelligenz, das Testwerkzeuge finanzierte und die Abwehrmaßnahmen mitorganisierte
will → KI-gestützte Scanner zur Fehlersuche einsetzen, Reparaturen unterstützen und Verteidigern Zeit verschaffen
Wiz Research
Ein Sicherheitsunternehmen, das alternative Angriffswege über denselben fehlerhaften Code aufdeckte
will → Das praktische Risiko für gängige Content-Management-Systeme bewerten und Schutzmechanismen testen
Quarkslab und OSTIF
Ein kommerzielles Prüfunternehmen und der Open-Source-Fonds, die 2024 ein Sicherheitsaudit von PHP durchführten
will → Strukturelle Schwachstellen frühzeitig erkennen, um quelloffene Internet-Software grundlegend sicherer zu machen
Amazon Threat Intelligence
Die Sicherheitsabteilung von Amazon, die über das Sensornetzwerk MadPot weltweite Angriffe erfasst
will → Aktive Einbruchsversuche abfangen und den zeitlichen Ablauf von Angriffen rekonstruieren
Hacker-News-Nutzer petecooper
Ein anonymes Benutzerkonto im Diskussionsforum Hacker News
will → Server-Administratoren vor einer bevorstehenden Sicherheitsmeldung warnen
Kurz gefasst
Der Plan, zwei gravierende Sicherheitslücken in der weltweiten Web-Infrastruktur im Stillen zu schließen, ist kurz vor dem Ziel zusammengebrochen. Die Skriptsprache PHP bildet das Rückgrat von Millionen Websites und Online-Diensten. Im August 2026 entdeckten Sicherheitsforscher zwei kritische Schwachstellen, über die Angreifer Server ohne Passwort aus der Ferne kapern können. Die Entwickler wollten die Korrekturen eigentlich erst am 22. Oktober veröffentlichen, um Hosting-Anbietern ausreichend Vorlauf zu geben. Durch mehrere Indiskretionen sahen sich die Verantwortlichen jedoch gezwungen, das Notfall-Update bereits am 21. Oktober vorzuziehen.
Für Webseitenbetreiber begann damit ein Wettlauf gegen die Zeit: Sie müssen ihre Systeme absichern, bevor Angreifer die nun offengelegten Schwachstellen flächendeckend ausnutzen. Sicherheitsexperten rechnen in den kommenden Tagen mit automatisierten Angriffswellen, da öffentlich gewordene Fehlerkorrekturen Angreifern präzise Baupläne für Angriffe liefern. Unabhängige Überwachungssysteme hatten bereits Tage vor jeder öffentlichen Warnung erste Testangriffe auf die Schwachstelle registriert.
Ob es bereits zu massenhaften Systemübernahmen kam, lässt sich noch nicht abschließend beurteilen. Bislang fingen die Sensoren vor allem Tastversuche und keine nachgewiesenen Einbrüche ab. Erst forensische Analysen auf betroffenen Servern werden zeigen, ob Angreifer erfolgreich Daten erbeuteten oder Systeme übernahmen. Die Chronologie belegt, wie ein über zwei Monate gehütetes Geheimnis innerhalb weniger Stunden in sich zusammenfiel.
Wie es sich entwickelte
Ein vergessener Fehler liefert frühe Hinweise
Die Ursachen der Krise reichen Jahre zurück und finden sich in älteren Entwicklertickets. Am 28. November 2019 meldete ein externer Entwickler unter der Ticketnummer 78876 einen Fehler im öffentlichen PHP-Fehlertracker: Beim Hochladen übergroßer Dateien blockierte das Speichermanagement, und temporäre Dateien blieben ungelöscht zurück. Die Betreuer schlossen den Vorgang im Mai 2020 mit einer unvollständigen Fehlerbehebung ab. Damals ging es lediglich um Systemabstürze und nicht um Fernzugriffe. Jahre später führten Forscher die Sicherheitskrise von 2026 jedoch genau auf diese Speicherverwaltung zurück.
Eine Warnung bleibt jahrelang ohne Folgen
Der eigentliche Ausgangspunkt der aktuellen Krise liegt in einer Sicherheitsüberprüfung aus dem Jahr 2024, die von der deutschen Sovereign Tech Agency finanziert wurde. Bei der gemeinsamen Auswertung mit der Prüffirma Quarkslab stellte ein PHP-Kernentwickler fest, dass Speicherengpässe den Interpreter in einen instabilen Zustand versetzen konnten. Das kleine Entwicklerteam prüfte Korrekturen, doch jeder Entwurf brachte Nachteile mit sich: Manche Ansätze drohten bestehende Webseiten zu beschädigen, andere führten zu Leistungseinbrüchen, und jede Änderung verlangte die Zustimmung des ehrenamtlichen Teams. Mangels Einigung legten die Betreuer das Problem zu den Akten – ohne zu erkennen, dass Angreifer darüber ganze Server übernehmen konnten.
Unabhängige Tests belegen die akute Gefahr
Im August 2026 bewiesen externe Sicherheitsforscher mithilfe von Werkzeugen auf Basis künstlicher Intelligenz, dass der alte Speicherfehler ein offenes Einfallstor darstellte. Ryan Austin, Analyst bei Calif, stellte fest, dass sich auf einem PHP-Server beliebige Befehle ohne Berechtigung ausführen ließen, sobald ein Prozess mittendrin abgebrochen wurde. Wenige Tage später bestätigte Wiz Research das Problem unabhängig und demonstrierte den Angriff auf Standardinstallationen von WordPress und Drupal, die Millionen privater und geschäftlicher Websites antreiben. Die PHP Foundation stufte die Behebung der Schwachstelle, die unter dem Namen PHP2Shell bekannt wurde, als oberste Priorität ein.
Geheimer Patch unter verfrühter Beobachtung
Einen Softwarekern zu reparieren, der von Millionen Anwendungen genutzt wird, erfordert höchste Vorsicht: Unbedachte Eingriffe in das Speichermanagement können Online-Shops und Unternehmensportale lahmlegen. Eine diskret formierte Koalition aus PHP-Entwicklern, Cloud-Anbietern und Linux-Distributoren vereinbarte strenge Vertraulichkeit bis zum 22. Oktober um 14:00 Uhr UTC, um Hosting-Dienstleistern Zeit für Vorbereitungen zu geben. Doch am 17. Oktober registrierte ein weltweites Sensornetzwerk von Amazon erste verdächtige Zugriffe: Unbekannte versuchten bereits, die unveröffentlichte Lücke auszunutzen. Unklar blieb, ob der Angreifer die Schwachstelle selbst gefunden oder von durchgesickerten Informationen profitiert hatte.
Ein Foreneintrag bricht die Sperrfrist
Am Nachmittag des 20. Oktober platzte die vereinbarte Geheimhaltung. Ein anonymer Nutzer namens petecooper veröffentlichte im Forum Hacker News die reservierten Kennnummern beider Sicherheitslücken und behauptete, beide wiesen den maximalen Schweregrad auf. Zwar enthielt der Beitrag keinen lauffähigen Angriffscode, doch die Information war in der Welt. Da das Geheimnis nicht mehr zu halten war, kündigte die PHP Foundation eine Notfallveröffentlichung für den nächsten Tag, den 21. Oktober um 14:00 Uhr UTC, an und stufte beide Lücken mit einem kritischen Schweregrad von 9,2 von 10 Punkten ein.
Ein versehentliches Video und ein vorzeitiger Patch
Die Lage eskalierte rasch weiter. Nur wenige Stunden nach dem Forenbeitrag veröffentlichte Calif versehentlich ein Video, das funktionierende Angriffe demonstrierte; Nutzer kopierten das Material sofort und verbreiteten es in sozialen Netzwerken. Am 21. Oktober um 07:41 Uhr UTC veröffentlichte das Sicherheitsunternehmen Chainguard dann fertige Software-Pakete mit den Fehlerbehebungen – mehr als sechs Stunden vor Ablauf der Frist. Die PHP-Entwickler warfen Chainguard einen Vertrauensbruch vor. Chainguard entgegnete, man habe Kunden vor Angriffen schützen müssen, die im Netz längst liefen.
Updates unter laufendem Beschuss
Die offiziellen Sicherheitsupdates für die unterstützten PHP-Versionen erschienen schließlich am 21. Oktober. Zu diesem Zeitpunkt lief der Angriffswettlauf bereits auf Hochtouren. Amazon und der Netzbetreiber Cloudflare verzeichneten Wellen automatisierter Scans, mit denen Angreifer Schutzfilter zu umgehen versuchten. Bis zum 22. Oktober zählte das Sicherheitsunternehmen Brandefense Hunderte Nachahmer-Projekte und Web-Domains, die sich auf PHP2Shell bezogen. Eine Stichprobe von 1.302 erreichbaren Websites ergab, dass 867 noch immer mit ungepatchter Software liefen – ein Beleg dafür, wie zögerlich Administratoren komplexe Systemaktualisierungen einspielen.
Erneut geprüft
Derzeit keine neuen Entwicklungen.
Erneut geprüft
Derzeit keine neuen Entwicklungen.
Wo die Dinge stehen
Offizielle Sicherheitsupdates stehen mittlerweile für die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit; für ältere Versionen gibt es vereinzelte Rückportierungen. Die PHP Foundation räumte ein, dass interne Konsensregeln eine Behebung über Jahre blockiert hatten, und kündigte an, ihre Entscheidungsstrukturen grundlegend zu reformieren.
Zwei wesentliche Fragen bleiben offen: Die Urheber des Leaks auf Hacker News sind ebenso unbekannt wie der Weg, über den der von Amazon am 17. Oktober registrierte Angreifer an Details der Schwachstelle gelangte. Zudem fehlt bislang der forensische Beweis, ob Angreifern vor oder nach Bereitstellung der Patches tatsächliche Einbrüche in Produktivsysteme oder Datenbanken gelangen.
PHP2Shell: die PHP-Sicherheitskrise
PHP-Sicherheitsupdate trotz Falschmeldungen über Umgehung wirksam
21. Oktober 2026Berichte über ein angeblich fehlerhaftes Notfall-Patch für Millionen Webserver entbehren laut technischen Analysen jeder Grundlage.
PHP schließt kritische Sicherheitslücken nach vorzeitiger Veröffentlichung von Angriffscode
21. Oktober 2026Vorzeitig ins Netz gelangte Exploit-Anleitungen bedrohen Millionen Webserver weltweit mit einer feindlichen Übernahme, noch bevor offizielle Updates bereitstanden.