PHP-Websites werden gehackt: So schützen Sie sich

Beginnen wir beim Namen, denn er hilft, die Tragweite zu verstehen. PHP2Shell ist kein Fehler in einem Plugin oder Theme: Es ist ein Defekt im PHP-Kern selbst, also in dem Programm, das auf dem Server den Code der Websites interpretiert und ausführt. Sitzt der Fehler dort, spielt es keine Rolle, wie gut die Website darüber geschrieben ist: Sie ist trotzdem angreifbar. Und PHP treibt rund 69 % aller Websites weltweit an, WordPress eingeschlossen.

Technisch handelt es sich um zwei verschiedene Schwachstellen, CVE-2026-109618 und CVE-2026-109619. Die erste nutzt eine Speichererschöpfung aus: Geht dem Server im falschen Moment der Speicher aus, bleiben die internen Strukturen einer Anfrage nur halb initialisiert, doch die Aufräumroutine am Ende der Anfrage behandelt sie als vollständig und schreibt dorthin, wo sie nicht schreiben sollte. Die zweite betrifft den globalen Zustand: Daten einer Anfrage überleben den Speicher, in dem sie lagen, und die nächste Anfrage im selben Prozess findet und verwendet sie. In beiden Fällen gelangt ein Angreifer mit gezielt konstruierten Anfragen dazu, Code auf dem Server auszuführen, ohne Passwort, ohne Konto und ohne ein einziges Formular.

Der Fehler steckte seit Jahren im Code, von Version 5.4 bis 8.5. Ein Hinweis war schon 2024 aufgetaucht, doch ohne bekannten Exploit hielt ihn niemand für dringend. Gefunden wurde er im August 2026 von zwei unabhängigen Gruppen, den Forschern von Wiz und dem Projekt Patch the Planet von OpenAI, beide mit KI-Modellen, die den Quellcode nach Fehlern durchsuchten. Dieses Detail hat uns zu denken gegeben: Dieselbe Technologie, die Schwachstellen findet, nutzt sie später auch aus.

Die Patches erschienen am 21. Oktober: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer auf 8.1 oder älter ist, inzwischen ohne Support, hat kein Release zum Installieren und muss migrieren. Teilweise Gegenmassnahmen helfen nicht: Das sagen die PHP-Maintainer, und wir können es bestätigen, denn wir haben die Sache seit den ersten Meldungen verfolgt. Amazon hat bereits am 17. Oktober einen Ausnutzungsversuch abgefangen, vier Tage bevor die Lücke öffentlich wurde, und mehrere europäische Regierungen haben ihre Websites lieber abgeschaltet, als das Risiko einzugehen.

Die zweite Nachricht hat uns noch mehr nachdenken lassen. Reuters berichtete über eine Untersuchung der Sicherheitsfirma NorForge: Eine chinesischsprachige Gruppe setzte KI-Agenten gegen mehr als 1.200 Websites in den USA, Kanada, Australien und Japan ein und kompromittierte über hundert davon. Niemand tippte Befehle: Der Agent erkundete die Website, probierte die möglichen Wege aus und machte allein weiter, im Schnitt 23 Stunden pro Ziel.

Die Werkzeuge waren nichts Exotisches: DeepSeek, GLM, Grok und Claude Code. Letzteres ist ein Programm, kein Modell, und in den gefundenen Konfigurationen war es oft mit anderen Modellen als denen von Anthropic verbunden. Bei einem der dokumentierten Einbrüche war der Einstieg wieder PHP, aber an anderer Stelle: die unsichere Deserialisierung von Objekten und alte Komponenten des Zend-Frameworks. Legitimer Code, vor Jahren geschrieben, nie aktualisiert und weiter im Internet erreichbar.

Zusammengenommen sagen die beiden Geschichten nur eines. Die Zeit zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung wird inzwischen in Tagen gemessen, und auf der anderen Seite wählt nicht mehr ein Mensch das Ziel aus, sondern eine Software probiert alles, überall, bis etwas nachgibt.