PHP2Shell: Was eine kritische Sicherheitslücke für Dein Unternehmen bedeutet

Eine Sicherheitslücke in PHP zeigt, wie schnell aus einem technischen Problem ein Geschäftsrisiko werden kann. Was Unternehmen jetzt wissen und überprüfen sollten.

Und, übrigens, ignorieren oder nichtstun sind hier ganz schlechte Ideen, denn im schlimmsten Fall droht ein Datenabfluss. Übersetzung: Kunden- und Unternehmensdaten können gestohlen werden.

Wem ist aufgefallen, dass vorgestern plötzlich ziemlich viele Webseiten nicht mehr liefen? Um konkreter zu sein: Millionen von Webseiten.

‍

Was war da los?

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP öffentlich bekannt. Die Schwachstellen mit den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 können es Angreifern ermöglichen, ohne vorherige Anmeldung eigenen Code auf betroffenen Servern auszuführen. So der Super-Gau, wenn man eine Webseite betreibt.

Unter dem Namen PHP2Shell sorgt der Fall international für Aufmerksamkeit. Der Grund: PHP gehört zu den meistverwendeten Programmiersprachen im Web. Es bildet unter anderem die technische Grundlage für WordPress, Drupal und zahlreiche weitere Websites und Webanwendungen.

Für Unternehmen stellt sich deshalb eine entscheidende Frage: Wie gut wissen wir eigentlich, welche Software auf unseren Systemen läuft – und wie schnell können wir reagieren, wenn eine kritische Sicherheitslücke bekannt wird?

‍

Was ist genau passiert?

Die Sicherheitslücken betreffen den PHP-Kern selbst, nicht nur eine einzelne Website oder ein bestimmtes Content-Management-System, also nicht das, was wir “sehen”, wenn wir ins CMS von Wordpress gehen (die Nettrust-Webseite war nicht betroffen, da gibt es kein PHP).

Das macht den Fall besonders relevant. Selbst eine Anwendung, deren eigener Programmcode keine bekannte Schwachstelle aufweist, kann gefährdet sein, wenn sie auf einer verwundbaren PHP-Version läuft.

Die Analysten konnten beweisen, dass die Schwachstellen unter bestimmten Bedingungen eine Ausführung von Schadcode ohne vorherige Anmeldung ermöglichen. Damit könnten Angreifer beispielsweise versuchen, Zugangsdaten auszulesen, Daten zu manipulieren oder weitere Systeme zu kompromittieren. Also hässliche Dinge.

Die Bewertung der Schwachstellen liegt bei jeweils 9,2 von 10 Punkten nach CVSS v4.0 – einer Skala zur Einschätzung des Schweregrads von Sicherheitslücken.

Nach der Veröffentlichung begannen Sicherheitsanbieter, Schutzmassnahmen bereitzustellen und ihre Systeme auf Angriffsversuche auszurichten. Gleichzeitig stieg die Aufmerksamkeit für die Gefahr automatisierter Angriffe.

Wie immer wenn so monumentale Fehler passieren, brodelt sofort die Gerüchteküche und Schuldige werden gesucht: In diesem Fall könnte eine zu frühe Veröffentlichung und unkoordiniert ausgerollte Fixes für die PHP-Schwachstellen (“PHP2Shell”) verantwortlich sein. Den Angreifern wurde es dann Leicht gemacht, die Lücke mit automatisierten Code-Vergleichen (KI-basiert) zu analysiseren und einen Exploit zu entwickeln.

Wichtig ist dabei: Eine veröffentlichte Sicherheitslücke bedeutet nicht automatisch, dass ein Unternehmen bereits angegriffen oder kompromittiert wurde. Sie bedeutet aber, dass betroffene Systeme dringend überprüft und abgesichert werden müssen. Viele Webseiten wurden einfach vom Netz genommen.

‍

Warum betrifft das auch kleinere Unternehmen?

Viele Unternehmen betreiben ihre Website nicht selbst. Sie nutzen einen externen Hosting-Anbieter, eine Webagentur oder einen IT-Dienstleister. Das ist grundsätzlich sinnvoll – entbindet sie aber nicht von der Verantwortung, ihre digitale Infrastruktur angemessen abzusichern. Vor allem ältere Lösungen wie Wordpress sind da häufig verwundbar.

Entscheidend ist, welche Komponenten tatsächlich im Einsatz sind und wer sich um deren Wartung kümmert.

Eine Unternehmenswebsite kann beispielsweise auf WordPress basieren, während im Hintergrund eine bestimmte PHP-Version läuft. Dazu kommen Erweiterungen, Datenbanken, Schnittstellen und weitere Softwarekomponenten. Jede dieser Abhängigkeiten muss bei Sicherheitsupdates berücksichtigt werden.

Besonders problematisch wird es, wenn niemand genau weiss, welche Versionen installiert sind, wer für Updates verantwortlich ist oder ob ältere Systeme überhaupt noch Sicherheitskorrekturen erhalten.

Eine Website kann über Jahre zuverlässig funktionieren und trotzdem ein erhebliches Sicherheitsrisiko darstellen.

‍

Was sollten Unternehmen jetzt tun?

Bei einer kritischen Schwachstelle wie PHP2Shell zählt nicht nur, ob ein Update verfügbar ist. Entscheidend ist, wie schnell und kontrolliert es umgesetzt wird.

1. PHP-Versionen überprüfen

Lass prüfen, welche PHP-Versionen auf Deinen Webservern und in den eingesetzten Anwendungen laufen. Berücksichtige dabei auch Systeme bei externen Hosting-Anbietern und Dienstleistern.

Die PHP-Version allein sagt allerdings noch nicht alles aus: Auch die eingesetzte Serverkonfiguration und bereits installierte Sicherheitskorrekturen sind relevant.

2. Sicherheitsupdates zeitnah installieren

PHP hat korrigierte Versionen veröffentlicht. Dazu gehören PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei älteren Versionen ist zu prüfen, ob der jeweilige Anbieter Sicherheitskorrekturen bereitstellt oder ein Wechsel auf eine unterstützte Version notwendig ist.

Ein Update sollte kontrolliert und nach den betrieblichen Anforderungen getestet werden. Bei einer kritischen Sicherheitslücke darf dieser Prozess jedoch nicht unnötig verzögert werden.

3. Schutzmassnahmen nicht mit einer vollständigen Lösung verwechseln

Web Application Firewalls, geeignete Netzwerkregeln und weitere Schutzmechanismen können helfen, bestimmte Angriffsversuche zu blockieren. Sie ersetzen das notwendige Sicherheitsupdate aber nicht.

Wenn eine Aktualisierung nicht sofort möglich ist, sollte ein IT-Sicherheitsteam geeignete Übergangsmassnahmen festlegen und deren Wirksamkeit überprüfen.

4. Prüfen, ob es bereits verdächtige Aktivitäten gab

Ein Update beseitigt eine Schwachstelle. Es beweist jedoch nicht, dass sie vorher nicht ausgenutzt wurde.

Bei gefährdeten Systemen sollten deshalb relevante Protokolle, Sicherheitsmeldungen und ungewöhnliche Prozesse überprüft werden. Gibt es Hinweise auf eine Kompromittierung, braucht es eine strukturierte Untersuchung. Dazu können auch der Austausch betroffener Zugangsdaten und die Überprüfung weiterer Systeme gehören.

5. Verantwortlichkeiten klären

Wer erkennt eine kritische Sicherheitsmeldung? Wer bewertet die betroffenen Systeme? Wer darf ein Notfallupdate freigeben? Und wer entscheidet, ob ein Dienst vorübergehend eingeschränkt werden muss?

Diese Fragen sollten nicht erst beantwortet werden, wenn die nächste Sicherheitslücke bekannt wird.

‍

Die eigentliche Herausforderung: schnell reagieren können

PHP2Shell macht ein grundlegendes Problem deutlich: Unternehmen sind von einer Vielzahl technischer Komponenten abhängig. Eine Schwachstelle in einer einzigen Komponente kann Auswirkungen auf zahlreiche Anwendungen haben.

Dabei ist es nicht entscheidend, ob ein Unternehmen eine eigene IT-Abteilung mit Dutzenden Mitarbeitenden hat oder seine Infrastruktur weitgehend auslagert. Entscheidend ist, ob die Verantwortlichen ihre Systeme kennen, Sicherheitsmeldungen richtig einordnen und notwendige Massnahmen rechtzeitig umsetzen können.

Hinzu kommt ein weiterer Faktor: Künstliche Intelligenz kann Sicherheitsforschern helfen, komplexe Schwachstellen aufzudecken. Dieselben technologischen Fortschritte können aber auch dazu beitragen, dass Angriffe schneller entwickelt und angepasst werden.

Für Unternehmen bedeutet das nicht, in Panik zu geraten. Es bedeutet, die eigene Sicherheitsorganisation regelmässig zu überprüfen und sich nicht allein darauf zu verlassen, dass bisher alles gut gegangen ist.

Eine kritische Sicherheitslücke lässt sich nicht immer verhindern. Und es gibt auch keine absolute Sicherheit, auch nicht bei IT (oder vor allem nicht bei IT. Wie gut ein Unternehmen darauf vorbereitet ist, kann es dagegen sehr wohl beeinflussen.

Eine aktuelle Softwarebasis, klare Verantwortlichkeiten, funktionierende Überwachung und ein erprobter Prozess für Sicherheitsupdates gehören deshalb zu den Grundlagen einer zuverlässigen IT-Sicherheit.

Du kannst jetzt das Wochenende damit verbringen, dir Know-How anzulesen. Du kannst auch bei Nettrust anrufen. Wir unterstützen Dich dabei, Risiken zu identifizieren, notwendige Massnahmen zu priorisieren und Deine Sicherheitsprozesse zu verbessern. In diesem Sinne, ein schönes Wochenende!

‍