PHP2Shell: Censys schätzt über 34 Millionen anfällige PHP-Dienste

Zwei Tage nach dem Notfall-Release vom 21. Oktober 2026 ist PHP2Shell auf einem großen Teil der erreichbaren PHP-Installationen weiter ausnutzbar. Censys-Scans zufolge läuft auf der Mehrheit der derzeit erfassten Systeme noch eine verwundbare Version, allein in Deutschland sind es Millionen Dienste.

Konkret hat Censys seit dem 21. Oktober weltweit gut 41 Millionen PHP-Dienste mit anfälligen Versionsnummern erfasst. Knapp 8 Millionen davon wurden seither aktualisiert, sodass die Zahl der noch verwundbaren Dienste auf 33,5 Millionen sank. Eine Momentaufnahme vom 23. Oktober beziffert sie auf über 34,4 Millionen. Deutschland liegt mit knapp 11 Millionen erkannten Diensten weltweit an zweiter Stelle hinter den USA, davon gelten rund 4,2 Millionen als anfällig.

Die Ursache steckt im PHP-Kern: Die Lücken CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9,2 als kritisch eingestuft, erlauben unauthentifizierte Remote Code Execution über präparierte HTTP-Requests. Weil der Fehler in der Engine selbst sitzt und bis PHP 5.4 aus dem Jahr 2012 zurückreicht, sind auch einfache WordPress-Sites ohne zusätzliche Plugins betroffen.

PHP2Shell: Was die Censys-Zahlen wirklich aussagen

Die beiden kursierenden Werte von 33,5 und 34,4 Millionen stammen aus unterschiedlichen Erfassungszeitpunkten und taugen nicht als exakte Bestandsaufnahme. Censys selbst bezeichnet die eigenen Zahlen ausdrücklich als Schätzung, nicht als Quelle der Wahrheit: 54 Prozent der erfassten PHP-Dienste verbergen ihre Versionsnummer und lassen sich damit gar nicht klassifizieren. Ein zweiter Unsicherheitsfaktor kommt hinzu – Linux-Distributionen backporten Sicherheitskorrekturen, die reine Versionsnummer sagt also nicht zwingend, ob eine Installation noch angreifbar ist.

Für Betreiber heißt das: Die Größenordnung ist belastbar, die einzelne Zahl nicht. Wer wissen will, ob der eigene Dienst betroffen ist, kommt an einem Blick in die installierte Version und die Changelogs der eingesetzten Distribution nicht vorbei.

Patchlage: Vier Branches gepatcht, ältere bleiben offen

Der Fehler war bereits im August während eines von OpenAI finanzierten Sicherheitsaudits gefunden worden; Wiz bestätigte die Lücken unabhängig, bevor PHP am 21. Oktober gegen 13:35 UTC die korrigierten Versionen freigab – rund 25 Minuten vor dem ursprünglich geplanten Termin um 14:00 UTC. Das Embargo war ursprünglich auf den 22. Oktober, 11:00 ET datiert.

Gepatcht sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 7.4, 8.0 und 8.1 gibt es bislang nur Korrekturen im Quellcode, aber keine fertigen Releases; noch ältere Branches bleiben ungepatcht. Betroffen sind laut CybelAngel alle gängigen Einbindungen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Eine vollständige Mitigation gibt es nach Angaben des PHP-Projekts nicht – das Update ist die einzige sichere Option. CERT-EU hat am 20. Oktober den Sicherheitshinweis 2026-018 veröffentlicht.

Millionen Angriffsversuche, keine bestätigt erfolgreiche Ausnutzung

Cloudflare hat Zehntausende Exploit-Versuche innerhalb von 45 Minuten nach der Offenlegung registriert, Hunderttausende binnen zwei Stunden und Millionen bis zum 22. Oktober. Eine erfolgreiche Remote Code Execution in einem realen Angriff ist bislang dennoch nicht bestätigt; beobachtet wurden überwiegend Scanning, Fingerprinting und Zustellversuche von Botnets.

VulnCheck hat einen funktionierenden Exploit entwickelt, der ASLR umgeht, indem er beide Lücken kombiniert – den Memory Leak für die Adresslage und die Code Execution. Hinweise auf eine breite Nutzung dieses Exploits gibt es nicht. CybelAngel dokumentiert erste Angriffsversuche ab 07:43 UTC am 21. Oktober, also vor dem Patch. In derselben Analyse verweist das Unternehmen aber auch auf einen Bericht von Aikido, der unter Verweis auf Cloudflare-Daten von Ausbeutung in freier Wildbahn spricht, sowie auf eine Warnung von Sansec vor Massenausnutzung. Ob es bereits erfolgreiche Kompromittierungen über PHP2Shell gegeben hat, ist damit weiter offen – an diesem Punkt widersprechen sich die Beobachtungen der beteiligten Firmen.

Mirai-Variante „Potassium": Sophos blockiert Zustellung

Sophos hat die Zustellung einer Mirai-Variante namens „Potassium" blockiert. Die Malware kontaktiert einen fest eingebauten C2-Server, prüft die Antwort auf HTTP 200, lädt anschließend ein Linux-Executable nach, nutzt Fallback-DNS-Server wie 8.8.8.8 und 1.1.1.1 und ist zu DDoS-Angriffen fähig. Arctic Wolf zufolge war die ENS-Auflösung in beiden untersuchten Samples deaktiviert – die Fähigkeit steckt in der Malware, kam in den Proben aber nicht zum Einsatz. Für Betreiber bedeutet das: Selbst wer nicht direkt von einer RCE betroffen ist, muss mit einem Botnet-Ableger rechnen, der ungepatchte Installationen als Nachschublieferant nutzt.

Fazit: Warum das Update trotz fehlender Erfolgsmeldung drängt

PHP läuft auf rund 70 Prozent der Websites; auf 27 Prozent der PHP-Sites läuft noch PHP 7, auf 7,7 Prozent PHP 5, und Schätzungen zufolge hängen über 800.000 Internet-Hosts an einem zu alten, nicht mehr patchbaren Branch. Der Handlungsdruck ist nicht theoretisch: Finnlands staatliches IT-Zentrum setzte mehrere Regierungs-Webdienste aus, in den Niederlanden gingen MijnOverheid und die Parlamentsseite offline, und GoDaddy forderte Kunden zum Upgrade auf.

Konkret sollten Betreiber auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 heben – oder, falls die Distribution eigene Pakete mit Backports liefert, deren Changelog prüfen statt sich auf die Versionsnummer zu verlassen. Für PHP 7.4, 8.0 und 8.1 existieren nur Quellcode-Korrekturen; dort hilft kurzfristig nur der eigene Build oder der Umstieg auf einen gepatchten Branch. Auf einen vollständigen Schutz durch Filter oder vorgelagerte Komponenten sollten sich Administratoren nicht verlassen: Nach Angaben des PHP-Projekts gibt es keine vollständige Mitigation.

Quellen