Weltweiter Cyberalarm: Sicherheitsproblem seit 2024 bekannt

Rubrik: Technologie & KI
Format: Spezialbericht
Autor: Sinisa Brkic (sb)

Millionen Angriffsversuche, abgeschaltete Internetdienste und ein Sicherheitsproblem, dessen Vorgeschichte bis ins Jahr 2024 zurückreicht. Zwei kritische Schwachstellen in der Programmiersprache PHP haben weltweit Behörden, Banken und Unternehmen unter Druck gesetzt. Besonders brisant ist das Eingeständnis der verantwortlichen Entwickler, dass interne Entscheidungsprobleme und fehlende Ressourcen die Behebung eines bekannten Fehlers erheblich verzögerten. Wer hinter den Angriffen steckt und ob sensible Daten entwendet wurden, ist weiterhin ungeklärt.

Eine Sicherheitskrise mit langer Vorgeschichte

Zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP haben eine internationale Welle von Angriffsversuchen und vorsorglichen Schutzmaßnahmen ausgelöst. Seit der Veröffentlichung entsprechender Sicherheitsupdates am 21. Oktober 2026 registrieren IT-Sicherheitsunternehmen massive Aktivitäten gegen potenziell verwundbare Server. Behörden, Finanzinstitute und Unternehmen in mehreren Ländern sahen sich veranlasst, einzelne digitale Dienstleistungen vorübergehend einzuschränken. Die eigentliche Brisanz liegt jedoch in der Vorgeschichte. Wie die PHP Foundation inzwischen öffentlich eingeräumt hat, waren erste Anzeichen eines der zugrunde liegenden Speicherverwaltungsprobleme bereits 2024 bekannt. Obwohl dessen mögliche Gefährlichkeit damals diskutiert wurde, gelang es den Entwicklern über einen langen Zeitraum nicht, eine abschließende technische Lösung umzusetzen. Erst im August 2026 konnte nachgewiesen werden, dass sich der Fehler unter bestimmten Bedingungen zur Ausführung fremden Programmcodes auf Servern ausnutzen lässt. Damit wurde aus einem länger bekannten technischen Problem eine konkrete Sicherheitsbedrohung mit internationaler Tragweite.

Warum die Behebung mehr als zwei Jahre dauerte

Im Jahr 2024 veranlasste die PHP Foundation eine externe Sicherheitsprüfung des PHP-Programmcodes. Die Untersuchung wurde mit Unterstützung der deutschen Sovereign Tech Agency finanziert und vom französischen Sicherheitsunternehmen Quarkslab durchgeführt. Bei der anschließenden Behebung eines identifizierten Problems entdeckte ein Entwickler erste Hinweise auf einen weiteren Fehler in der Speicherverwaltung. Dieser wurde später unter der Kennung CVE-2026-109618 erfasst. Bereits damals wurde theoretisch über eine mögliche Ausnutzung diskutiert, ein konkreter Angriffspfad war jedoch noch nicht nachgewiesen. Die Entwicklung einer geeigneten Sicherheitskorrektur erwies sich als schwierig. Unterschiedliche Lösungsansätze hätten bestehende Anwendungen beeinträchtigen, neue Möglichkeiten zur Störung von Diensten schaffen oder umfangreiche Anpassungen an externen PHP-Erweiterungen erforderlich machen können. Hinzu kamen organisatorische Probleme. Nach Darstellung der PHP Foundation führten langwierige Abstimmungen, konkurrierende technische Ansätze und begrenzte personelle Ressourcen dazu, dass die Arbeiten an einer Lösung wiederholt ins Stocken gerieten. In ihrer Stellungnahme vom 21. Oktober bezeichnete die Organisation diese Verzögerung ausdrücklich als strukturelles Versagen. Die ungewöhnlich offene Selbstkritik macht deutlich, dass nicht ausschließlich technische Schwierigkeiten für den langen Zeitraum verantwortlich waren. Auch interne Entscheidungsprozesse und die Ausstattung der Sicherheitsentwicklung spielten eine wesentliche Rolle. Dabei ist eine Unterscheidung entscheidend: 2024 waren Hinweise auf den Speicherfehler bekannt, nicht jedoch dessen später nachgewiesene vollständige Ausnutzbarkeit. Die zweite Sicherheitslücke, CVE-2026-109619, ist von dieser frühen Entdeckung zeitlich zu unterscheiden.

Neue Sicherheitsforschung deckte die tatsächliche Gefahr auf

Den entscheidenden Fortschritt brachten Untersuchungen im Sommer 2026. Im Rahmen der Initiative Patch the Planet begann das Sicherheitsunternehmen Calif Ende Juli eine erneute Analyse des PHP-Programmcodes. Am 11. August meldete ein Forscher des Unternehmens eine Angriffsmöglichkeit, mit der sich fremder Programmcode ohne vorherige Anmeldung ausführen ließ. Die Untersuchung führte zu jener technischen Ursache zurück, die bereits 2024 aufgefallen war. Unabhängig davon identifizierte auch OpenAI denselben zugrunde liegenden Fehler. Das Sicherheitsunternehmen Wiz wies anschließend weitere Angriffsmöglichkeiten nach. Eine wichtige Rolle spielte dabei der zunehmende Einsatz künstlicher Intelligenz in der Sicherheitsforschung. Die PHP Foundation verwendete entsprechende Werkzeuge unter anderem zur Untersuchung und Überprüfung technischer Sicherheitsberichte. Solche Systeme können helfen, komplexe Programmabläufe zu analysieren und schwer erkennbare Fehler schneller aufzuspüren. Die Ergebnisse verdeutlichen, wie stark sich die Geschwindigkeit moderner Sicherheitsanalysen verändert. Zugleich können vergleichbare Technologien grundsätzlich auch Angreifern helfen, veröffentlichte Schwachstellen und Softwarekorrekturen schneller auszuwerten. Dass die aktuelle Angriffswelle selbst mithilfe künstlicher Intelligenz gesteuert wurde, ist allerdings nicht nachgewiesen. Die beiden Sicherheitslücken erhielten schließlich einen Schweregrad von jeweils 9,2 auf der zehn Punkte umfassenden CVSS-Bewertungsskala. Unter bestimmten Voraussetzungen ermöglichen sie Angreifern, ohne gültige Zugangsdaten eigenen Code innerhalb eines verwundbaren PHP-Serverprozesses auszuführen.

Vorzeitige Veröffentlichungen verschärften die Bedrohung

Die koordinierte Veröffentlichung der Sicherheitskorrekturen war ursprünglich für den 22. Oktober vorgesehen. Bereits am 20. Oktober tauchten jedoch die Kennungen der beiden Schwachstellen in Internetforen und sozialen Netzwerken auf. Die PHP-Entwickler entschieden daraufhin, ihre Sicherheitsankündigung und die Bereitstellung der Updates vorzuziehen. In dieser Phase kam es zu weiteren Problemen. Das Sicherheitsunternehmen Calif veröffentlichte versehentlich ein Video, das eine praktische Ausnutzung der Schwachstellen demonstrierte. Obwohl das Material wieder entfernt wurde, verbreiteten sich Kopien im Internet. Zusätzlich wurden am 21. Oktober bereits vor dem vereinbarten Veröffentlichungszeitpunkt Softwarepakete mit den Sicherheitskorrekturen öffentlich bereitgestellt. Potenzielle Angreifer konnten dadurch technische Änderungen untersuchen, während zahlreiche Betreiber noch auf die offiziellen Aktualisierungen warteten. Solche Situationen gelten als besonders kritisch, weil die Veröffentlichung einer Korrektur zugleich Hinweise auf die Funktionsweise des zuvor bestehenden Fehlers liefern kann. Sicherheitsforscher und Angreifer können diese Informationen analysieren und daraus neue Angriffsmethoden entwickeln.

Amazon entdeckte Angriffsversuche bereits am 17. Oktober

Besonders bemerkenswert sind Erkenntnisse von Amazon Threat Intelligence. Das Unternehmen registrierte in seinem Sicherheitsüberwachungsnetzwerk MadPot einen Ausnutzungsversuch bereits am 17. Oktober 2026, vier Tage vor der offiziellen Veröffentlichung der PHP-Sicherheitsupdates. Der Versuch richtete sich gegen ein sogenanntes Honeypot-System. Dabei handelt es sich um eine gezielt bereitgestellte technische Umgebung, mit der verdächtige Aktivitäten und Angriffsmethoden erkannt werden sollen. Die betreffende Verbindung stammte aus einem kommerziellen Anonymisierungsnetzwerk. Wie der unbekannte Akteur bereits vor der öffentlichen Bekanntgabe über entsprechende technische Kenntnisse verfügte, ist ungeklärt. Denkbar wäre eine unabhängige Entdeckung des Fehlers ebenso wie der vorzeitige Zugang zu vertraulichen Informationen. Für keine dieser Möglichkeiten liegt bislang ein belastbarer öffentlicher Nachweis vor. Am 21. Oktober registrierte Amazon weitere Ausnutzungsversuche. Unterschiede bei den verwendeten Angriffsdaten und Netzwerkverbindungen deuteten darauf hin, dass mehrere voneinander unabhängige Akteure beteiligt gewesen sein könnten. Auch Cloudflare beobachtete eine außergewöhnlich schnelle Zunahme entsprechender Aktivitäten. Nach Angaben von Unternehmenschef Matthew Prince stieg die Zahl registrierter Ausnutzungsversuche innerhalb weniger Stunden von Tausenden über Hunderttausende auf Millionen. Diese Zahlen dokumentieren einen massiven Angriffsdruck, dürfen jedoch nicht mit erfolgreichen Serverübernahmen gleichgesetzt werden. Wie viele produktive Systeme tatsächlich kompromittiert wurden, ist weiterhin nicht zuverlässig bekannt.

Wer könnte hinter den Angriffen stecken?

Eine gesicherte Zuordnung der registrierten Aktivitäten zu bestimmten Personen, kriminellen Organisationen oder staatlichen Stellen liegt bislang nicht vor. Die möglichen Folgen einer erfolgreichen Ausnutzung eröffnen allerdings unterschiedliche Angriffsszenarien. Für finanziell motivierte Cyberkriminelle wären vor allem Unternehmensserver interessant, auf denen Kundendaten, geschäftliche Informationen oder Zugangsdaten verarbeitet werden. Ein erfolgreicher Zugriff könnte als Ausgangspunkt für Datendiebstahl, digitale Erpressung oder weitere Angriffe auf interne Systeme dienen. Auch der Handel mit kompromittierten Serverzugängen wäre ein denkbares Motiv. Kriminelle Gruppen könnten versuchen, verwundbare Systeme zu übernehmen und die gewonnenen Zugriffsmöglichkeiten anschließend an andere Akteure weiterzugeben. Ein anderes mögliches Interesse besteht in der gezielten Informationsbeschaffung. Staatlich unterstützte Gruppen könnten grundsätzlich versuchen, vergleichbare Schwachstellen gegen Behörden, Forschungseinrichtungen oder Unternehmen einzusetzen, um Zugang zu vertraulichen Informationen zu erhalten. Für eine tatsächliche Beteiligung staatlicher Akteure an der aktuellen Angriffswelle gibt es jedoch keine gesicherten öffentlichen Belege. Ebenso wenig ist nachgewiesen, dass die internationalen Aktivitäten Teil einer zentral koordinierten Operation sind. Daneben kommen breit angelegte automatisierte Angriffe infrage. Solche Programme suchen nach möglichst vielen verwundbaren Systemen, ohne dass zuvor ein bestimmtes Unternehmen oder eine Behörde als Ziel ausgewählt werden muss.

Welche Daten könnten gefährdet sein?

Die Sicherheitslücken betreffen grundlegende Abläufe der PHP-Laufzeitumgebung, insbesondere die interne Speicherverwaltung und Fehlerbehandlung. Unter bestimmten Voraussetzungen können Angreifer dadurch eigenen Programmcode innerhalb eines betroffenen Serverprozesses ausführen. Welche Informationen anschließend zugänglich wären, hängt von dessen Berechtigungen und der technischen Konfiguration ab. Gefährdet sein könnten unter anderem Datenbankzugangsdaten, technische Konfigurationsdateien, Sitzungsschlüssel und Authentifizierungstoken. Mit solchen Informationen ließen sich unter Umständen weitere Anwendungen oder verbundene Systeme erreichen. Auch personenbezogene Daten könnten betroffen sein. Je nach Anwendung zählen dazu Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Benutzerkonten, Bestellinformationen oder vertrauliche Geschäftsdokumente. Bei Finanzdienstleistern wären unter entsprechenden technischen Voraussetzungen auch besonders sensible Kundendaten denkbare Ziele. Daraus lässt sich allerdings nicht ableiten, dass bei den betroffenen Banken tatsächlich Informationen entwendet wurden. Ebenso bedeutet die erfolgreiche Ausnutzung einer PHP-Schwachstelle nicht automatisch die vollständige Kontrolle über sämtliche Server, Datenbanken oder ein gesamtes Unternehmensnetzwerk. Entscheidend sind die jeweiligen Zugriffsrechte und vorhandenen Sicherheitsgrenzen. Bis zum 23. Oktober 2026 liegen keine belastbaren öffentlichen Erkenntnisse über einen großflächigen Datenabfluss infolge der beiden Schwachstellen vor. Auch eine verlässliche Gesamtzahl erfolgreich übernommener produktiver Systeme ist nicht bekannt. Die möglichen Schäden sind damit erheblich, ihr tatsächliches Ausmaß bleibt jedoch Gegenstand weiterer Untersuchungen.

Banken und Behörden reagieren mit Abschaltungen

Die internationale Reaktion fiel ungewöhnlich umfangreich aus. In Japan setzten unter anderem die Mitsubishi UFJ Financial Group, das Wertpapierunternehmen Nomura, die Fluggesellschaft All Nippon Airways und die Eisenbahngesellschaft East Japan Railway einzelne Internetdienste vorübergehend aus. Auch staatliche Einrichtungen ergriffen Schutzmaßnahmen. Das japanische Finanzministerium, die nationale Steuerbehörde und die meteorologische Behörde schränkten bestimmte Onlineangebote zeitweise ein, um gefährdete Systeme abzusichern. In Finnland unterbrach der staatliche IT-Dienstleister Valtori öffentliche Verwaltungsdienste und begann nach der Installation von Sicherheitsupdates mit deren schrittweiser Wiederherstellung. Die Organisation stellte ausdrücklich klar, dass die Einschränkungen nicht durch bestätigte Cyberangriffe oder eine nachgewiesene Ausnutzung der Schwachstellen verursacht worden seien. In Frankreich setzte der Telekommunikationskonzern Orange den Zugriff auf bestimmte PHP-basierte Websites und Anwendungen mehrerer Tochtergesellschaften vorsorglich aus. China forderte Betreiber zur unverzüglichen Überprüfung und Aktualisierung ihrer Systeme auf, während Südkorea angesichts der Bedrohung zusätzliche Sicherheitsmaßnahmen einleitete. Die internationalen Einschränkungen machen sichtbar, welche Auswirkungen bereits ein begründeter Verdacht auf eine schwerwiegende Sicherheitsgefährdung haben kann. Notwendige Schutzmaßnahmen können digitale Dienstleistungen erheblich beeinträchtigen, ohne dass zuvor tatsächlich ein erfolgreicher Angriff stattgefunden haben muss.

Millionen Websites nutzen dieselbe technische Grundlage

PHP gehört seit Jahrzehnten zu den wichtigsten Technologien für dynamische Internetanwendungen. Zahlreiche Websites, Verwaltungsangebote, Unternehmensplattformen und Onlineshops nutzen die Programmiersprache für Datenbankzugriffe, Benutzeranmeldungen und geschäftliche Abläufe. Auch weitverbreitete Content-Management-Systeme wie WordPress, Drupal und Joomla bauen auf PHP auf. Die aktuellen Sicherheitslücken befinden sich allerdings nicht in einer bestimmten Website-Anwendung, sondern innerhalb der zugrunde liegenden Programmiersprache. Deshalb genügt es nicht, ausschließlich das jeweilige Content-Management-System oder einzelne Erweiterungen zu aktualisieren. Entscheidend ist, dass auch die eingesetzte PHP-Laufzeitumgebung gegen die bekannten Schwachstellen abgesichert wurde. Besonders problematisch sind ältere Anwendungen, bei denen ein Versionswechsel umfangreiche Anpassungen erforderlich macht. In großen Organisationen kommt hinzu, dass nicht immer vollständig dokumentiert ist, welche internen Systeme PHP einsetzen und welche Softwareversionen verwendet werden. Diese Abhängigkeiten können notwendige Aktualisierungen erheblich verzögern. Gerade bei geschäftskritischen Anwendungen müssen Sicherheitskorrekturen häufig mit umfangreichen Funktionstests verbunden werden.

Sicherheitsupdates verfügbar, ältere Systeme bleiben problematisch

Die PHP-Entwickler veröffentlichten am 21. Oktober Sicherheitsupdates für die unterstützten Versionsreihen. Die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden mit PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 und PHP 8.2.35 behoben. Für ältere Versionsreihen stellt das offizielle Projekt keine regulären Sicherheitsupdates mehr bereit. Teilweise sind jedoch zusätzliche Korrekturen über Betriebssystemanbieter, spezialisierte Wartungsdienstleister oder bereitgestellte Quellcodeänderungen verfügbar. Die Entwickler betonen, dass nur geeignete Sicherheitskorrekturen einen vollständigen Schutz gegen die beiden bekannten Schwachstellen bieten. Zusätzliche Schutzmechanismen können einzelne Angriffsmöglichkeiten erschweren, ersetzen die Aktualisierung jedoch nicht. Bei einem konkreten Verdacht auf eine bereits erfolgte Kompromittierung reicht die Installation eines Updates zudem nicht aus. Dann müssen auch Systemprotokolle überprüft, verdächtige Veränderungen untersucht und möglicherweise gefährdete Zugangsdaten ausgetauscht werden.

Die langfristige Gefahr liegt in den Strukturen

Der internationale Cyberalarm wirft eine Frage auf, die weit über PHP hinausreicht: Wie kann es geschehen, dass ein bereits 2024 erkanntes Sicherheitsproblem in einer derart verbreiteten Technologie über einen so langen Zeitraum ungelöst bleibt? Die PHP Foundation hat die Ursachen selbst benannt. Schwierige technische Entscheidungen, langwierige Abstimmungen und begrenzte personelle Ressourcen verhinderten eine frühere abschließende Behebung. Inzwischen wurden zusätzliche Fachkräfte eingebunden und organisatorische Veränderungen eingeleitet. Der Fall verweist auf eine grundlegende Abhängigkeit der digitalen Wirtschaft. Zahlreiche Unternehmen, öffentliche Einrichtungen und internationale Konzerne nutzen frei verfügbare Software als unverzichtbare technische Grundlage. Deren Entwicklung und Sicherheitswartung liegen jedoch teilweise in den Händen vergleichsweise kleiner Teams. Zwischen der weltweiten Bedeutung dieser Technologien und den verfügbaren Ressourcen für ihre Absicherung kann dadurch ein erhebliches Ungleichgewicht entstehen. Gleichzeitig erhöhen neue Analysewerkzeuge und der Einsatz künstlicher Intelligenz die Geschwindigkeit, mit der bislang unerkannte Sicherheitsprobleme identifiziert werden können. Die aktuelle Angriffswelle macht deutlich, dass sich die Zeitspanne zwischen der Entdeckung einer Schwachstelle und ersten Ausnutzungsversuchen weiter verkürzen kann. Umso wichtiger werden verlässliche Sicherheitsprozesse, ausreichende Entwicklungskapazitäten und die Fähigkeit, notwendige Korrekturen schnell und kontrolliert bereitzustellen. Ob die jüngsten Angriffe tatsächlich zu umfangreichen Datenverlusten geführt haben, bleibt ungeklärt. Fest steht jedoch, dass ein seit 2024 bekanntes technisches Problem nach dem Nachweis seiner kritischen Ausnutzbarkeit eine internationale Sicherheitsreaktion ausgelöst hat. Der Fall zeigt damit eine Schwäche, die nicht allein durch neue Schutzprogramme behoben werden kann. Wenn zentrale Bestandteile der digitalen Infrastruktur von kleinen Entwicklungsteams abhängen, deren Ressourcen der weltweiten Bedeutung ihrer Software nicht entsprechen, entstehen Risiken, die weit über einzelne Server hinausreichen. Die entscheidende Frage lautet deshalb nicht nur, wie schnell Angreifer eine Sicherheitslücke ausnutzen können. Ebenso entscheidend ist, wie lange ein erkanntes Problem ungelöst bleibt, bevor daraus eine Bedrohung für Unternehmen, Behörden und Millionen Internetnutzer wird.