Am Mittwoch hätte eine jahrzehntealte Open-Source-Webtechnologie namens PHP fast das Internet lahmgelegt – dank zweier Schwachstellen, die jahrelang unentdeckt schlummerten, bis Forscher kürzlich einen Weg fanden, sie auszunutzen. Die Bugs tragen den Namen PHP2Shell, offiziell CVE-2026-109618 und CVE-2026-109619. Einfach ausgedrückt: Die Lücken ermöglichen es jedem, der weiß, wie man sie ausnutzt, in ein PHP-basiertes Online-System einzudringen – etwa eine Website oder einen internetzugewandten Server –, ohne ein Passwort zu benötigen, um auf Daten zuzugreifen oder sie zu verändern. Das war ein ziemlich dickes Ding und zwang Millionen Menschen weltweit, ihre Systeme fieberhaft zu patchen, bevor böswillige Hacker sie missbrauchen konnten.

Die PHP Foundation, die die PHP-Websoftware wartet, veröffentlichte am Mittwoch Patches, die die Bugs beheben und nach der Installation Angriffe auf internetzugewandte Server verhindern. Die Stiftung hatte einigen der größten Internetfirmen und Webhostern, die auf PHP setzen, bereits einen Vorsprung beim Patchen verschafft. Dank wochenlanger Hinterzimmer-Gespräche und sorgfältiger Koordination in der Branche wurde eine massenhafte Internet-Ausbeutung – bislang – weitgehend vermieden. Ab Mittwoch begannen Regierungen, Bürger und Unternehmen mit Websites zur Minderung der Risiken aufzurufen. Eine breite Palette von Branchen schloss ihre Websites und nahm Dienste offline, um ihre Systeme zu patchen. Banken, Einzelhändler, Gaming-Seiten, Online-Shops, Krankenhäuser und einige Regierungsbehörden fuhren ihre Server herunter, um Angriffe zu verhindern. Doch Sicherheitsforscher warnen, dass die Lage noch nicht überstanden ist und eine große Zahl von Systemen weltweit ungepatcht und anfällig für Hacks und Datendiebstahl bleibt. Es ist auch unwahrscheinlich, dass dies der letzte große Schrecken in Sachen Internet-Software war – einige erwarten, dass KI schnell noch unentdeckte Schwachstellen aufspüren wird, die nur darauf warten, gefunden und ausgenutzt zu werden.

Sicherheitsforscher bei Calif fanden zwei Bugs in PHP, einer Programmiersprache, die weltweit häufig für den Bau von Websites und Web-Apps genutzt wird – sowohl im Internet als auch lokal in Firmennetzen wie Intranets und internen Seiten. PHP ist Open Source, also kostenlos und für jeden fast aus jedem Grund nutzbar. So wurde es zu einer der beliebtesten und am breitesten eingesetzten Web-Programmiersprachen überhaupt. Die beiden Bugs wurden erstmals 2024 entdeckt, galten damals aber nicht als ausnutzbar und wurden nicht gepatcht. Sicherheitsforscher fanden kürzlich einen Weg, sie auszunutzen, und alarmierten die Hersteller der Software, um sie zu fixen. Calif informierte die PHP Foundation, die mit der Behebung der Bugs und einer koordinierten Offenlegung begann. Die Stiftung stellte Informationen und Patches zu den Sicherheitsproblemen unter strenger Geheimhaltung – im Wesentlichen vertraulich bis zu einer bestimmten Frist – bereit, um großen Unternehmen die Möglichkeit zu geben, die Fixes vorab zu installieren.

PHP2Shell ist ziemlich ernst, weil es remote über das Internet missbraucht werden kann, ohne dass das Opfer auf einen Link klicken oder eine Datei öffnen muss. Das nennt man Remote Code Execution, und es ist eine der schädlicheren Arten von ausnutzbaren Bugs, weil sie einem Hacker irgendwo auf der Welt praktisch die volle Kontrolle über ein betroffenes und ungepatchtes System verschaffen kann. Schlimmer noch: Diese speziellen PHP-Bugs ermöglichen es, in jedes ungepatchte System im Internet einzudringen, ohne ein Passwort oder andere Anmeldedaten – bekannt als unauthentifizierter Zugriff. Ein böswilliger Hacker könnte dann Malware auf dem Rechner platzieren, etwa um Daten zu stehlen oder einfach einen langfristigen Fuß in der Tür zu behalten, zu dem er später zurückkehren kann.

Die Bugs sind besonders riskant, weil PHP extrem verbreitet ist – teils weil es kostenlos und relativ einfach zu nutzen ist, aber auch weil es seit Jahrzehnten existiert. Rund 70 % des internetzugewandten Webs setzen auf PHP, obwohl die Nutzung im Laufe der Jahre langsam zugunsten neuerer Technologien zurückgeht.