PHP-Sicherheitslücken legen in Japan 1.090 Dienste lahm – die Wiederinbetriebnahme stockt

Hunderte Dienste warten noch auf die Wiederinbetriebnahme

Japans Reaktion auf zwei schwerwiegende PHP-Sicherheitslücken hat mindestens 1.090 Websites und Online-Dienste beeinträchtigt. Für Hunderte gab es bis zum 26. Oktober 2026 noch keine bestätigte Meldung über ihre Wiedereröffnung. Betroffen sind unter anderem Online-Shops, Finanzdienstleistungen, Angebote zur Kinderbetreuung und Spiele. Die Betreiber installieren Sicherheitsupdates und prüfen, ob ihre Systeme sicher wieder ans Netz gehen können.

Assured, ein Unternehmen aus Tokio, das Informationen zur Sicherheitsbewertung von Cloud-Diensten bereitstellt, zählte zum 26. Oktober um 15 Uhr 1.090 ausgesetzte Dienste. Die Analyse stützte sich hauptsächlich auf Abschaltmeldungen offizieller Konten auf X. Gegenüber dem Stand von 502 Diensten am 23. Oktober um 14 Uhr war das ein Anstieg um 588 oder rund 117 Prozent innerhalb von etwa drei Tagen.

Bei 465 dieser Dienste hatte Assured keine Meldung über eine Wiedereröffnung bestätigt. Das entspricht rund 43 Prozent der erfassten Abschaltungen. Da die Zahlen öffentliche Meldungen abbilden, müssen die Betreiber den aktuellen Status dieser 465 Dienste noch bestätigen.

Bandai Namco Holdings rechnete damit, einen Online-Shop für Spielzeug und andere Waren am 27. Oktober um 12 Uhr wieder zu öffnen. Die Wartungsarbeiten hatten am Abend des 21. Oktober begonnen. Die Online-Verbindungen von Arcade-Spielen wie Taiko no Tatsujin waren weiterhin unterbrochen. Bei Daiwa Securities waren einige Funktionen der Website wieder verfügbar; Anträge auf Eröffnung von NISA-Anlagekonten und Vorgänge wie Adressänderungen waren am 26. Oktober um 17 Uhr jedoch noch nicht möglich.

Was die PHP2shell-Sicherheitslücken ermöglichen

Die japanische Agentur für Informationstechnologieförderung, kurz IPA, identifizierte die Schwachstellen am 22. Oktober in ihrer Sicherheitswarnung zu PHP als CVE-2026-109618 und CVE-2026-109619. Die Kombination der beiden Schwachstellen wird PHP2shell genannt. PHP ist eine Software, mit der viele Websites und Webanwendungen betrieben werden. Sie verarbeitet Aufgaben auf Servern, bevor Informationen den Browser eines Nutzers erreichen.

CVE-2026-109618 betrifft die Fehlerbehandlung, wenn PHP nicht mehr genügend Arbeitsspeicher zur Verfügung steht. CVE-2026-109619 betrifft die Verarbeitung von Anfragen an einen Server. Werden die Schwachstellen ausgenutzt, kann ein Angreifer aus der Ferne beliebigen Code ausführen – also Anweisungen, die er selbst vorgibt und nicht der Betreiber der Website.

JPCERT/CC, Japans Koordinierungsstelle für Computersicherheitsvorfälle, zufolge könnte der Code mit den Berechtigungen des PHP-Prozesses ausgeführt werden. Einfach gesagt könnte ein Angreifer dann Aktionen durchführen, zu denen auch die Software berechtigt ist, die die Website betreibt. Wie weit das reicht, hängt von den Berechtigungen und der Konfiguration des betroffenen Systems ab.

Die IPA empfiehlt Organisationen, die Informationen der Entwickler oder Anbieter der von ihnen genutzten Produkte zu prüfen, da PHP Teil einer größeren Anwendung oder eines Dienstes sein kann. Auch JPCERT/CC warnt, dass PHP, das über Softwareprodukte oder Linux-Distributionen bereitgestellt wird, betroffen sein könnte. Hinweise der Anbieter gehören daher zu den erforderlichen Maßnahmen.

Wie sich die Abschaltungen ausbreiteten

Die Betreiber begannen am 21. Oktober damit, Systeme vom Netz zu nehmen – noch bevor die Sicherheitsupdates gegen etwa 23 Uhr japanischer Zeit verfügbar waren. Einige handelten vorsorglich, weil öffentlich bekannt werdende Details zu den Schwachstellen das Angriffsrisiko erhöhen konnten.

Der Ablauf zeigt, wie ein dringendes Softwareupdate mehrere Tage lang zu Störungen führte:

• 21. Oktober: BASE, Codmon, Pixiv, DMM.com, niconico und einige Dienste von Sakura Internet gingen in den Wartungsmodus oder schränkten Funktionen ein. Auch Spiele wie Granblue Fantasy und Uma Musume Pretty Derby wurden vorübergehend eingestellt.
• 21. Oktober, 21.55 Uhr: Premierministerin Sanae Takaichi rief zu dringenden Vorbereitungen für die Installation der Sicherheitsupdates auf. Wenn eine sofortige Installation schwierig sei, könne eine vorübergehende Abschaltung der Website eine Option sein.
• 21. Oktober, gegen 23 Uhr: Die PHP-Sicherheitsupdates wurden veröffentlicht.
• 22. Oktober: Die IPA und JPCERT/CC veröffentlichten Warnmeldungen mit Erläuterungen zu den Schwachstellen und empfohlenen Maßnahmen.
• 23. Oktober: Laut Assured waren 502 Dienste abgeschaltet. Die PHP-Entwickler meldeten außerdem eine weitere Schwachstelle: CVE-2026-115560.
• 26. Oktober: Die Zahl bei Assured stieg auf 1.090. JPCERT/CC ergänzte seine Warnung um Berichte über Ausnutzungsversuche.
• 27. Oktober, 12 Uhr: Bandai Namco rechnete mit der Wiedereröffnung seines Online-Shops für Spielzeug und andere Waren.

Warum eine Website vorübergehend vom Netz genommen wurde

Japans Nationales Cybersicherheitsbüro empfahl, eine Website vorübergehend abzuschalten, wenn die Betreiber das Sicherheitsupdate nicht umgehend installieren konnten. Das könne das Risiko verringern. Takaichi nannte diese Möglichkeit ebenfalls in ihrem Aufruf vom 21. Oktober. Auch CERT-EU und das britische National Cyber Security Centre drängten zum Handeln und nannten die vorübergehende Abschaltung von Systemen, bis Schutzmaßnahmen eingerichtet sind, als mögliche Reaktion.

Die Empfehlungen der IPA sehen mehrere aufeinanderfolgende Optionen vor. Organisationen sollten zunächst vorübergehende Schutzmaßnahmen und Zugangsbeschränkungen erwägen, während sie ein Update oder eine Migration vorbereiten. Sind wirksame Übergangslösungen schwierig umzusetzen, sollten sie prüfen, ob der externe Zugriff gesperrt oder der Dienst ausgesetzt werden kann. Dabei sind mögliche Schäden und Betriebsstörungen abzuwägen.

Für Kunden bedeutete diese Entscheidung, dass alltägliche Funktionen vorübergehend nicht verfügbar waren, während die Betreiber an ihren Systemen arbeiteten. Ein Online-Shop konnte keine Bestellungen mehr annehmen, eine Finanzwebsite keine Kontovorgänge anbieten und ein Arcade-Spielautomat die Verbindung zu Online-Funktionen verlieren.

Yasuhiro Suzuki, der die Untersuchung bei Assured leitete, sagte, die Betreiber entschieden sich zunehmend für eine Aussetzung ihrer Dienste, um Kundendaten zu schützen. Die langsame Rückkehr der Dienste zeige zugleich, wie schwierig eine sichere Wiederinbetriebnahme sei. Seine Einschätzung bringt das zentrale betriebliche Problem auf den Punkt: Der Zugang lässt sich schnell sperren, doch für die Wiederherstellung müssen die Arbeiten am zugrunde liegenden System abgeschlossen sein.

Ein Sicherheitsupdate ist nur ein Teil der Wiederinbetriebnahme

Die Störungen bei Bandai Namco zeigen, warum Dienste innerhalb desselben Konzerns zu unterschiedlichen Zeitpunkten wieder verfügbar sein können. Der Konzern rechnete mit der Wiedereröffnung seines Waren-Shops am 27. Oktober, während die Verbindungen der Arcade-Spiele weiterhin unterbrochen waren. Die Aktualisierung der Systeme, die für die Installation des PHP-Sicherheitsupdates erforderlich waren, nahm Zeit in Anspruch.

Einige Dienste prüften außerdem, Daten vorübergehend auf Server eines anderen Unternehmens zu verlagern, deren Sicherheit überprüft worden war. Damit würde der Dienst während der Arbeiten an der betroffenen Umgebung an einem anderen Ort betrieben. Vor der Rückkehr der Kunden wären zusätzliche Vorbereitungen nötig.

Daiwa Securities hatte Teile seiner Website, darunter die häufig gestellten Fragen, wiederhergestellt. Anträge auf Eröffnung von Konten und Adressänderungen waren am 26. Oktober jedoch weiterhin nicht möglich. Eine funktionierende Informationsseite stand somit neben weiterhin unterbrochenen Kundenvorgängen.

Die IPA weist darauf hin, dass Systeme, die lange nicht aktualisiert wurden, möglicherweise Änderungen am Anwendungscode und Funktionstests nach dem PHP-Update erfordern. Fehlende Entwicklungsdokumentation, Personal ohne Systemkenntnisse und abgelaufene Wartungsverträge können die Arbeiten erschweren. JPCERT/CC empfiehlt gründliche Tests und anschließend die zeitnahe Installation der korrigierten Versionen.

Welche Versionen müssen aktualisiert werden?

Die IPA und JPCERT/CC nennen für die beiden ursprünglichen Schwachstellen vier korrigierte PHP-Versionen: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Ältere Versionen innerhalb der jeweiligen Zweige sind betroffen. Betreiber müssen die passende Korrektur für den von ihrem System verwendeten PHP-Zweig auswählen und die Hinweise ihres Software- oder Betriebssystemanbieters prüfen.

Ältere Installationen bringen ein zusätzliches Problem mit sich. Die IPA verweist auf die Erkenntnis des Cybersicherheitsunternehmens Wiz, dass Versionen ab PHP 5.4 von mindestens einer der beiden Schwachstellen betroffen sind. Für PHP 8.1 und ältere Versionen wurde der Support eingestellt. Sie erhalten daher nicht mehr die reguläre Wartung, die für unterstützte Versionen verfügbar ist.

Die IPA empfiehlt, auf unterstützte PHP-Versionen oder auf Produkte und Dienste mit vorhandenen Schutzmaßnahmen umzusteigen, falls keine Korrektur verfügbar ist. JPCERT/CC ergänzt, dass die PHP-Entwickler angesichts der Schwere der Schwachstellen begrenzte Abhilfemaßnahmen für PHP 7.4, 8.0 und 8.1 bereitgestellt haben.

Vorübergehende Abhilfemaßnahmen verringern das Risiko bestimmter Angriffswege. JPCERT/CC zufolge sind Updates die Lösung für die ursprünglichen Schwachstellen. Organisationen, die vorübergehende Einstellungen nutzen, müssen daher weiterhin das erforderliche Softwareupdate oder die Migration ihrer Systeme planen.

Angriffsversuche erhöhen den Handlungsdruck

In seiner Aktualisierung vom 26. Oktober zur PHP-Sicherheitswarnung berichtet JPCERT/CC, dass zahlreiche Demonstrationsprogramme veröffentlicht wurden, die angeblich die Schwachstellen ausnutzen. Außerdem verweist die Stelle auf wiederholte Meldungen über Netzwerkverkehr mit Ausnutzungsversuchen.

Ob solche Programme erfolgreich sind, hängt unter anderem von der PHP-Version, der Ausführungsumgebung und der Anordnung der Daten im Arbeitsspeicher ab. JPCERT/CC warnt, dass weitere Angriffsmethoden und Techniken für bestimmte Umgebungen auftauchen könnten, und empfiehlt sowohl Updates als auch eine Untersuchung auf mögliche Sicherheitsvorfälle.

Zu den empfohlenen Prüfschritten gehört die Suche nach ungewöhnlich langen oder auffällig formatierten PHPSESSID-Cookies. Sie enthalten Informationen, mit denen eine Browsersitzung erkannt wird. Weitere Warnzeichen sind verdächtige Anfragen mit multipart/form-data, einem häufig für Datei-Uploads verwendeten Format, insbesondere in zeitlicher Nähe zu Fehlermeldungen wegen ausgeschöpften Arbeitsspeichers oder HTTP-500-Fehlern, die auf ein Serverproblem hinweisen.

Auch unerwartete Abstürze oder häufige Neustarts von PHP-Worker-Prozessen sollten untersucht werden. Diese Prozesse bearbeiten eingehende Aufgaben. JPCERT/CC empfiehlt außerdem, nach verdächtigen Prozessen, externen Verbindungen und neu erstellten Dateien zu suchen und die Systeme weiter zu überwachen. Bei Verdacht auf eine Kompromittierung sollten Protokolle und andere Belege gesichert, der betroffene Bereich untersucht und Systeme bei Bedarf isoliert werden.

Eine dritte Schwachstelle erfordert eine Konfigurationsänderung

Die PHP-Entwickler meldeten am 23. Oktober CVE-2026-115560. Damit kam während der Reaktion auf die Sicherheitslücken eine weitere Aufgabe hinzu. JPCERT/CC zufolge kann diese Schwachstelle bei einer bestimmten Kombination aus Konfigurationseinstellungen und Anwendungscode die Ausführung beliebigen Codes ermöglichen.

Die Entwickler bezeichneten die betroffene Konfiguration als ungewöhnlich und planten eine Korrektur im regulären Veröffentlichungszyklus. Bis dahin gab JPCERT/CC die Empfehlung weiter, session.upload_progress.enabled=0 zu setzen und alle Worker-Prozesse neu zu starten. In der Aktualisierung vom 26. Oktober nannte die Stelle keinen Veröffentlichungstermin für die Korrektur.

Dieselbe Einstellung war bereits als Abhilfemaßnahme für CVE-2026-109619 empfohlen worden. Betreiber, die sie bereits angewendet hatten, mussten diesen Konfigurationsschritt laut Warnmeldung nicht wiederholen. Bei der Überprüfung ihrer Systeme müssen Teams weiterhin sowohl die beiden ursprünglichen Schwachstellen als auch das zusätzliche Problem berücksichtigen.

Für manche Organisationen steht eine größere Entscheidung an

Die Empfehlungen der IPA gehen über die unmittelbare Behebung hinaus. Organisationen sollen prüfen, welche Aufgabe ein System noch erfüllt, wie intensiv es genutzt wird und ob ein anderer Dienst es ersetzen könnte. Bei Software, die lange nicht gewartet wurde, muss für die Wiederinbetriebnahme möglicherweise auch geklärt werden, wer künftig den Support übernimmt.

Führungskräfte aus dem Management und der Geschäftsleitung sollten ebenso wie technische Mitarbeiter beurteilen, ob Personal, Budget und Wartungsvereinbarungen für ein Update oder eine Migration und den anschließenden Betrieb bereitgestellt werden können, so die IPA. Ist das möglich, empfiehlt die Behörde, das Update durchzuführen oder zu einem geschützten Dienst zu wechseln.

Kann eine fortlaufende Wartung nicht sichergestellt werden, führt die IPA weitere Optionen auf: der Wechsel zu einem unterstützten Produkt, die Einschränkung von Funktionen, die Beendigung des öffentlichen Zugangs oder die Stilllegung des Systems. Außerdem sollten notwendige Daten gesichert oder übertragen und die Nutzer über alternative Angebote informiert werden.

Die praktische Herausforderung reicht inzwischen von der Installation bestimmter PHP-Versionen bis zur Wiederherstellung einzelner Kundenfunktionen. Die geplante Wiedereröffnung des Shops von Bandai Namco ist ein konkreter Schritt. Die 465 Dienste, für die laut Assured noch keine Wiedereröffnung bestätigt war, zeigen jedoch, wie viel öffentliche Statusprüfung am 26. Oktober noch ausstand.

Die wichtigsten Punkte

• Assured zählte bis zum 26. Oktober um 15 Uhr in Japan 1.090 ausgesetzte Dienste, gegenüber 502 am 23. Oktober.
• Für 465 Dienste, rund 43 Prozent der Gesamtzahl, war keine Wiedereröffnung bestätigt.
• Die PHP2shell-Schwachstellen können Angreifern aus der Ferne ermöglichen, Code mit den Berechtigungen des PHP-Prozesses auszuführen.
• Die korrigierten Versionen für die beiden ursprünglichen Schwachstellen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
• JPCERT/CC warnte vor veröffentlichten Demonstrationsprogrammen und Berichten über Ausnutzungsversuche.
• Eine dritte Schwachstelle erfordert eine vorübergehende Konfigurationsänderung und den Neustart aller Worker, bis eine Korrektur bereitsteht.
• Bandai Namco rechnete damit, seinen Waren-Shop am 27. Oktober um 12 Uhr wieder zu öffnen. Einige Arcade-Verbindungen und Vorgänge bei Daiwa Securities waren am 26. Oktober weiterhin ausgesetzt.