Am 21. Oktober 2026 wurde eine der schwersten PHP-Sicherheitslücken der letzten Jahre offiziell bekannt. Hier zeigen wir, wie wir die Webseiten unserer Kundinnen und Kunden noch am selben Tag geschützt haben.
Die Meldung
Am 20. Oktober sickerten Details zu zwei kritischen Schwachstellen im PHP-Kern durch, bekannt unter dem Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). Beide erlauben es Angreifern, ohne Anmeldung eigenen Code auf einem Webserver auszuführen. Der CVSS-Score lag bei 9,2 von 10 Punkten, also im kritischen Bereich. Betroffen waren alle PHP-Versionen ohne den neuen Patch. Die offiziellen Fixes wurden für den 21. Oktober um 16 Uhr angekündigt.
Vorbereitung bis 16 Uhr
Die Stunden bis zur Veröffentlichung haben wir genutzt, um alles vorzubereiten:
- Bestandsaufnahme: Welche Server laufen mit welchem PHP, welche Webseiten liegen wo?
- Paketquellen: Paketquellen und Signaturschlüssel haben wir erneuert, damit die Updates sofort ankommen.
- Workaround: Für Systeme, für die kein Patch zu erwarten war, haben wir die vom PHP-Projekt empfohlene Schutzmaßnahme vorab gesetzt.
Patchen ab 16 Uhr
Sobald die neuen PHP-Versionen verfügbar waren, haben wir über 50 Server mit mehreren hundert Webseiten aktualisiert. Jeden Server haben wir einzeln geprüft: Laufen alle PHP-Versionen mit dem Fix? Sind die Dienste neu gestartet? Antworten die Webseiten wie vorher?
Wo ein Update nicht reichte
Einige ältere Server bekamen über ihre Paketquellen keinen Fix mehr. Für sie haben wir noch am selben Abend Lösungen umgesetzt:
- Betriebssystem-Upgrades: Mehrere Server haben wir auf aktuelle Ubuntu- und Debian-Versionen gehoben und damit wieder an die offiziellen Sicherheitsupdates angeschlossen.
- Umzüge: Wo ein Upgrade nicht sinnvoll war, sind Domains und Webseiten auf neue, gepflegte Server umgezogen.
- Abschalten: Nicht mehr benötigte Altsysteme haben wir abgeschaltet.
Node.js gleich mit
Parallel veröffentlichte das Node.js-Projekt eigene Sicherheitsupdates, darunter eine Lücke, über die sich ebenfalls Code einschleusen lässt. Diese Updates haben wir am 22. und 23. Oktober auf allen betroffenen Servern eingespielt. Veraltete Node.js-Versionen ohne Support haben wir dabei auf die aktuelle Langzeitversion gehoben.
Das Ergebnis
Alle betreuten Server sind gegen PHP2Shell abgesichert. Es gab keine sicherheitsrelevanten Vorfälle und keine nennenswerten Ausfälle. Die Webseiten unserer Kundinnen und Kunden waren durchgehend erreichbar, und sie mussten selbst nichts tun.
Häufige Fragen zu PHP2Shell
Das PHP-Projekt hat Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen „PHP2Shell“ bekannt wurden. Sie erlauben es Angreifern, ohne Anmeldung Code auf einem Webserver auszuführen und ihn so im schlimmsten Fall komplett zu übernehmen.
PHP ist eine der meistgenutzten Programmiersprachen für Webseiten. Bekannte Systeme wie WordPress, TYPO3, Shopware oder Joomla basieren darauf. Ein Großteil aller Webseiten weltweit läuft mit PHP.
Wenn Ihre Webseite mit PHP läuft und der Server noch nicht aktualisiert wurde: sehr wahrscheinlich ja. Abgesichert sind erst die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie entsprechend gepatchte Pakete der Linux-Distributionen.
Lassen Sie prüfen, ob auf Ihrem Server eine gepatchte PHP-Version läuft. Bekommt Ihr System keine Updates mehr, ist ein Betriebssystem-Upgrade oder ein Serverumzug nötig. Wenn wir Ihren Server betreuen, ist das bereits erledigt.
Sicherheit braucht Erfahrung und Tempo
Bei einer kritischen Lücke entscheiden Stunden. Zwischen der Veröffentlichung des Patches und dem letzten abgesicherten Server lagen bei uns nur ein Nachmittag und ein Abend. Möglich war das, weil wir unsere Systeme genau kennen, Sicherheitsmeldungen laufend verfolgen und vorbereitet waren, als es ernst wurde.
Aktive Serverbetreuung ist deshalb mehr als ein Update-Knopf: Sie ist Cybersecurity-Kompetenz, die genau dann zur Stelle ist, wenn es darauf ankommt.
Sie sind nicht sicher, ob Ihr Server geschützt ist? Sprechen Sie uns an. Wir prüfen Ihre Systeme und sorgen dafür, dass Sie beim nächsten Mal genauso schnell abgesichert sind.