PHP-Angriffe: Was der Mittelstand jetzt von seinen IT-Dienstleistern verlangen muss
Die unter dem Namen „PHP2Shell“ bekannt gewordenen Sicherheitslücken betreffen eine technische Grundlage zahlreicher Unternehmenswebsites, Onlineshops und Kundenportale. Sicherheitsupdates stehen seit dem 21. Oktober bereit. Zugleich sind bereits Angriffsversuche dokumentiert. Für Unternehmen kommt es jetzt darauf an, die Absicherung ihrer Systeme nachweisen zu lassen und mögliche frühere Einbrüche zu prüfen.
Die Schwachstelle liegt unterhalb der Website
PHP arbeitet im Hintergrund vieler Internetangebote. Auch WordPress, Joomla und Drupal bauen darauf auf. Die beiden kritischen Schwachstellen können unter bestimmten Bedingungen dazu führen, dass Angreifer ohne Anmeldung eigenen Programmcode auf einem Server ausführen. Welche weiteren Systeme und Daten dadurch erreichbar werden, hängt unter anderem von den Berechtigungen und der Absicherung der jeweiligen Umgebung ab.
Das Sicherheitsunternehmen Wiz demonstrierte Angriffe auf mehrere verbreitete Redaktionssysteme. Daraus folgt jedoch weder, dass jede PHP-Website gleichermaßen ausnutzbar ist, noch dass bereits Millionen Server erfolgreich übernommen wurden. Verbreitung, technische Verwundbarkeit und nachgewiesener Schaden müssen auseinandergehalten werden.
Angriffe begannen schon vor der Veröffentlichung
Amazon Threat Intelligence meldet einen Angriffsversuch vom 17. Oktober, vier Tage vor der öffentlichen Bekanntgabe. Beobachtet wurde er in einem System, das Angreifer gezielt anlockt und ihre Methoden erfasst. Weitere Versuche folgten. Ob die frühen Angriffe auf realen Produktivsystemen erfolgreich gewesen wären, ließ Amazon zunächst offen. Wie die Angreifer vorab an die nötigen Informationen gelangten, ist ebenfalls ungeklärt.
Damit greift die Erklärung zu kurz, Informationslecks hätten den gesamten Vorfall verursacht. Sie haben die koordinierte Veröffentlichung gestört und den Zeitdruck erhöht. Die technischen Fehler bestanden aber vorher. Ubuntu bestätigt, dass die Veröffentlichung wegen eines Lecks vom 22. auf den 21. Oktober vorgezogen wurde.
Ein WordPress-Update allein genügt nicht
Die Fehler sitzen in PHP selbst. Ein aktualisiertes Redaktionssystem beseitigt sie deshalb nicht automatisch. Entscheidend ist, ob die tatsächlich eingesetzte PHP-Laufzeit die Sicherheitskorrekturen enthält.
Das PHP-Projekt veröffentlichte dafür die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Bei Linux-Distributionen und spezialisierten Wartungsanbietern können die Korrekturen auch in Paketen mit älteren Versionsnummern enthalten sein. Ubuntu stellt solche rückübertragenen Korrekturen bereit. Eine Versionsnummer allein reicht daher zur Beurteilung nicht immer aus; maßgeblich ist die Sicherheitsfreigabe des jeweiligen Anbieters.
Vier Fragen an Hoster und IT-Dienstleister
Für kleinere Unternehmen ist es sinnvoll, die technische Prüfung beim zuständigen Dienstleister einzufordern. Die Antwort sollte konkret und dokumentiert sein:
Welche unserer Websites, Shops, Kundenportale und weiteren Anwendungen verwenden betroffenes PHP?
Sind die Korrekturen für CVE-2026-109618 und CVE-2026-109619 auf sämtlichen betroffenen Systemen eingespielt und wirksam?
Welche Schutzmaßnahmen gelten für Systeme, die noch nicht aktualisiert werden konnten?
Wurden vorhandene Protokolle und Systeme auf Hinweise auf frühere Angriffe untersucht?
Gerade die letzte Frage ist entscheidend: Ein Update schließt die Sicherheitslücke, entfernt aber keine bereits installierte Schadsoftware. Amazon empfiehlt, Untersuchungen mindestens auf den Zeitraum ab dem 17. Oktober auszudehnen und unter anderem unerwartete Programmstarts sowie Dateiänderungen zu prüfen.
Vorgeschalteter Schutz verschafft Zeit
Cloudflare berichtet, bereits vor der öffentlichen Bekanntgabe Schutzregeln für seine Web Application Firewall aktiviert zu haben. Solche Filter können gefährliche Anfragen abfangen und während der Aktualisierung helfen. Ob ein Unternehmen davon profitiert, hängt jedoch von seiner konkreten technischen Einbindung ab. Eine pauschale Entwarnung für sämtliche Hostingkunden lässt sich daraus nicht ableiten.
Für Unternehmen ergibt sich daraus eine klare organisatorische Aufgabe: Wer betreibt die Systeme, wer spielt Sicherheitsupdates ein und wer kontrolliert deren Wirksamkeit? Eine ausgelagerte Website braucht einen benannten Verantwortlichen im Unternehmen, der diese Auskünfte einholt und offene Punkte nachhält.
KI beschleunigt die Forschung und erhöht den Arbeitsdruck
Der Vorfall zeigt außerdem ein strukturelles Problem digitaler Infrastruktur. Nach Angaben der PHP Foundation musste das Sicherheitsteam seit Anfang Juli neben 15 veröffentlichten Sicherheitslücken mehr als 100 Meldungen bearbeiten, die ungültig, doppelt oder nicht reproduzierbar waren. KI unterstützt die Prüfung, ersetzt aber nicht die erfahrenen Entwickler, die Korrekturen entwerfen und ihre Folgen beurteilen.
Die Foundation räumt zugleich eigene Versäumnisse ein: Erste Hinweise auf eines der zugrunde liegenden Probleme bestanden bereits 2024. Schwierige technische Abwägungen, Entscheidungsprozesse und knappe personelle Ressourcen verzögerten die Lösung.
Für den Mittelstand ist das ein wirtschaftliches Thema. Geschäftskritische digitale Dienste benötigen dauerhaft finanzierte Wartung – bei den eingesetzten Anwendungen ebenso wie bei ihrer technischen Grundlage. Diese Leistung sollte bei der Auswahl und Bezahlung von Dienstleistern ausdrücklich berücksichtigt werden.
Fazit: Sicherheit braucht einen überprüfbaren Status
Unternehmen sollten jetzt eine dokumentierte Bestätigung über die eingesetzten PHP-Sicherheitskorrekturen verlangen und klären lassen, ob Hinweise auf frühere Einbrüche bestehen. Dass eine Website erreichbar ist und normal aussieht, sagt über ihre Absicherung wenig aus. Der aktuelle Vorfall macht sichtbar, wie wichtig verlässliche Wartung, klare Zuständigkeiten und schnelle Reaktionswege für den Geschäftsbetrieb sind.
Stand: 22. Oktober 2026.
