Das PHP-Projekt hatte am Mittwoch um 16 Uhr Schweizer Zeit Updates für die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Beide erlauben es unauthentifizierten Angreifern, Code auf Webservern auszuführen. Die Lücken wurden beide mit 9.2 von 10 CVSS-Punkten bewertet.

Cloudflare verzeichnet laut einem X-Beitrag von CEO Matthew Prince inzwischen Millionen Angriffsversuche. Demnach begannen die ersten Attacken am Mittwoch um 9:43 Uhr Schweizer Zeit, mehr als sechs Stunden vor dem Release. Noch früher datiert Amazon. Die Threat Intelligence des Konzerns registrierte bereits am 17. Oktober einen Exploit-Versuch gegen ein Honeypot-System. Er stammte von einer IP-Adresse aus einem kommerziellen Anonymisierungsnetz. Ab dem 21. Oktober beobachtete AWS erste Proof-of-Concept-Exploits und weitere Versuche, die auf mehrere Akteure hindeuteten. Ob die Angriffe auf realen Systemen erfolgreich gewesen wären, sei offen. Nach dem Release spricht AWS von breiter Ausnutzung.

Dem Bundesamt für Cybersicherheit (Bacs) sind nach eigenen Angaben keine Angriffe in der Schweiz bekannt. Das teilte es am Donnerstag der Nachrichtenagentur 'Keystone-SDA' mit. Unerkannte oder nicht gemeldete Vorfälle schliesse das aber nicht aus. Belastbare Zahlen zu betroffenen Websites, Onlineshops und internen Anwendungen lägen nicht vor. Auch in der Bundesverwaltung seien PHP-Anwendungen betroffen gewesen, einen vollständigen Überblick über den Update-Stand gebe es nicht.

Viele Organisationen nahmen vorsorglich Dienste vom Netz, unter anderem kantonale Websites sowie Anwendungen von Universitäten und Hochschulen. Der Kanton Neuenburg deaktivierte laut eigener Mitteilung alle PHP-basierten Websites, darunter ne.ch und zahlreiche Gemeindeseiten. Die IT-Abteilung SIEN spielte den Fix ein, ne.ch sollte noch am selben Abend wieder erreichbar sein.

Stand Donnerstag Mittag sind der Geschäftsdienst Bexio und der Hosting-Anbieter Cyon wieder online, ebenso die meisten betroffenen Behörden-, Hochschul- und Spitalwebsites. Die Universität Genf und die EPFL waren zuletzt noch nicht erreichbar. Die EPFL gibt ihren Angehörigen per VPN Zugang zu den Diensten. Die Seite der Universität Genf spricht lediglich von einer Wartung.

Das Security-Unternehmen Risikomonitor hat ein Livesystem für sämtliche EU-Länder sowie die Schweiz gebaut, über das man mitverfolgen kann, wie betroffen welches Land von der PHP-Schwachstelle ist, wie schnell Updates sich verbreiten und wie die Gefährdungslage ist. Laut dem Livesystem sind von 576'549 geprüften Webservern bereits 540'169 gepatcht. 20'231 Webserver, also 3,5%, seien zum Zeitpunkt der Recherche noch betroffen. Bei den übrigen 16'149 sei die PHP-Version verborgen.

Wie die Informationen vorzeitig an die Öffentlichkeit gelangten, ist umstritten. Laut dem Blog der PHP Foundation kursierten am Dienstag gegen 17 Uhr Schweizer Zeit erste CVE-IDs in Foren. Die Entwicklerinnen und Entwickler zogen den Release daraufhin von Donnerstag auf Mittwoch vor. Kurz darauf habe das Forschungsunternehmen Calif "versehentlich" ein Video mit einem Proof-of-Concept veröffentlicht. Am Mittwoch habe zudem der Softwarehersteller Chainguard Images mit dem Fix publiziert und damit das Embargo gebrochen.

Chainguard-CEO Dan Lorenc bestreitet den Zeitablauf nicht, weist aber den Vorwurf zurück, geleakt zu haben. Gegenüber 'The Register' sagte er, es seien bereits Angriffe gelaufen. Deshalb habe man sich zur Veröffentlichung entschieden. Entdeckt wurden die Lücken laut PHP-Blog zwischen August und September von Forschenden von Calif, OpenAI und Wiz, die nach eigenen Angaben KI-Modelle einsetzten.

Das Bacs ruft in einer Warnung dazu auf, die verfügbaren Sicherheitsupdates sofort einzuspielen. Laut AWS behebt nur das Upgrade beide Lücken vollständig, reine Konfigurationsänderungen genügten nicht. Wer eine Kompromittierung nicht ausschliessen kann, sollte laut AWS die Untersuchung mindestens ab dem 17. Oktober ansetzen. Das Schweizer Security-Unternehmen Infoguard rät, bei Verdacht zuerst Beweise zu sichern, bevor gepatcht und neu gestartet wird.