Seit dem 20. Oktober ist die Sicherheitslücke «PHP2Shell» in aller Munde – in den Medien, bei den Hosting-Providern und auch in den vielen Anrufen und Mails, die uns in den letzten Tagen erreicht haben. Vorweg das Wichtigste: Bei allen Websites, die wir betreuen, sind die Sicherheitsupdates eingespielt, und es gab keine Vorfälle.
Was ist passiert?
Am 20. Oktober warnte das PHP-Projekt vor zwei kritischen Schwachstellen (CVE-2026-109618 und CVE-2026-109619), die unter dem Namen «PHP2Shell» bekannt wurden. Mit einer einzigen präparierten Anfrage können Angreifer unter Umständen eigenen Code auf dem Webserver ausführen – ganz ohne Anmeldung. Entsprechend hoch ist die Einstufung: 9.2 von 10 Punkten.
Am 21. Oktober veröffentlichte das PHP-Projekt die Korrekturen in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und ältere Versionen gibt es keine offiziellen Updates mehr.
Betroffen ist PHP, nicht das CMS
Die Lücke steckt in PHP selbst, also in der Programmiersprache, die auf dem Webserver läuft. Sie hat nichts mit Drupal, WordPress, Shopware oder einem anderen System zu tun und betrifft jede Website, deren Seiten von PHP ausgeliefert werden – unabhängig davon, womit sie gebaut wurde. Da PHP auf einem Grossteil aller Websites weltweit läuft, waren entsprechend viele Betreiber betroffen, und die Hosting-Provider wurden mit Anfragen überhäuft.
Geschlossen wird die Lücke deshalb nicht mit einem Update der Website, sondern direkt auf dem Webserver mit einer aktualisierten PHP-Version. Inhalte, Formulare und Funktionen der Website bleiben dabei unverändert. Da solche Sicherheitsupdates nur den Fehler beheben und nichts an der Funktionsweise ändern, merken Besucherinnen und Besucher davon nichts.
So sind wir vorgegangen
Wir haben die Lücke vom ersten Tag an verfolgt, bei unseren Hosting-Partnern nachgefasst und einzelne Anwendungen gezielt gegengeprüft. Inzwischen haben alle unsere Hoster die neuen PHP-Versionen auf ihren Servern eingespielt. Vorfälle gab es bei keiner der von uns betreuten Websites.
Nicht jede Anwendung ist überhaupt betroffen: Läuft auf dem Server kein PHP – etwa bei Web-Apps, die nur aus statischen Dateien bestehen und vollständig im Browser laufen –, lässt sich die Lücke gar nicht ausnutzen. Auch solche Fälle haben wir geprüft und die betroffenen Kunden direkt informiert.
Was wir empfehlen
Wenn Sie Ihre Website von uns betreuen lassen, müssen Sie nichts unternehmen. Läuft Ihre Website bei einem anderen Anbieter oder auf einem eigenen Server, empfehlen wir:
- Beim Hoster nachfragen, ob die PHP-Sicherheitsupdates eingespielt sind. Die Versionsnummer allein sagt dabei nicht immer etwas aus: Viele Hoster und Linux-Distributionen bauen die Korrektur in ihre bestehende Version ein, die dann weiterhin zum Beispiel 8.3.35 heisst.
- Veraltete PHP-Versionen (8.1 und älter) jetzt ablösen – sie erhalten keine Sicherheitsupdates mehr.
- Das Update schliesst die Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware. War eine Website längere Zeit ungeschützt, lohnt sich eine Prüfung.
Mirabit & Sicherheit
Sicherheitslücken wie «PHP2Shell» zeigen, wie wichtig ein gepflegtes Hosting und ein konsequentes Patch-Management sind. Wir behalten Sicherheitsmeldungen laufend im Blick, stimmen uns mit unseren Hosting-Partnern ab und aktualisieren die Websites unserer Kunden gemäss SLA selbständig – bei kritischen Sicherheitsupdates umgehend. Mehr dazu erfahren Sie auf unseren Seiten zu Hosting und Cyber-Security.
Haben Sie Fragen zu Ihrer Website? Melden Sie sich bei uns – wir helfen gerne weiter.
Quellen