Die Realität der Sicherheitsbedrohung
Die PHP2Shell-Schwachstelle, die aus zwei Software-Schwachstellen besteht (CVE-2026-109618 und CVE-2026-109619), stellt weiterhin eine existenzielle Bedrohung für die Web-Infrastruktur dar. Obwohl sie eine sehr hohe Risikobewertung (9,2) gemäß der CVSS-Skala erhalten hat, bleibt die Reaktion der Unternehmen auf Patch-Prozesse besorgniserregend schwach.
Laut Daten von Ox Security sind etwa 93,6 % der Systeme weiterhin anfällig für Angriffe, fünf Tage nach der Entdeckung der Schwachstelle. Forscher betonen, dass das Tempo der Behebungen immer noch sehr langsam ist, was sensible digitale Vermögenswerte Angreifern aussetzt.
Warum sind diese Nachrichten wichtig?
Die Gefahr der Situation liegt darin, dass etwa 70 % der Websites, die serverseitige Programmiersprachen verwenden, auf PHP basieren. Studien von Sicherheitsunternehmen wie Censys und Flare weisen darauf hin, dass Millionen von Diensten mit nicht mehr unterstützten PHP-Versionen betrieben werden, was bedeutet, dass sie keine offiziellen Sicherheitsupdates erhalten werden und ein größerer technischer Aufwand erforderlich ist, um auf sichere Versionen umzustellen.
Die Herausforderungen für Sicherheitsteams umfassen Folgendes:
- Abhängigkeit von veralteten Versionen: Schätzungen zufolge nutzen mehr als 70 % der gescannten Dienste PHP-Versionen, die vom Kernprojekt nicht mehr unterstützt werden.
- Komplexität des Upgrades: Die Aktualisierung alter Systeme erfordert die Lösung von Kompatibilitätsproblemen und die Aktualisierung von Anwendungen, was weitaus komplexer ist als das bloße Anwenden eines Software-Patches.
- Zunahme der Angriffe: Cloudflare hat einen massiven Anstieg der Exploit-Versuche beobachtet, die von Tausenden von Versuchen vor der Bekanntgabe der Schwachstelle auf Millionen von Versuchen aktuell angestiegen sind.
Regierungsmaßnahmen und Einschränkungen
Angesichts dieser Nachlässigkeit haben Regierungsbehörden entscheidende Maßnahmen ergriffen. Die US-Agentur für Cybersicherheit und Infrastruktursicherheit (CISA) hat zivile Bundesbehörden verpflichtet, die Schwachstelle bis zum 29. Oktober 2026 zu beheben. Zudem hat die Schwachstelle zur dauerhaften Schließung einiger PHP-basierter Plattformen geführt, da diese nicht mehr abgesichert werden konnten.
Experten betonen, dass das Vertrauen auf manuelles Patchen angesichts der weiten Verbreitung der Angriffe nicht mehr ausreicht und dass Organisationen, die weiterhin mit nicht unterstützten Versionen arbeiten, dem unmittelbaren Risiko erfolgreicher Sicherheitsverletzungen ausgesetzt sind.