Zwei kritische Schwachstellen in PHP (PHP2Shell, CVE-2026-109618 und -109619) haben gestern weltweit Behörden, Kliniken, Hochschulen und Unternehmen veranlasst, ihre Websites vorsorglich vom Netz zu nehmen. Angreifer können ohne Anmeldung Schadcode auf Webservern ausführen. PHP läuft hinter etwa 70 Prozent aller Websites mit bekannter Konfiguration sowie in Routern, Speichersystemen und Sicherheitsprodukten, oft ohne Wissen der Betreiber.

Der eco – Verband der Internetwirtschaft hat sofortige Maßnahmen für Betreiber bereitgestellt. Die Lage wird durch KI-Einsatz verschärft: Während KI Verteidigern beim Finden von Schwachstellen hilft, ermöglicht sie Angreifern auch, aus Updates in kürzester Zeit funktionierende Exploits zu entwickeln. Der geplante Cyber Resilience Act verpflichtet Hersteller künftig zu Security-by-Design und zur Behebung von Schwachstellen über den gesamten Lebenszyklus.

Kernpunkte:

• Zwei kritische Schwachstellen in der Programmiersprache PHP (PHP2Shell, CVE-2026-109618 und -109619) haben gestern weltweit Behörden, Kliniken, Hochschulen und Unternehmen veranlasst, Websites vorsorglich vom Netz zu nehmen.
• Angreifer können ohne Anmeldung Schadcode auf Webservern ausführen (Remote Code Execution).
• PHP steckt hinter rund 70 Prozent aller Websites mit bekannter Konfiguration, aber auch in Routern, Speichersystemen und Sicherheitsprodukten, oft ohne dass Betreiber es wissen.

Quelle: eco Verband der Internetwirtschaft (Deutsch)