PHP2Shell-Sicherheitslücken bedrohen auch Banken und Finanzdienstleister

Was die PHP-Sicherheitslücke für das Internet bedeutet — KI, DALL-E

Zwei gravierende Schwachstellen in der weit verbreiteten Programmiersprache PHP ermöglichen Angreifern die Übernahme von Webservern. Das BSI warnt vor massenhaften Cyberangriffen, während Banken und andere Unternehmen ihre Systeme absichern. Die eigentlichen Online-Banking-Anwendungen gelten aber immerhin als weitgehend geschützt. Doch auch für Finanzdienstleister ist die Gefahr erheblich. Eine Einordnung der Hintergründe – und warum es zu früh wäre, Entwarnung zu geben.

Zwei kritische Sicherheitslücken in der Programmiersprache PHP sorgen weltweit für Alarm. Die unter dem Namen „PHP2Shell“ bekannten Schwachstellen ermöglichen es Angreifern, ohne Anmeldung Schadcode auf betroffenen Webservern auszuführen, vertrauliche Informationen auszulesen und unter Umständen die vollständige Kontrolle über die Systeme zu übernehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine dringende Sicherheitswarnung herausgegeben. Seit Mittwoch, dem 21. Oktober, stehen Notfall-Updates bereit. Allerdings versuchen Cyberkriminelle bereits aktiv, die Schwachstellen auszunutzen.

Auch für Banken, Sparkassen, Versicherungen und andere Finanzdienstleister ist die Situation als kritisch einzustufen. Einerseits sind die eigentlichen Kernbankensysteme und Zahlungsverkehrsanwendungen in der Regel jedoch technisch von den öffentlichen Internetauftritten getrennt. Auf der anderen Seite setzen jedoch auch Finanzinstitute bei Webseiten, Kundenportalen und zahlreichen ergänzenden Diensten auf PHP-basierte Anwendungen. Auch externe IT-Dienstleister, Hosting-Anbieter und Softwarehersteller haben Systeme im Einsatz, über die weitere Risiken entstehen.

Sparkassen sehen bislang keine Auswirkungen auf Online-Banking

Der Deutsche Sparkassen- und Giroverband (DSGV) gibt hinsichtlich der Sicherheit der eigentlichen Banking-Anwendungen zunächst Entwarnung.

Wir beobachten die Lage natürlich weiter mit besonderer Aufmerksamkeit, können Stand jetzt aber keine Auswirkungen der PHP-Lücken erkennen.“

Deutsche Sparkassen- und Giroverband (DSGV)

Für Bankkunden heißt das, dass die Sicherheitslücke nicht unmittelbar ihre Konten oder das Online-Banking in Mitleidenschaft zieht. Auch auf Smartphones und Computern der Kunden selbst besteht durch PHP2Shell keine direkte Gefahr. Dennoch können Angreifer über verwundbare Webanwendungen unter Umständen Zugangsdaten, Sitzungsschlüssel oder andere sensible Informationen nutzen – und insbesondere bei Finanzdienstleistern wäre ein solcher Datenabfluss besonders problematisch. Allerdings zeigen Beispiele aus Fernost, dass die PHP-Krise schon auch Auswirkungen auf digitale Bankdienstleistungen haben kann. In Japan kündigte etwa die Shizuoka Bank an, ihre Webseite und Banking-App vorsorglich vorübergehend herunterzufahren. Auch andere Institute schränkten zeitweise einen Teil ihrer Online-Dienste ein, um Sicherheitsupdates einzuspielen. Solche Abschaltungen sind allerdings – egal in welcher Branche – kein Beleg für erfolgreiche Cyberangriffe, sondern zeugen eher von einer vernünftigen IT-Security-Strategie.

Cyberkriminalität trifft Verbraucher in Deutschland immer häufiger – und zunehmend auch beim Onlinebanking — ChatGPT

Die Fehler stecken nicht in einzelnen Webseiten oder Erweiterungen, sondern im Kern der Programmiersprache PHP selbst. Vereinfacht ausgedrückt kann PHP bei bestimmten Fehlerzuständen im Umgang mit dem Arbeitsspeicher Daten in einem inkonsistenten Zustand zurücklassen. Potenzielle Angriffe nutzen dann derartige Anfälligkeiten und Fehler gezielt aus und führen eigenen Programmcode aus. Auf diese Weise könnten auch vertrauliche Informationen aus dem Arbeitsspeicher ausgelesen werden.

Problematisch ist auch, dass unter Umständen Angriffe schon bei der Verarbeitung einer Anfrage möglich sind, bevor der eigentliche Anwendungscode überhaupt ausgeführt wird. Das bedeutet, dass schon eine sonst soweit korrekt abgesicherte Webseite verwundbar wird. PHP gehört zu den wichtigsten technischen Grundlagen des Internets und es kommt etwa in allen gängigen Content-Management-Systemen wie WordPress, TYPO3, Drupal und Joomla zum Einsatz. Auch gängige Webanwendungen setzen oftmals darauf. Nach Angaben des Sicherheitsunternehmens Wiz kommt PHP bei rund 70 Prozent aller Webseiten zum Einsatz, deren serverseitige Programmiersprache zuzuordnen ist.

KI spielte bei der Entdeckung Schlüsselrolle

Wie akut die Bedrohung ist, zeigen Erkenntnisse von Amazon Web Services (AWS). Die AWS-Experten registrierten schon am 17. Oktober einen Versuch, PHP2Shell auszunutzen – vier Tage vor der offiziellen Veröffentlichung der bekannten Schwachstellen. Diese Angriffe wurden durch spezielle Überwachungssysteme, genauer Honeypots, entdeckt. Am 21. Oktober beobachtete AWS weitere Angriffsversuche aus unterschiedlichen Netzen. Nach Veröffentlichung der Sicherheitsupdates tauchten dann diverse weitere Angriffs-Tools auf, die gegen überwachte Systeme eingesetzt wurden. Ob frühere Versuche auch zur erfolgreichen Kompromittierung produktiver Systeme führten, ist noch nicht klar. Aber die Funde bestätigen die Befürchtung des BSI, dass Angreifer mithilfe von KI-Werkzeugen innerhalb kürzester Zeit funktionsfähige Angriffsmethoden entwickeln und großflächig einsetzen könnten. In Deutschland nahmen zwischenzeitlich zahlreiche Behörden, Kommunen, Hochschulen und Unternehmen ihre Websites vorsorglich vom Netz. Viele Webseiten sind nach Installation der Sicherheitsupdates inzwischen wieder erreichbar.

Bemerkenswert ist zudem die Entstehungsgeschichte der Sicherheitslücken. Denn die Probleme beim Umgang mit dem Arbeitsspeicher sind teilweise seit Jahrzehnten bekannt. Noch 2024 wurden bei einer Sicherheitsüberprüfung von PHP Auffälligkeiten entdeckt. Weil sich damals kein praktikabler Angriffsweg nachweisen ließ und die Behebung tiefgreifende Änderungen erfordert hätte, wurden die Probleme aber als vernachlässigbar eingestuft und nicht vollständig beseitigt. Kürzlich, genauer im Sommer 2026, gelang es Sicherheitsexperten unter Einsatz leistungsfähiger KI-Modelle, konkrete Angriffsmöglichkeiten zu entwickeln. Die PHP Foundation räumte inzwischen ein, dass die verzögerte Behebung auch auf organisatorische Probleme und fehlende personelle Ressourcen zurückzuführen sei.

Der Fall zeigt ein grundsätzliches Problem im IT-Security-Umfeld: Schwachstellen, die bisher als praktisch kaum ausnutzbar galten, können durch KI-gestützte Analyse und automatisierte Entwicklung von Angriffswerkzeugen plötzlich hochgefährlich werden.“

Für Banken wird PHP2Shell auch zur DORA-Frage

Für die Finanzbranche hat das Szenario aber noch eine weitere Dimension. Denn die europäische Verordnung DORA verpflichtet Finanzunternehmen seit Januar 2025 zu einem umfassenden Management der eigenen IT-Risiken. Dazu gehören die Identifikation kritischer Softwarekomponenten, das Schwachstellen- und Patchmanagement sowie die Überwachung von IT-Dienstleistern. Gerade hier verdeutlicht PHP2Shell die eigentlich kaum zu leistenden Herausforderungen. Banken müssen nicht nur wissen, welche Software sie selbst einsetzen, sondern auch überblicken, welche Komponenten in zugekauften Anwendungen, Portalen, Cloud-Diensten oder anderen technischen Lösungen ihrer Dienstleister enthalten sind. Entsprechende Sicherheitsupdates müssen priorisiert, installiert und anschließend auf ihre Wirksamkeit überprüft werden. Den zentralen Webserver zu aktualisieren, ist aber oft gerade nicht ausreichend. Verwundbare PHP-Versionen können auch in Containern, eingebetteten Anwendungen oder den Verwaltungsoberflächen von Netzwerkgeräten auftreten. Wer solche Abhängigkeiten übersieht, riskiert trotz vermeintlich erfolgreicher Updates weiterhin angreifbare Systeme. Die jetzt entdeckten Lücken machen deutlich, weshalb Softwareinventare, schnelle Sicherheitsprozesse und die Kontrolle externer IT-Lieferketten inzwischen auch für Finanzunternehmen geschäftskritisch sind.

Entwarnung kann also nicht gegeben werden. Denn auch wenn es inzwischen entsprechende Patches gibt, ist die Lage für Banken und andere Finanzdienstleister noch nicht im Griff: Eine unmittelbare Gefährdung des regulären Online-Bankings ist in Deutschland zwar bislang nicht bekannt. Gleichzeitig bleibt die Gefahr für öffentlich erreichbare Anwendungen, nachgelagerte Systeme und externe Dienstleister aber bestehen. PHP2Shell dürfte die IT-Sicherheitsverantwortlichen somit noch länger beschäftigen.tw