PHP2Shell: die Sicherheitslücke im Fundament des Internets – und was das für Ihre Server heißt

Was tatsächlich passiert ist

Am 20. Oktober informierte das PHP-Team über zwei kritische Schwachstellen (CVE-2026-109618 und CVE-2026-109619), am 21. Oktober standen die Patches bereit. Beide erlauben unauthentifizierte Codeausführung; im schlimmsten Fall lässt sich ein Server vollständig übernehmen – laut heise betrifft die Lücke einen Fehler, der über 20 Jahre im Code bestand, und rund 70 Prozent der serverseitigen Webanwendungen laufen auf PHP. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab eine offizielle Cybersicherheitswarnung heraus, ordnete das Risiko als „außerordentlich hoch" ein und nannte die Warnstufe „3 / Orange" – unverzügliche Gegenmaßnahmen. Zahlreiche Bundesländer, Kommunen, Universitäten und Kliniken nahmen ihre Webseiten vorsorglich vom Netz, darunter Seiten des Bundeskriminalamts, des BND, des Zolls, der Bundespolizei und des Robert-Koch-Instituts. Fachmedien berichteten, dass Details der Lücke vorab unabsichtlich an die Öffentlichkeit gelangt waren – der Handlungsdruck war also von Beginn an hoch.

Meine Einordnung

Die Schlagzeile „Das Internet ist kaputt" war übertrieben, die Aufregung aber berechtigt – aus einem Grund, der in den meisten Meldungen zu kurz kam. Diese Lücke sitzt nicht in einer Anwendung, die man einfach aktualisiert, sondern in der Laufzeitumgebung darunter. Sie trifft also nicht nur die Webagentur, sondern jeden, der eine Seite oder einen Shop betreibt. Und das ist bei kleinen und mittleren Betrieben genau die Stelle, an der niemand hinsieht: Der Hoster kümmert sich um „die Technik", die Agentur um „das Design", und die PHP-Version auf dem Server kennt am Ende niemand. In IT-Modernisierungs- und Sicherheitsprojekten, die ich begleite, ist das kein seltenes, sondern das häufigste Problem: Es gibt kein Verzeichnis der Systeme, und was man nicht kennt, kann man nicht patchen.

Der zweite Punkt ist eine Frage der Haltung. Als CISO einer Behörde mit rund 1.500 Mitarbeitenden hätte ich in dieser Woche genauso entschieden wie viele Ämter: Webseite vorsorglich abschalten, patchen, wieder hochfahren. Das ist teuer und unangenehm, aber eine ausgefallene Seite ist immer noch billiger als ein übernommener Server mit abgeflossenen Daten. Der Reflex „erst mal abwarten, ob es uns erwischt" ist genau die Haltung, die in der Statistik später als Datenschutzpanne auftaucht. Sicherheitslücken dieser Größe klopfen nicht an, sie testen still.

Und drittens: Ich widerspreche der naheliegenden Lesart, dass es hier um ein PHP-Problem geht. Es geht um Patchmanagement. Dieselbe Frage – „welche Version läuft wo, und wer spielt wann ein?" – werden Sie in den nächsten Jahren bei jeder Lücke stellen, egal ob sie PHP, Node.js, Java oder ein Router-Betriebssystem betrifft. Für Betriebe in Fürstenfeldbruck, Augsburg und dem Münchener Umland ist die gute Nachricht: Diese Frage lässt sich ohne großes Budget beantworten, sie braucht nur einen Verantwortlichen und eine Liste.

Was Sie jetzt konkret tun können

1. Patch-Stand klären, nicht raten. Fragen Sie Hoster und Agentur schriftlich: Welche PHP-Version läuft auf dem Server, wann wurde zuletzt aktualisiert, wer patcht bei der nächsten Lücke? Eine Antwort in 24 Stunden ist normal.

2. Systeminventar anlegen. Eine Tabelle: System, Betreiber, Version, Ansprechpartner für Updates. Sie ist die Grundlage jeder Reaktion und in einer Stunde angelegt.

3. Abschalten statt warten, wenn Sie nicht patchen können. Lässt sich ein Update kurzfristig nicht einspielen, ist die vorübergehende Trennung vom Internet ausdrücklich eine Option – Verzögerung vor Geschwindigkeit.

4. Backups prüfen. Können Sie im Ernstfall auf einen Stand vor der Lücke zurück und eine Website in Stunden wiederherstellen? Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme.

5. Zugänge und Rechte sortieren. Ein übernommener Webserver ist nur so schlimm wie das, was der Server erreichen darf. Teilen Sie Rechte so auf, dass ein Vorfall nicht bis zur Datenbank durchschlägt.

Wenn Sie nicht wissen, ob Ihre betreuten Systeme betroffen sind, und niemand Ihnen das belastbar sagen kann, ist das der Moment, in dem ein Blick von außen hilft.