Die beste IT-Sicherheit ist die, von der Sie nichts mitbekommen. Im Oktober hatten wir so einen Fall. Damit Sie trotzdem wissen, was passiert ist – und was Sie jetzt in Ihrem eigenen Unternehmen prüfen sollten –, hier das Wichtigste.
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Sicherheitslücken veröffentlicht, bekannt unter dem Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). PHP ist die Programmiersprache, auf der ein Großteil aller Websites und Webanwendungen weltweit läuft.
Über die Lücken können Angreifer aus der Ferne eigenen Code auf einem Server ausführen – ohne Passwort, ohne Anmeldung. Beide Lücken sind mit 9,2 von 10 möglichen Punkten bewertet. Betroffen ist grundsätzlich jede PHP-Installation, die Anfragen aus dem Web verarbeitet. Erste Angriffsversuche wurden bereits vor der Veröffentlichung beobachtet, inzwischen ist Beispielcode für Angriffe im Umlauf.
Was bei einem Angriff passieren kann
„Code ausführen“ klingt abstrakt. Praktisch heißt es: Der Angreifer kann auf dem Server alles tun, was Ihre Website oder Anwendung auch darf. Zum Beispiel:
- Daten abgreifen. Kundendaten, Bestellungen, Kontaktanfragen, Zugangsdaten zur Datenbank – alles, worauf die Anwendung Zugriff hat, kann unbemerkt kopiert werden.
- Ihren Onlineshop manipulieren. Ein unsichtbares Skript auf der Bestellseite kann Zahlungsdaten Ihrer Kunden mitlesen. Der Shop läuft dabei ganz normal weiter.
- Daten verschlüsseln und Lösegeld fordern. Website, Dateien oder ganze Systeme werden unbrauchbar, bis gezahlt wird – oder bis Sie alles aus einer Sicherung wiederhergestellt haben.
- Von dort aus weiter ins Netzwerk vordringen. Ein gekaperter Server ist oft nur der Einstieg. Von ihm aus suchen Angreifer nach weiteren Systemen in Ihrem Unternehmen.
- Ihren Server für eigene Zwecke nutzen. Etwa, um in Ihrem Namen Spam- oder Phishing-Mails zu verschicken. Ihre Domain landet dann auf Sperrlisten, und Ihre eigenen Mails kommen bei Kunden nicht mehr an.
Dazu kommen die Folgen danach: Ausfallzeiten, Aufwand für die Bereinigung – und wenn personenbezogene Daten betroffen sind, die Pflicht, den Vorfall innerhalb von 72 Stunden der Datenschutzbehörde zu melden.
Was wir in unserem Rechenzentrum getan haben
Unser Team hat die Updates kurz nach ihrem Erscheinen eingespielt. Inzwischen läuft auf allen unseren Systemen eine aktualisierte PHP-Version. Angriffe haben wir nicht festgestellt.
Für alle Systeme, die wir für Sie betreiben, ist damit alles erledigt. Anders sieht es bei Systemen aus, die Sie selbst verwalten – ob bei uns, bei einem anderen Anbieter oder im eigenen Haus. Die sollten Sie gerade jetzt prüfen. Denn seit der Veröffentlichung sind die Lücken weltweit bekannt, auch bei Angreifern. Die suchen das Internet automatisiert nach Servern ab, auf denen noch eine alte PHP-Version läuft. Je länger ein System ungepatcht bleibt, desto wahrscheinlicher wird es gefunden.
Wo PHP in Ihrem Unternehmen steckt
PHP steckt oft dort, wo man es nicht vermutet. Diese Systeme sollten Sie jetzt prüfen oder prüfen lassen:
- Website und Onlineshop, etwa mit WordPress, TYPO3 oder Shopware. Fragen Sie Ihre Agentur oder Ihren Hoster, welche PHP-Version läuft. Bei WordPress sehen Sie es auch selbst: unter Werkzeuge → Website-Zustand → Bericht → Server.
- Eigene Server und virtuelle Maschinen – auch wenn dort keine Website läuft. Oft ist PHP als Teil einer anderen Anwendung installiert.
- Webbasierte Tools wie Nextcloud, Intranet, CRM- oder Ticketsysteme. Sie werden gern übersehen, weil sie seit Jahren einfach laufen.
- NAS-Systeme mit Weboberfläche. Hier kommt die Korrektur meist als Firmware-Update des Herstellers.
- Firewalls, Router und andere Geräte, die Sie über den Browser verwalten. Auch hier hilft ein Blick in die Sicherheitshinweise des Herstellers.
Welche Versionen sicher sind
Sicher sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer.
PHP 8.1 und älter bekommt keine offiziellen Updates mehr. Manche Linux-Distributionen liefern eigene Korrekturen nach – verlassen sollten Sie sich darauf aber nur, wenn Ihr Anbieter das ausdrücklich bestätigt.
Unser Tipp: PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wenn Sie ohnehin aktualisieren, gehen Sie am besten gleich auf PHP 8.4 oder 8.5.
Und wenn ein Update kurzfristig nicht möglich ist? Dann nehmen Sie das betroffene System vom Netz oder schotten es ab, bis es aktualisiert ist. Änderungen an der PHP-Konfiguration allein reichen laut PHP-Projekt nicht aus.
Fragen? Sprechen Sie uns an
Sie möchten wissen, wie wir Ihre Daten in unserem Rechenzentrum bei Verden absichern? Rufen Sie uns an oder schreiben Sie uns – wir erklären Ihnen gern, wie unsere Sicherheitsarchitektur aufgebaut ist.