Palo Alto bestätigt: PHP2Shell-Schwachstellen betreffen PAN-OS

Regierungen, Banken und Unternehmen weltweit haben in der vergangenen Woche Websites vom Netz genommen, nachdem zwei kritische Schwachstellen in PHP bekannt wurden. PHP ist die Programmiersprache, auf der laut Wiz Research rund 70 % aller Websites weltweit laufen. Die Sicherheitslücken werden unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 geführt und zusammen als PHP2Shell bezeichnet. Sie ermöglichen es Angreifern, ohne Anmeldung Code auf einem Server auszuführen. Das PHP-Projekt brachte am 21. Oktober eilends Korrekturen in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 heraus, wie Amazon Web Services, Amazon.com, Inc. ↗ 0.44%, mitteilte. Details dazu waren bereits am Dienstag, dem 20. Oktober, einen Tag vor der geplanten Veröffentlichung, online durchgesickert.aws.amazon.com+1

Websites weltweit abgeschaltet

Die US-National Security Agency riet Organisationen, die nicht sofort aktualisieren konnten, „das System vom Netz zu nehmen, bis das Risiko vollständig behoben werden kann“, berichtete die DW. NBC News, Comcast Corporation ↘ 2.82%, meldete, dies sei das erste Mal gewesen, dass ein US-Geheimdienst soziale Medien nutzte, um Website-Betreibern zur Abschaltung zu raten. Die CISA forderte Organisationen auf, unverzüglich Patches einzuspielen.nbcnews.com+2

Finnland fuhr die öffentlichen Webdienste seiner Regierung vorübergehend herunter, und die niederländische Cybersicherheitsbehörde nahm ihre eigene Website vom Netz, so die BBC. In Frankreich wurden Präfektur-Websites einschließlich der Pariser Polizeiseite abgeschaltet, ebenso wie der niederländische Identitätsdienst DigiD und die Website des dortigen Parlaments, wie eNCA berichtete. In Japan stellten ANA, JR West und MUFG einige Dienste ein, so CNN. Die Website der Bangladesh Bank blieb tagelang unerreichbar, und Tausende Regierungs- und Banken-Websites in Nepal gingen offline. Für manche Produkte treffen noch immer Fehlerbehebungen ein. Am 24. Oktober bestätigte Palo Alto Networks ↗ 2.60%, dass PAN-OS betroffen ist, und kündigte an, dass Hotfixes ab dem 26. Oktober ausgeliefert werden.bbc.com+5

Millionen von Angriffsversuchen

Matthew Prince, CEO von Cloudflare ↗ 1.88%, erklärte, das Unternehmen habe in den zehn Stunden vor der Ankündigung Tausende von Ausnutzungsversuchen verzeichnet. Diese Zahl stieg auf „Zehntausende in den 45 Minuten nach der Ankündigung, Hunderte von Tausenden innerhalb von zwei Stunden und mittlerweile Millionen“, berichtete SecurityWeek. Amazon gab an, dass der erste Ausnutzungsversuch bereits am 17. Oktober stattfand, als die Schwachstellen noch unter Embargo standen, obwohl Organisationen die beobachteten Versuche als erfolglos beschrieben.securityweek.com

KI auf beiden Seiten

Calif entdeckte die Schwachstellen im August mit dem Modell GPT-5.6 Sol von OpenAI im Rahmen einer von OpenAI bezahlten Überprüfung von PHP. Wiz, das zu Google gehört, gab an, sie Wochen später unabhängig davon mithilfe von Gemini 4 Argon und GPT-5.6 Sol entdeckt zu haben, meldete AFP. Alphabet ↘ 0.97% ist der Mutterkonzern von Google. Wiz bezeichnete die Lücken als einige der „schwerwiegendsten Schwachstellen, die je in PHP und wohl in der Geschichte der Software entdeckt wurden“.afp.com

NBC News schrieb, dass KI sowohl Verteidiger als auch Hackern helfe, schwerwiegende Sicherheitslücken „in schwindelerregendem Tempo“ zu finden. Steve Kerrison von der James Cook University warnte laut AFP, dass einige Website-Betreiber „keine Ahnung davon haben und dies auch tagelang, wochenlang und monatelang nicht tun werden“.nbcnews.com+1