PHP2Shell: 1,9 Millionen Websites in Europa sind noch immer verwundbar

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Die eine Hälfte war binnen Stunden sicher, die andere Hälfte wartet seit Jahren auf ein Update, das nie kommen wird.

Eine Woche nach dem Notfall-Update für die Programmiersprache PHP liegt erstmals ein vollständiges Bild für Europa vor. Die auf Cyber-Risiko-Monitoring spezialisierte risikomonitor.com aus Wien hat gemeinsam mit EY Österreich die Websites aller 27 EU-Staaten, der Schweiz und Liechtensteins erhoben. Am Tag der Offenlegung waren demnach 3,9 Millionen Websites mit sichtbarer PHP-Version verwundbar, 11,2 Prozent der 34,9 Millionen erreichbaren Websites. Binnen Tagen sank dieser Anteil auf 5,6 Prozent. Was übrig bleibt, ist laut der Studie aber kein Nachzügler-Problem, sondern eine Altlast: Vier Fünftel der noch verwundbaren Server laufen auf PHP-Versionen, die seit Jahren keine Sicherheitsupdates mehr bekommen.

Was PHP2Shell ist

Unter dem Namen PHP2Shell werden zwei Schwachstellen im Kern von PHP zusammengefasst (CVE-2026-109618 und CVE-2026-109619), beide mit 9,2 von 10 Punkten als kritisch eingestuft. Sie erlauben es, ohne Anmeldung eigenen Code auf dem Server auszuführen. Das PHP-Projekt kündigte am 20. Oktober eine Notfall-Veröffentlichung an und stellte am Tag darauf die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr. Gefunden wurden die Lücken unter anderem mit Hilfe von KI-Modellen, in Österreich nahmen Universitäten, Kammern und Konzerne ihre Websites vorsorglich vom Netz. Laut Amazon starteten die ersten Angriffe schon vier Tage vor dem Patch, Cloudflare zählte danach Millionen Angriffsversuche.

Die erste Welle: schneller als bei Heartbleed

Vor dem 21. Oktober gab es keine korrigierte PHP-Version, am Tag der Offenlegung war also jede Website mit sichtbarer PHP-Version angreifbar. Bei der Erstmessung lief bereits die Hälfte davon auf einem korrigierten Stand, laut risikomonitor.com schneller als bei früheren großen Lücken wie Heartbleed 2014. Das spreche für automatische Updates bei Hostern und verwalteten Plattformen: 15 große Anbieter vereinen 60 Prozent der verwundbaren Websites auf sich, und wo ein Hoster PHP zentral pflegt, sind seine Kund:innen ohne eigenes Zutun geschützt.

Wie das in der Praxis aussieht, zeigte der Kärntner Cloud- und Hosting-Anbieter Anexia. Bereits am Morgen des 21. Oktober informierte das Unternehmen auf seiner Statusseite über die Lücken, am frühen Nachmittag folgte die Entscheidung, alle Managed Services mit PHP um 15:45 Uhr vorsorglich komplett offline zu nehmen, eine Viertelstunde vor Veröffentlichung des Patches. Die Begründung: Die bekannten Workarounds böten keinen wirksamen Schutz, und direkt nach dem Patch sei mit einem funktionierenden Exploit zu rechnen. Nach dem Release um 16 Uhr spielte Anexia die neuen Versionen ein und brachte die Systeme nach einer Prüfung schrittweise wieder online. Rund zwei Drittel der betroffenen Systeme liefen am frühen Abend wieder. Kund:innen, für deren ältere PHP- und Betriebssystem-Versionen es noch keinen Fix gab, kontaktierte Anexia einzeln.

„PHP2Shell hat gezeigt, wie schnell es gehen kann, wenn Hoster zentral handeln“, sagt Manuel Löw-Beer, Gründer und CEO von risikomonitor.com. Für Anbieter mit verwaltetem Angebot gelte die Pflicht, Sicherheitspatches binnen angemessener Frist einzuspielen, nach NIS2 und der europäischen Durchführungsverordnung schon heute. Nicht alle Hoster sind aber in derselben Lage: Bei OVH, Hetzner und Amazon handle es sich mit hoher Wahrscheinlichkeit um Server in Eigenverantwortung der Kund:innen ohne Managed Service. Dort helfe nur die direkte Ansprache der Betreiber:innen.

Danach flacht die Kurve ab

Nach der ersten Welle wird es zäh. Von den erneut geprüften und erreichbaren Betroffenen haben bis zum 28. Oktober nur 18,1 Prozent nachgezogen. Anfangs kamen rund vier Prozentpunkte pro Tag dazu, danach nur noch rund 1,5. Ein Teil des jüngsten Anstiegs kommt nicht einmal von Patches: Vor allem in den Niederlanden und in Belgien zeigen zehntausende Websites ihre PHP-Version schlicht nicht mehr an, ob sie gepatcht sind, ist offen.

Der Grund für die Trägheit: Wer heute noch verwundbar ist, kann meist gar nicht einfach updaten. 80,9 Prozent der Betroffenen laufen auf PHP-Zweigen, deren Unterstützung ausgelaufen ist, allen voran PHP 7.4.33, das seit November 2022 keine Korrekturen mehr erhält und mit 433.064 Websites die häufigste verwundbare Version in Europa ist. Im Schnitt warten diese Server seit 4,7 Jahren auf ein Update. 18,3 Prozent der Betroffenen, rund 328.000 Websites, laufen seit über sieben Jahren ohne Sicherheitskorrektur, 6,7 Prozent seit über zehn Jahren.

PHP2Shell ist für diese Server nur die jüngste von vielen Lücken. Gleicht man die Versionsstände mit der US-Schwachstellendatenbank NVD ab, hat jeder verwundbare Server im Schnitt 72 bekannte PHP-Lücken offen, davon 22 kritische. Am größten ist die Altlast in Dänemark mit 138 offenen Lücken je Server, wo allein 11.637 Websites auf PHP 5.2.17 aus dem Jahr 2011 laufen. „Wer heute noch PHP 7 oder älter betreibt, braucht kein Update, sondern einen Umzug auf eine aktuelle Version. Das sollte jetzt passieren und nicht beim nächsten Vorfall“, so Löw-Beer.

Österreich im Schnitt, Deutschland Schlusslicht

In Österreich meldeten 46.182 von 1.059.104 erreichbaren Websites eine verwundbare PHP-Version, das entspricht 4,4 Prozent und liegt unter dem europäischen Schnitt von 5,6 Prozent. Bei der Nachmessung waren noch 28.622 verwundbar, 6.322 hatten gepatcht, eine Patchrate von 18,1 Prozent und damit exakt der europäische Durchschnitt. Am häufigsten betroffen sind hierzulande Hotels und Pensionen, gefolgt von Arztpraxen und KFZ-Werkstätten. Mit 68 offenen Lücken je Server liegt Österreich knapp unter dem europäischen Schnitt.

Deutschland hat mit 426.854 verwundbaren Websites die meisten in Europa, 94,5 Prozent davon laufen auf Versionen ohne Sicherheitsupdates. Bei der Nachmessung waren noch 259.891 Websites verwundbar und nur 15.953 gepatcht, eine Patchrate von 5,8 Prozent, die niedrigste in Europa. Am schnellsten waren Litauen (39,7 Prozent), Zypern (38,7 Prozent) und Malta (38,1 Prozent). In der Schweiz meldeten 54.246 Websites (3,0 Prozent) eine verwundbare Version, bei der Nachmessung waren noch 22.286 offen. Den höchsten Anteil verwundbarer Websites hat Portugal mit 14,4 Prozent, den niedrigsten die Slowakei mit 2,5 Prozent. Deutschland, die Niederlande und Frankreich stellen zusammen die Hälfte aller Betroffenen in Europa.

Hotels, Shops und ihre Kund:innen

Wo sich die Betroffenen einer Branche zuordnen lassen, stellen Hotellerie, Handel, Transport und Gastronomie zusammen fast die Hälfte. Es trifft vor allem kleine Betriebe, die ihre Website extern erstellen lassen und keine eigene IT-Sicherheit haben. Fast neun von zehn Websites mit erkennbarem Content-Management-System laufen mit WordPress, über 19.400 Online-Shops mit PrestaShop, Magento oder Shopware.

Damit reicht die Lücke über die Betreiber:innen hinaus. Wer einen Shop-Server übernimmt, kann Zahlungsdaten der Kund:innen beim Bezahlen abgreifen, wie eine von Europol koordinierte Aktion bei 443 kompromittierten Onlinehändlern gezeigt hat. Andere Kampagnen nutzen gehackte Websites, um Besucher:innen Schadsoftware als falsches Browser-Update unterzuschieben. „Die veränderte Bedrohungslage macht es notwendig, Cyberstrategien und Informationssicherheitsmaßnahmen kritisch zu hinterfragen und insbesondere auf den zunehmenden Einsatz von KI auf Angreiferseite auszurichten“, sagt Gottfried Tonweber, Partner bei EY.

Was Betreiber:innen jetzt tun sollten

Betreiber:innen sollten PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren und danach alle PHP-Prozesse neu starten. Ein Update von WordPress oder einer anderen Anwendung allein reicht nicht, entscheidend ist die PHP-Version am Server. Wer noch PHP 8.1 oder älter einsetzt, muss auf eine unterstützte Version wechseln. Bei gemietetem Webspace ist der Hoster der richtige Ansprechpartner, bei eigenen oder gemieteten Servern die Betreiber:innen selbst. Unter php.risikomonitor.com lässt sich die eigene Website kostenlos prüfen.

Eine Einschränkung nennt die Studie selbst: Ausgewertet wurde ausschließlich die Versionskennung, die Webserver bei einem gewöhnlichen Seitenaufruf öffentlich mitsenden. Websites, die ihre Version verbergen, tauchen in der Statistik nicht auf, und Linux-Distributionen oder Hoster, die Fixes in alte PHP-Versionen zurückportieren, ohne die Versionsnummer zu ändern, werden möglicherweise als verwundbar gezählt, obwohl sie es nicht sind. Die Zahl offener Lücken je Server ist laut den Autor:innen als Größenordnung zu verstehen.