PHP2Shell: KI entdeckt kritische PHP-Lücke - Webseiten jetzt prüfen

PHP2Shell: Kritische Sicherheitslücke macht schnelle Updates nötig -Bild: © TelefonTarifrechner.de

PHP2Shell: Warum die Sicherheitslücke so gefährlich ist

Die beiden Schwachstellen betreffen Speicherzustände innerhalb von PHP. Unter bestimmten Bedingungen können Fehler bei der Speicherverwaltung dazu führen, dass bereits freigegebene oder inkonsistente Daten später erneut verarbeitet werden. Solche Fehler können von Angreifern zur Speicherpreisgabe oder zur Ausführung eigenen Codes missbraucht werden.

Das PHP-Projekt warnt ausdrücklich vor einer möglichen Remote Code Execution ohne Authentifizierung. Ein öffentlicher Webserver kann damit grundsätzlich angegriffen werden, bevor sich ein Angreifer mit einem Benutzerkonto anmelden muss.

Die Europäische Kommission, ENISA, CERT-EU, Europol und das europäische CSIRT-Netzwerk veröffentlichten deshalb gemeinsam eine Warnung. Organisationen sollen PHP-Anwendungen identifizieren, Updates einspielen und öffentlich erreichbare Systeme bevorzugt behandeln.

Die gemeinsame Warnung von ENISA und europäischen Sicherheitsstellen spricht ausdrücklich von sofortigem Handlungsbedarf.

Diese PHP-Versionen sollten jetzt aktualisiert werden

Das PHP-Projekt hat für die aktuell unterstützten Versionszweige korrigierte Ausgaben bereitgestellt. Betreiber sollten mindestens auf eine der folgenden Versionen wechseln.

Die aktuellen Versionen und die Sicherheitswarnung stellt das PHP-Projekt auf seiner offiziellen Webseite bereit. Dort heißt es ausdrücklich, dass alle PHP-Nutzer möglichst sofort aktualisieren sollten.

Betroffen sind PHP-FPM, Apache, CGI, LiteSpeed und weitere Systeme

Die Warnung beschränkt sich nicht auf eine bestimmte Webserver-Konfiguration. Nach Angaben des PHP-Projekts gehören unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed zu den relevanten Betriebsvarianten.

Das höchste Risiko sieht das PHP-Team bei mod_php. Dort konnte ein Angriff demnach ausgelöst werden, bevor normaler Anwendungscode verarbeitet wurde. Damit lässt sich das Problem nicht allein durch Änderungen an WordPress oder einem Plugin beseitigen.

Entscheidend ist die PHP-Version, die auf dem Server tatsächlich die Webanfragen verarbeitet. Bei Managed Hosting müssen Betreiber deshalb gegebenenfalls ihren Provider prüfen lassen, welche gepatchte Version eingesetzt wird.

Was künstliche Intelligenz mit PHP2Shell zu tun hat

Eine Besonderheit der aktuellen Sicherheitsmeldung ist die Rolle moderner KI-Systeme bei der Forschung. OpenAI berichtet, dass das Sicherheitsforschungsunternehmen Calif im Rahmen der Initiative Patch the Planet eine kritische Schwachstelle mit GPT-5.6 Sol identifiziert hat.

Parallel dazu fand Wiz nach eigenen Angaben die Schwachstellen unabhängig. Für die Forschung wurden mehrere KI-Systeme eingesetzt. Wiz nennt unter anderem Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol. Die Forscher konnten damit komplexe Angriffsketten untersuchen, die zuvor über Jahre nicht praktisch ausgenutzt worden waren.

OpenAI beschreibt die koordinierte Offenlegung in seinem Beitrag Patch the Planet: koordinierte Offenlegung kritischer Schwachstellen.

Die Schwachstelle war nicht neu - ihre Ausnutzung wurde praktikabler

Der entscheidende Punkt ist nicht, dass eine KI plötzlich fehlerhaften PHP-Code erzeugt hätte. Nach Angaben der Sicherheitsforscher waren die zugrunde liegenden Probleme teilweise bereits seit vielen Jahren im PHP-Code vorhanden.

Die Herausforderung bestand darin, mehrere komplexe Speicherfehler so miteinander zu verknüpfen, dass daraus ein praktisch nutzbarer Angriff entsteht. Genau bei dieser Analyse und beim wiederholten Testen konnten moderne KI-Modelle den Sicherheitsforschern helfen.

Damit bekommt die Meldung eine größere Bedeutung als ein gewöhnliches Software-Update. KI kann nicht nur bei der Entwicklung von Programmen helfen, sondern offenbar auch die Zeit verkürzen, die zum Auffinden und praktischen Ausnutzen komplizierter Schwachstellen erforderlich ist.

WordPress, Drupal und Joomla: CMS können ebenfalls gefährdet sein

PHP2Shell steckt nicht direkt in WordPress, Drupal oder Joomla. Diese Systeme verwenden PHP jedoch als technische Grundlage. Läuft das Content-Management- System auf einer verwundbaren PHP-Version, kann damit auch die jeweilige Webseite gefährdet sein.

Wiz demonstrierte im Rahmen seiner Untersuchungen Angriffe gegen WordPress, Drupal und Joomla. Die Forscher weisen ausdrücklich darauf hin, dass der Fehler nicht vom verwendeten CMS abhängt. Selbst eine sehr einfache PHP-Anwendung kann unter den passenden Voraussetzungen betroffen sein.

Das macht einen wichtigen Unterschied zu vielen klassischen WordPress-Sicherheitslücken. Hier genügt es nicht, ausschließlich WordPress, Plugins oder Themes zu aktualisieren. Entscheidend ist zunächst das PHP-System auf dem Webserver.

Normale Nutzer: So lässt sich die PHP-Version prüfen

Bei vielen Hosting-Paketen lässt sich die aktive PHP-Version direkt im Kundenmenü des Providers einsehen. Häufig gibt es dort einen Bereich wie "PHP-Einstellungen", "PHP-Version", "Hosting-Einstellungen" oder "Serverkonfiguration".

WordPress-Nutzer können zusätzlich im Backend unter Werkzeuge > Website-Zustand > Bericht > Server nachsehen. Dort wird in der Regel die PHP-Version angezeigt, die WordPress aktuell verwendet.

Die Anzeige sollte mit den sicheren Versionen verglichen werden. Wer dort beispielsweise PHP 8.4.26 sieht, benötigt mindestens PHP 8.4.27. Bei PHP 8.3 ist mindestens 8.3.36 erforderlich.

Was Webseitenbetreiber jetzt konkret tun sollten

Für die meisten Betreiber ist keine aufwendige Sicherheitsanalyse nötig, bevor der wichtigste Schritt erfolgt: Die verwundbare PHP-Version muss aktualisiert werden.

• PHP-Version feststellen: Hosting-Menü oder WordPress-Website-Zustand prüfen.
• Backup erstellen: Dateien und Datenbank vor größeren Änderungen sichern.
• PHP aktualisieren: Mindestens 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 einsetzen.
• Veraltete PHP-Versionen ablösen: Bei PHP 8.1 oder älter Provider-Patches prüfen oder auf einen unterstützten Zweig wechseln.
• WordPress und Plugins prüfen: Nach dem PHP-Wechsel Kompatibilität kontrollieren und Updates installieren.
• Fehlerprotokolle kontrollieren: Auffällige Aktivitäten vor und nach dem Update untersuchen.

Warum ein PHP-Downgrade dieses Mal die falsche Lösung ist

Bei normalen Kompatibilitätsproblemen kann ein vorübergehender Wechsel auf eine ältere PHP-Version helfen, eine Webseite wieder erreichbar zu machen. Bei PHP2Shell wäre genau dieses Vorgehen problematisch, wenn dadurch eine verwundbare PHP-Version erneut aktiviert wird.

Die Sicherheitslücke verlangt deshalb eine andere Priorität: Sicherheitsupdate zuerst. Funktioniert ein Plugin danach nicht mehr, sollte das Plugin aktualisiert, ersetzt oder dessen Entwickler kontaktiert werden. Die Sicherheitslücke durch den dauerhaften Einsatz einer ungepatchten PHP-Version offen zu halten, ist keine sinnvolle Lösung.

Für Profis: Nicht nur patchen, sondern auch nach Angriffsspuren suchen

Bei öffentlich erreichbaren Servern sollten Administratoren zusätzlich prüfen, ob vor dem Update bereits verdächtige Aktivitäten stattgefunden haben. Ein Patch verhindert künftige Angriffe über die geschlossene Schwachstelle. Er entfernt jedoch nicht automatisch Schadcode, den ein Angreifer möglicherweise bereits zuvor hinterlegt hat.

Sinnvoll ist deshalb eine Kontrolle der Webserver-, PHP- und Systemlogs. Administratoren sollten unter anderem auf ungewöhnliche Requests, neue oder veränderte Dateien, unerwartete Prozesse, neue Benutzerkonten und auffällige ausgehende Verbindungen achten.

Wird eine tatsächliche Kompromittierung vermutet, genügt es nicht, nur die PHP-Version zu aktualisieren. Dann sollte das System nach einem abgestimmten Incident-Response-Verfahren untersucht und gegebenenfalls aus einer sauberen Quelle wiederhergestellt werden.

Es gibt laut PHP keine vollständige alternative Schutzmaßnahme

Besonders wichtig ist die Aussage des PHP-Projekts zu möglichen Zwischenlösungen. Für die Sicherheitslücken gibt es demnach keine vollständige Mitigation, die das Update zuverlässig ersetzen kann.

Firewalls, Web Application Firewalls oder zusätzliche Filter können das Risiko unter Umständen reduzieren. Sie sollten jedoch nicht als Ersatz für die korrigierte PHP-Version verstanden werden. Der sicherste Weg bleibt das Einspielen des offiziellen Patches beziehungsweise eines entsprechenden Backports des Betriebssystem- oder Hosting-Anbieters.

PHP 8.1 und ältere Versionen brauchen besondere Aufmerksamkeit

PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Das bedeutet aber nicht zwangsläufig, dass jede Installation ungepatcht bleiben muss. Linux-Distributionen und LTS-Dienstleister können Sicherheitskorrekturen zurückportieren.

Betreiber sollten daher prüfen, ob ihr Betriebssystem oder Hosting-Anbieter einen entsprechenden Backport bereitstellt. Ohne einen solchen Patch ist ein Wechsel auf einen aktuell unterstützten PHP-Zweig die sichere Variante.

Gerade Shared-Hosting-Kunden müssen dabei nicht selbst Pakete auf einem Server installieren. Der Hosting-Anbieter ist dann der richtige Ansprechpartner für die Frage, ob PHP2Shell bereits serverseitig geschlossen wurde.

PHP2Shell zeigt eine neue Sicherheitslage durch KI

Die Sicherheitslücken zeigen auch, wie stark sich die Arbeit von Sicherheitsforschern verändert. Komplexe Speicherfehler galten bislang oft als schwer praktisch auszunutzen, weil Entwicklung und Anpassung eines Exploits sehr viel Fachwissen und Zeit erforderten.

KI-Werkzeuge können Teile dieser Arbeit beschleunigen. Das ist zunächst ein Vorteil für die Verteidigung: Fehler lassen sich entdecken und schließen, bevor sie über Jahre unerkannt bleiben. Gleichzeitig kann die gleiche technische Entwicklung den Zeitraum verkürzen, in dem Betreiber nach einer Veröffentlichung reagieren müssen.

Für Webseitenbetreiber folgt daraus eine vergleichsweise einfache Konsequenz: Sicherheitsupdates sollten bei kritischen Serverkomponenten nicht mehr wochenlang aufgeschoben werden.

Auch das Hosting spielt bei Sicherheitsupdates eine wichtige Rolle

Wer ein vollständig verwaltetes Hosting-Angebot nutzt, ist bei PHP-Updates teilweise auf den Provider angewiesen. Wichtig sind deshalb nicht nur Speicherplatz und Preis eines Hosting-Pakets, sondern auch die Pflege der Serverplattform, aktuelle PHP-Versionen, Backups und schnelle Sicherheitsupdates.

Wer ohnehin über einen Anbieterwechsel nachdenkt, findet in unserem Vergleich der freenet-Webhosting-Tarife weitere Informationen zu Hosting-Paketen, Speicher, Datenbanken und WordPress-Angeboten.

FAQ zur PHP2Shell-Sicherheitslücke

Was ist PHP2Shell?

PHP2Shell bezeichnet eine Angriffskette rund um kritische Schwachstellen in PHP. Die Fehler können unter bestimmten Bedingungen Speicher manipulieren und eine nicht authentifizierte Ausführung fremden Codes auf verwundbaren Webservern ermöglichen.

Welche PHP-Versionen schließen die aktuellen Sicherheitslücken?

Das PHP-Projekt nennt PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 und PHP 8.2.35 als korrigierte Versionen. Betreiber sollten mindestens diese oder neuere Sicherheitsversionen ihres jeweiligen PHP-Zweigs verwenden.

Sind WordPress-Webseiten durch PHP2Shell gefährdet?

Eine WordPress-Webseite kann betroffen sein, wenn der zugrunde liegende Webserver eine verwundbare PHP-Version verwendet. Die Sicherheitslücke liegt in PHP und nicht unmittelbar in WordPress selbst.

Hat künstliche Intelligenz die PHP-Sicherheitslücke entdeckt?

KI spielte bei der Entdeckung und Analyse eine zentrale Rolle. OpenAI berichtet, dass Calif eine kritische Schwachstelle mit GPT-5.6 Sol fand. Wiz entdeckte die Probleme unabhängig und setzte bei der Forschung ebenfalls mehrere KI-Systeme ein.

Reicht es aus, die PHP-Version zu aktualisieren?

Das Update schließt die bekannten Schwachstellen. Besteht jedoch der Verdacht, dass ein Server bereits angegriffen wurde, sollten zusätzlich Logs, Dateien, Prozesse und Zugangsdaten überprüft werden. Ein Patch entfernt eine bereits erfolgte Kompromittierung nicht automatisch.

Weitere Infos zu PHP- und Webhosting-Angeboten erhalten Sie bei unserem PHP- und Webhosting-Vergleich.

Damit Ihnen in Zukunft kein Spar-Angebot entgeht, können Sie sich auch bei unserem kostenlosen Newsletter anmelden. Einmal in der Woche bekommen Sie dann eine Übersicht an Aktionen und wichtigen Änderungen im Telefonmarkt. Noch schneller sind Sie aber via X (ehemals Twitter) und Facebook informiert.