Zwei als „PHP2Shell“ bekannte kritische Sicherheitslücken beschäftigen derzeit die Krypto-Branche. PHP-Entwickler haben am 21. Oktober Notfall-Patches veröffentlicht. Die Schwachstellen erhielten einen Schweregrad von 9,2 von 10. Angreifer könnten damit ohne Passwort auf betroffene Server zugreifen, vertrauliche Informationen stehlen und möglicherweise die Kontrolle über Websites übernehmen.
Das Risiko beschränkt sich nicht auf Krypto-Dienste. Cloudflare bestätigte Angriffsversuche gegen Kunden, während einige europäische Regierungswebsites vorsorglich vorübergehend offline genommen wurden. Für Krypto-Unternehmen, die PHP bei Kontologins, Zahlungsanfragen oder Administrationsfunktionen einsetzen, ist daher entscheidend, wie schnell die Patches installiert werden und wie lange betroffene Systeme erreichbar bleiben.
PHP-Speicherverwaltung öffnet möglichen Angriffsweg
PHP ist eine serverseitige Software, die zahlreiche Websites zur Verarbeitung von Anfragen nutzen. Bei Logins, Zahlungen und anderen Interaktionen verarbeitet PHP häufig die zugrunde liegenden Daten. Sicherheitsforscher stellten fest, dass Angreifer die Verarbeitung des Computerspeichers durch PHP manipulieren und dadurch auf Informationen zugreifen könnten, die eigentlich geschützt sein sollten.
Wiz Research erklärte, eine erfolgreiche Ausnutzung könne Passwörter, Authentifizierungstoken und API-Schlüssel offenlegen. Diese digitalen Zugangsdaten können mit Website-Konten verknüpft sein und unter Umständen auch den Zugriff auf angeschlossene Drittanbieterdienste ermöglichen. Bei Websites, die digitale Vermögenswerte verwalten oder Krypto-Zahlungen abwickeln, könnte ein Diebstahl solcher Zugangsdaten die Folgen über den ursprünglich betroffenen Server hinaus ausweiten.
Zahlungs-Gateways und kleinere Börsen sollten Systeme prüfen
Drei Gruppen von Diensten gelten als besonders relevant für eine Überprüfung. An erster Stelle stehen Krypto-Zahlungs-Gateways. Händler, die PHP-basierte Zahlungsintegrationen verwenden, insbesondere in Verbindung mit WooCommerce, könnten einem Risiko ausgesetzt sein, wenn ihre Server noch nicht aktualisiert wurden. Binance Pay, Crypto.com Pay, BitPay, CoinGate und CoinPayments bieten laut öffentlich zugänglichen Informationen WooCommerce-Integrationen an. Allein daraus lässt sich jedoch nicht ableiten, dass die Infrastruktur dieser Unternehmen verwundbar ist.
Die zweite Gruppe sind kleinere Kryptowährungsbörsen. Läuft das Kundenportal oder Zahlungssystem einer Börse in einer betroffenen PHP-Umgebung, könnte ein erfolgreicher Servereinbruch Kundendaten und sensible Zugangsdaten offenlegen. Kleinere Anbieter müssen möglicherweise zunächst prüfen, ob ihre Websites, Administrationsoberflächen und Plug-ins von Drittanbietern noch betroffene PHP-Versionen verwenden. Größere Plattformen verfügen häufig über umfangreichere Verfahren zur Netzwerktrennung und zur Verteilung von Sicherheitsupdates.
Die dritte Gruppe bilden DeFi- und Wallet-Websites. Wird die Oberfläche einer solchen Website verändert, könnten Angreifer Nutzer auf gefälschte Wallet-Adressen umleiten oder sie dazu bringen, schädliche Transaktionen zu bestätigen. Derzeit gibt es keine bestätigten Hinweise darauf, dass die genannten Zahlungsanbieter oder großen Börsen über PHP2Shell angegriffen wurden.
Blockchain-Netzwerke und Offline-Schlüssel nicht direkt betroffen
Das Risiko auf Ebene der Website ist von der Sicherheit der Blockchain-Infrastruktur und gespeicherter Vermögenswerte zu trennen. PHP2Shell richtet sich unmittelbar gegen Webserver, auf denen PHP läuft. Blockchain-Netzwerke, Smart Contracts selbst oder sicher in Offline-Hardware-Wallets verwahrte private Schlüssel sind dadurch nicht direkt betroffen.
Auch das Vorhandensein einer PHP- oder WooCommerce-Integration in einem Krypto-Zahlungsprodukt belegt nicht, dass die zentralen Transaktionssysteme des Unternehmens angegriffen wurden. Das tatsächliche Risiko hängt davon ab, ob ein konkreter Server eine betroffene Version verwendet, ob der Patch installiert wurde und ob Kontosysteme, Zahlungsoberflächen und Administrationsfunktionen ausreichend voneinander getrennt sind.
Große Börsen könnten einem geringeren direkten Risiko ausgesetzt sein, wenn sie die Patches schnell eingespielt oder kritische Infrastruktur von verwundbaren Webdiensten isoliert haben. Kraken teilte mit, dass die Migration seines zentralen Backends von PHP zu Rust 2025 abgeschlossen worden sei. Der direkte Zusammenhang zwischen diesem Backend und den Schwachstellen muss daher anhand der konkreten Einsatzumgebung bewertet werden und lässt sich nicht allein aus der auf einer Website verwendeten Technologie ableiten.
Nutzer können Börsenserver nicht selbst patchen
Die PHP-Sicherheitsupdates müssen von Website-Betreibern, Zahlungsanbietern oder den jeweiligen Hosting- und Infrastrukturbetreibern installiert werden. Nutzer können Patches nicht direkt auf den Servern einer Börse einspielen. Sie können jedoch darauf achten, ob eine Plattform Sicherheitsupdates veröffentlicht, ungewöhnliche Login-Warnungen, Hinweise zu Passwortänderungen und Änderungen von Wallet-Adressen vorsichtig prüfen und Passwörter oder API-Schlüssel nicht auf verdächtigen Seiten eingeben. Auch unbekannte Transaktionen sollten sie nicht bestätigen.
Fest steht bislang: PHP-Entwickler haben Notfall-Fixes für zwei Sicherheitslücken veröffentlicht, Cloudflare hat Angriffsversuche gegen seine Kunden festgestellt, und einige europäische Regierungswebsites wurden vorübergehend geschlossen. Ob eine bestimmte Börse, ein Zahlungs-Gateway oder eine Wallet-Website betroffen ist, hängt weiterhin von der verwendeten Serverversion, dem Patch-Status und den Maßnahmen zur Netzwerktrennung ab. Eine PHP-Integration allein reicht nicht aus, um die konkrete Gefährdung zu bestimmen.