Nahezu alle PHP-Installationen sind gefährdet

Von Saeed Abbasi, Leiter der Threat Research Unit (TRU) und Director Product bei Qualys 

Um das Ausmaß der Gefährdung durch PHP2Shell (CVE-2026-109618 und CVE-2026-109619) zu messen, hat die Qualys Threat Research Unit in den ersten Stunden nach Veröffentlichung anonymisierte Daten von 12.000 Kunden ausgewertet – und die Ergebnisse zeigen, wie groß das Problem ist. Insgesamt wurden 167 Millionen PHP-Paketinstallationen gefunden, 73 % davon auf Systemen mit Internetzugang und damit in Reichweite von Angreifern aus dem Netz.

Von den 155 Millionen Installationen mit bekannter PHP-Version laufen lediglich 44 Millionen (28 %) auf unterstützten Versionen zwischen PHP 8.2 und 8.5; für sie steht zwar ein Fix bereit, eingespielt wurde er bislang jedoch nicht.

Die große Mehrheit von 110 Millionen Installationen (71 %) nutzt dagegen Versionen von PHP 5.4 bis 8.1, deren Support bereits ausgelaufen ist. Die meisten davon werden nie einen Patch des Herstellers erhalten, sodass nur der Umstieg auf eine unterstützte Version Abhilfe schafft. 

Nur 0,119 % der Installationen wurden in den ersten 12 Stunden gepatcht

Wie langsam die Reaktion ausfällt, zeigt eine weitere Zahl: In den ersten zwölf Stunden nach Bekanntwerden der Lücke wurden gerade einmal 199.000 Installationen gepatcht– das sind 0,119 % der Gesamtmenge. Weitere Details liefert der Qualys-Blogbeitrag zur kritischen PHP-Sicherheitslücke .