Schwere PHP-Sicherheitslücken: Darum gibt der Bund keine Entwarnung
Noch lassen sich die Auswirkungen der am Dienstag geleakten Informationen zu Schwachstellen in der Programmiersprache PHP auf den Schweizer Cyberraum nicht abschätzen.
Die unter dem Namen «PHP2Shell» bekannten, kritischen Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) wurden ungeplant publik gemacht.
PHP2Shell wurde massgeblich mit künstlicher Intelligenz entdeckt und ausnutzbar gemacht (dazu unten mehr).
Bundesverwaltung betroffen
Belastbare Zahlen und Daten zu betroffenen Websites, Onlineshops oder internen Anwendungen liegen nicht vor, wie das Bundesamt für Cybersicherheit (BACS) am Donnerstag auf Anfrage der Nachrichtenagentur Keystone-SDA mitteilte.
Nach aktuellem Kenntnisstand seien keine Angriffe in der Schweiz bekannt. Dies schliesse aber bislang unerkannte oder nicht gemeldete Vorfälle nicht aus. Für kritische Infrastrukturen gibt es seit dem 1. April 2025 eine Meldepflicht.
Auch in der Bundesverwaltung seien PHP-basierte Anwendungen von den Schwachstellen betroffen gewesen. Die zuständigen Stellen seien informiert und zur raschen Installation der Sicherheitsupdates aufgefordert worden.
Um welche Anwendungen es sich konkret handelt, konnte das BACS nicht sagen. Auch liege keine vollständige Übersicht über den aktuellen Aktualisierungsstand vor.
Zahlreiche Websites heruntergefahren oder Betrieb eingeschränkt
Bekannt wurde, dass verschiedene Websites in der Schweiz am Mittwoch präventiv heruntergefahren und Anwendungen vorübergehend gestoppt wurden: so unter anderem die kantonalen Webseiten von Basel-Stadt sowie Online-Dienste von Schweizer Universitäten und Hochschulen.
Das BACS weist mit Nachdruck darauf hin, dass Sicherheitsupdates für die bekannten Schwachstellen vorhanden seien und von den Administratoren installiert werden müssten.
Das Ausmass der Bedrohung ist schwer abzuschätzen, dies hängt laut BACS von der eingesetzten PHP-Version ab. Ein allgemeiner Zeitpunkt für die vollständige Behebung der Sicherheitslücke lasse sich deshalb nicht nennen.
Hacking-Versuche in Deutschland
Aus Deutschland werden derweilen «Millionen» Hacker-Versuche gemeldet, wie die Deutsche Presse-Agentur (dpa) am Donnerstag vermeldete. Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Spitäler hätten auf Aufforderung des deutschen Bundesamts für Sicherheit in der Informationstechnik hin vorsorglich ihre Websites vorübergehend vom Netz genommen.
Der Vorsitzende des Parlamentarischen Kontrollgremiums für die deutsche Geheimdienste, Marc Henrichmann, sprach von der «ernstesten Sicherheitslücken der vergangenen Jahre». Die Schwachstelle betreffe einen Grossteil der Websites weltweit und sei «ein Problem für die gesamte digitale Infrastruktur».
Der Fall zeige, wie verwundbar staatliche Einrichtungen seien, wenn zentrale Software über Jahre unentdeckte Fehler enthalte. Solche Sicherheitslücken würden gezielt von Kriminellen und staatlichen Akteuren ausgenutzt.
Mit KI gefunden
Eigentlich galt für die koordinierte Offenlegung der PHP‑Sicherheitslücken eine strikte Vertraulichkeitsvereinbarung bis zum 22. Oktober. Wegen des Leaks und erster beobachteter Angriffe zogen die PHP-Entwickler den Veröffentlichungstermin auf gestern, Dienstag, 21. Oktober, vor.
Die zugrunde liegenden Speicherfehler schlummerten teilweise schon seit über einem Jahrzehnt im Quellcode der frei verfügbaren Open-Source-Programmiersprache.
IT-Sicherheitsforscher von Firmen wie Wiz Research und Calif nutzten äusserst leistungsfähige KI-Sprachmodelle, um den komplexen PHP-Quellcode gezielt zu analysieren.
Generative KI von Google und OpenAI half den Forschern nicht nur beim Aufspüren der Schwachstellen, sondern ermöglichte es auch, innerhalb von nur etwa einer Woche funktionierende Angriffs-Tools (Exploits) zu entwickeln.
Quellen
- bacs.admin.ch: Kritische Schwachstellen in PHP: Sicherheitsupdates sofort einspielen
- wikipedia.de: PHP2Shell
(dsc/sda)
