Online sind Details zu zwei kritischen Sicherheitslücken in der Programmiersprache PHP durchsickert, zeitnah zu den Vorbereitungen für deren Veröffentlichung im Rahmen des koordinierten Offenlegungsprogramms und bevor offizielle Updates vollständig für die Nutzer verfügbar waren. Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und weisen jeweils einen sehr hohen Schweregrad von 9.2 auf dem CVSS-Skala auf, wodurch sie laut Warnungen der Europäischen Agentur für Cybersicherheit (CERT-EU) anfällig für eine mögliche Ausnutzung ohne Authentifizierung sind.
Technische Berichte haben diese Schwachstellen als PHP2Shell bezeichnet und darauf hingewiesen, dass Angreifer sie möglicherweise ausnutzen können, um Befehlsausführungsrechte (Shell) auf infizierten Servern zu erlangen. Erste Schätzungen deuten darauf hin, dass alle PHP-Versionen ab Version 5 (PHP 5) von diesen Software-Schwachstellen betroffen sein könnten.
Notfallvorbereitungen und Bestätigungen von Sicherheitsunternehmen
Nach dem Leak rief PHP dringlich dazu auf, sich auf die Anwendung von Updates vorzubereiten, sobald diese verfügbar sind. Dabei besteht die Möglichkeit, Korrekturen vorzeitig bereitzustellen, falls Beweise für die Ausnutzung der Schwachstellen in Live-Umgebungen auftauchen. Das Unternehmen für Exposures-Management WatchTowr bestätigte seinerseits, dass es die Schwachstelle CVE-2026-109618 erfolgreich reproduzieren konnte, beließ es jedoch aus Sicherheitsgründen bei der Bestätigung des Vorhandenseins des Fehlers, ohne die genauen technischen Details zu veröffentlichen.
Obwohl von den Unternehmen WatchTowr und Huntress zunächst keine unmittelbaren aktiven Angriffe registriert wurden, warnte das Cybersicherheitsunternehmen Sansec vor der Möglichkeit, dass automatisierte Ausnutzungsversuche innerhalb weniger Minuten nach der Veröffentlichung der Patches beginnen könnten. Später veröffentlichte PHP die erforderlichen Updates, während Cybersicherheitsunternehmen tatsächliche Ausnutzungsversuche registrierten, von denen einige sogar noch vor dem Eintreffen der Korrekturen auf den Zielservern verzeichnet wurden.
Warum diese Nachricht wichtig ist?
Diese Entwicklung stellt eine enorme Gefahr dar, da PHP das Rückgrat für den Betrieb eines riesigen Anteils von Websites und Servern weltweit bildet. Remotecodeausführungs-Schwachstellen (RCE), die keine Authentifizierung erfordern, ermöglichen es Hackern, die vollständige Kontrolle über die infizierte Infrastruktur zu erlangen. Darüber hinaus verdeutlicht das Ereignis die anhaltenden Herausforderungen bei der Schwachstellenverwaltung, wenn technische Details öffentlich durchsickern, bevor Patches verfügbar sind. Dies setzt Sicherheitsteams enormen Druck aus, Updates in Rekordzeit einzuspielen, um weitreichende automatisierte Angriffe abzuwehren.