Cybersicherheit: Die wichtigsten Fragen und Antworten zur PHP-Sicherheitslücke

Seit gestern schalten Behörden, Kliniken und Universitäten ihre Webseiten ab. Grund ist eine schwere Sicherheitslücke. Wer muss handeln, und welche Rolle spielt die KI? Was Sie wissen müssen.

PHP-Lücke: Wie lange hält die Gefahr an? Foto: Rob Engelaar/ANP/dpa

Die Sicherheitslücke PHP2Shell erlaubt Angreifern, ohne Anmeldung Schadcode auf Servern auszuführen. Das führte weltweit zum Abschalten von Behörden-, Klinik- und Universitätswebseiten.

Die Lücken existieren in allen PHP-Versionen seit mindestens 5.4; sie ermöglichen das Auslesen von Arbeitsspeicherinhalten wie Passwörtern und API-Schlüsseln und wurden durch KI-unterstützte Analysen entdeckt.

Unternehmen sollen PHP-Installationen erfassen, auf Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren und bei Bedarf Systeme vorübergehend abschotten. Zusätzlich empfiehlt das BSI, Zugangsdaten zu wechseln und Systeme auf Angriffe zu prüfen.

KI-Modelle wie GPT-5.6 Sol und Gemini 4 Argon beschleunigten die Entdeckung und Ausnutzung der Lücke, was laut Experten die Cybergefahr erhöht und Angriffe erheblich kostengünstiger macht.

Düsseldorf. Eine Sicherheitslücke in der Programmiersprache PHP legt weltweit Webseiten lahm. Seit Mittwoch haben Behörden mehrerer Bundesländer, Universitäten und Kliniken wie die Berliner Charité ihre Internetauftritte vorsorglich vom Netz genommen. Auch in den Niederlanden, Frankreich, Belgien und Australien sind Behördenseiten offline.

Über zwei Schwachstellen mit dem Namen „PHP2Shell“ können Angreifer ohne Anmeldung Schadcode auf Servern ausführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Warnstufe „3 / Orange“ ausgerufen. Wir beantworten die wichtigsten Fragen.

Was ist PHP?

PHP ist eine Programmiersprache, mit der Websites ihre Inhalte auf dem Server zusammenbauen. Die Software läuft für den Nutzer unsichtbar auf Servern und erzeugt dort die fertige Seite, die dann an den Browser geht. Daher wird PHP auch in Drittanbieter-Programmen eingesetzt. Zu den verbreiteten Anwendungen zählen etwa die Blog-Software WordPress oder die privaten Cloud-Umgebungen Nextcloud und Owncloud.

Cybersicherheit

Microsoft-Chef zur PHP-Lücke: „Etwas Vergleichbares habe ich lange nicht erlebt“

Wie wurde das Leck entdeckt?

Die Lücken stecken schon lange in PHP und sind auch schon länger bekannt. Aber man hat sie als nicht kritisch eingestuft. KI hat es ermöglicht, die vermeintlich harmlosen Lücken zu verketten und einen Angriffspfad zu konzipieren.

Zwei Teams fanden die Lücken unabhängig voneinander. Das eine war die Sicherheitsfirma Calif, die gemeinsam mit dem PHP-Team ein von OpenAI finanziertes Code-Audit machte („Patch the Planet“). Das andere war das Team der Google-Tochter Wiz.

Wie groß ist das Ausmaß?

PHP läuft nach Schätzung von Wiz auf rund 70 Prozent aller Websites. Allein mit WordPress laufen nach Expertenschätzung 400 bis 500 Millionen Seiten. Angreifer können ohne Anmeldung aus der Ferne Code ausführen. Sie können einen Server übernehmen, Daten abgreifen oder ihn für weitere Angriffe missbrauchen.

Laut Wiz lässt sich über die Lücke auch der Arbeitsspeicher auslesen, etwa Passwörter, Tokens und API-Schlüssel. Die Fehler stecken in allen PHP-Versionen seit mindestens der Version 5.4. Ein Angriff braucht mehrere Tausend bis Zehntausend Anfragen.

Warum werden so viele Webseiten abgeschaltet?

Die Abschaltungen sind in der Regel eine Vorsorgemaßnahme, kein Angriff. Das Sicherheitsupdate für die Lücke ist seit Mittwochnachmittag gegen 16 Uhr verfügbar. Wer es noch nicht eingespielt hat, ist angreifbar. Das BSI rät daher ausdrücklich dazu, Server vom Netz zu nehmen, die bislang nicht über ein Update verfügen.

Schon vor dem Sicherheitsupdate kursierten Angriffswerkzeuge und Bildschirmfotos, die zeigen, wie sich die Lücke ausnutzen lässt. Deshalb nahmen viele Betreiber, auch große Hosting-Anbieter, ihre Webseiten vorsorglich vom Netz. Seit das Update veröffentlicht ist, steigt das Risiko weiter. Angreifer können den Programmcode des Updates analysieren, um die Lücke genau zu finden, und darauf aufbauend Angriffsprogramme entwickeln.

Wie lange hält die Gefahr an?

Die akute Phase dauert so lange, bis ein Server das Update eingespielt hat. Frühere Großlücken zeigen, wie zäh sich solche Updates üblicherweise verbreiten. Ein Beispiel ist die kritische Sicherheitslücke „Heartbleed“, die im Frühjahr 2014 entdeckt wurde. Nach Schätzungen waren Mitte 2014 noch rund 309.000 öffentliche Server verwundbar. Im Januar 2017 waren es laut Daten des Netzwerkdienstes Shodan etwa 180.000, im Juli 2019 noch mehr als 90.000.

Hinzu kommt: Selbst wenn das Update zeitnah eingespielt wird, ist es unklar, ob nicht bereits Angriffe stattgefunden haben. Wer vor dem Update kompromittiert wurde, hat eventuell eine Hintertür in seinem System. Auch abgegriffene Zugangsdaten bleiben nutzbar, bis jemand sie ändert. Der Sicherheitsrechtler Dennis-Kenji Kipker warnt vor einem „langen Nachspiel“.

Was muss ich als Privatperson tun?

Bei normalen Internetnutzern besteht kein direkter Handlungsbedarf, denn die Lücke liegt auf den Servern, nicht auf den PCs, Laptops und Smartphones. Indirekt kann es Privatpersonen trotzdem treffen, etwa durch Ausfälle oder Datenabflüsse bei ungeschützten Diensten.

Wer eine eigene Website oder einen Blog betreibt, fragt bei seinem Hoster nach, ob er das PHP-Update eingespielt hat. Wer einen eigenen Server (VPS) gemietet hat, ist selbst zuständig. Auch Router, NAS-Speicher und ähnliche Geräte mit Weboberfläche können PHP nutzen. Hier sollten Nutzer auf Updates des Herstellers achten. Heise nennt unter anderem QNAP, Synology, Netgear, TP-Link und D-Link. Die Verwaltungsoberfläche solcher Geräte sollte nicht aus dem Internet erreichbar sein.

Als allgemeine Vorsorge gilt: Meldet ein Dienst einen Datenabfluss, sollten Kunden dort das Passwort ändern und auf die Hinweise des Anbieters achten.

Was müssen Unternehmen jetzt tun?

Fachleute empfehlen Unternehmen diese Reihenfolge:

Bestandsaufnahme: Das Unternehmen erfasst alle PHP-Installationen, zuerst die aus dem Internet erreichbaren. Dazu zählen auch Container, Control-Panels wie Plesk und cPanel sowie Geräte mit eingebautem PHP.

Aktualisieren: Die Administratoren spielen die Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 ein, alternativ die Pakete ihrer Linux-Distribution. Danach starten sie PHP und den Webserver neu, sonst läuft der alte, verwundbare Code weiter.

Wenn das Update nicht sofort möglich ist: Das BSI und die EU-Behörde CERT-EU raten, das System vorübergehend vom Netz zu nehmen oder abzuschotten, etwa per VPN oder IP-Freigabe. Die Entwickler von PHP nennen eigene Konfigurationsänderungen eine „temporäre Krücke“. Eine Firewall senkt das Risiko, ersetzt den Patch aber nicht.

Auf Spuren eines Angriffs prüfen: Neue Dateien oder Programme, unbekannte Benutzer und WordPress-Admins identifizieren.

Zugangsdaten wechseln: Passwörter, Session-Tokens und API-Schlüssel erneuern, wenn der Server länger ohne das Update erreichbar war.

Im Verdachtsfall: Server isolieren, Logs sichern und erst dann bereinigen.

Abgeschaltete Behördenseite: „Wir erleben einen Wendepunkt.“ Foto: Thomas Frey/dpa

Warum sind Experten so alarmiert?

Zwei Dinge fallen bei der PHP-Lücke zusammen: der Umfang und die Rolle der KI. Die Google-Tochter Wiz nennt die Lücke eine der womöglich schwerwiegendsten der Softwaregeschichte. CDU-Politiker Marc Henrichmann, Vorsitzender des Geheimdienste-Kontrollgremiums, sagte dem Handelsblatt: „Wir erleben einen Wendepunkt.“ Das sei „eine der ernstesten Sicherheitslücken der vergangenen Jahre“.

Laut Wiz haben KI-Modelle bei Fund, Nachbau und Patch-Prüfung wesentlich geholfen. Beteiligt waren demnach GPT-5.6 Sol (OpenAI) und Gemini 4 Argon (Google) sowie das KI-System Wiz Atlas.

Wiz schreibt, der Nachbau der Angriffe habe „an der Grenze des praktisch Möglichen für Menschen“ gelegen. Ein einzelner Forscher habe in einer Woche geschafft, was ohne KI ein Weltklasse-Team Monate gekostet hätte. OpenAI kündigte an, ähnliche Funde könnten in den kommenden Monaten deutlich zunehmen.

Wieso ist die Cybergefahr durch KI so gewachsen?

Der Einsatz von KI senkt die Kosten für Angriffe dramatisch. Die Entwicklung eines solchen Angriffs verlangte früher Spezialwissen und viel Handarbeit. Das ist nun kein Hindernis mehr: Sprachmodelle können eine Sicherheitslücke automatisiert an unterschiedliche Versionen, Konfigurationen und Hardware-Gegebenheiten anpassen – und dabei Fehlschläge analysieren und nachbessern.

Die Folge: Die „Komplexität“ einer Lücke schützt nicht mehr. Lücken, die als „kaum ausnutzbar“ galten, werden in kurzer Zeit zu „echten Einfallstoren“, so die Einschätzung des CDU‑Sicherheitsexperten Henrichmann.

Hilft KI auch bei der Verteidigung von Hackerangriffen?

Während KI mittlerweile Einzelpersonen zu komplexen Angriffen befähigt, hilft sie auch Verteidigern, Lücken zu finden und Patches zu prüfen. Wiz sieht darin die Chance, die Suche nach solchen Lücken routinemäßig zu betreiben.

Mehr: Der PHP-Fall offenbart eine Zeitenwende – jetzt droht eine Zwei-Klassen-Sicherheit