Field Notes / Schwachstelle
PHP2Shell: Die Angriffe sind jetzt bestätigt. Welche PHP-Server in Ihrer Firma noch offen sind.
Zwei kritische Lücken in PHP erlauben Angreifern, ohne Anmeldung Code auf einem Webserver auszuführen. Das BACS rief am 21. Oktober 2026 zum sofortigen Update auf. Am 26. Oktober bestätigte die US-Behörde CISA aktive Angriffe, ein Forscher zählte 35 erfolgreiche Übernahmen auf seinen Testservern. Welche Versionen sicher sind, wo PHP in Ihrer Firma läuft, ohne dass es jemand Webserver nennt, und was Sie diese Woche prüfen.
01 Was seit dem 20. Oktober passiert ist
ie Lücken waren gemeldet, die Korrektur geplant, der Termin gesetzt. Dann wurden die Details am 20. Oktober vorzeitig öffentlich. Am nächsten Morgen um 07:43 Uhr UTC sah Cloudflare die ersten Angriffe. PHP lieferte die Korrektur um 14:00 Uhr Sansec 2026 . Amazon hatte einen ersten Versuch sogar schon am 17. Oktober registriert, vier Tage vor der Veröffentlichung.
| Datum | Was passierte | Quelle |
|---|---|---|
| 17. Oktober | Amazon registriert einen ersten Angriffsversuch auf seine Honeypots | Tenable |
| 20. Oktober | Details werden vor dem geplanten Termin öffentlich | Sansec |
| 21. Oktober | Erste Angriffe am Morgen, Korrektur am Nachmittag, Warnung des BACS | Sansec, BACS |
| 24. Oktober | Ein Forscher zählt 35 erfolgreiche Codeausführungen auf drei Testservern | The Register |
| 26. Oktober | CISA nimmt beide Lücken in den Katalog aktiv ausgenutzter Schwachstellen auf | CISA |
Die Testserver des Forschers Adel Karimi liefen mit PHP 8.4.26 unter Apache, eine Version vor der Korrektur. Die Angriffe kamen von zwei IP-Adressen. Danach versuchten die Angreifer, mit PHP, curl und wget weitere Werkzeuge nachzuladen. Die TU Delft zählt über 50’000 Angriffsversuche von mehr als 600 IP-Adressen aus 70 Ländern. 171 dieser Adressen schickten Angriffscode oder Schadsoftware The Register 2026 .
02 Wo PHP in Ihrer Firma läuft
Die meisten denken bei PHP an die Website. Das BACS schreibt bewusst mehr: «Prüfen Sie neben Webservern auch Anwendungen und Geräte, die PHP als integrierte Komponente verwenden» BACS 2026 . Betroffen ist jede Installation, die Webanfragen mit PHP verarbeitet, ob über Apache, PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed NCSC-NL 2026 .
- Websites und Shops. WordPress, TYPO3, Drupal, Magento, Shopware. Der Klassiker, meist bekannt.
- Interne Werkzeuge. Das Ticketsystem, das Wiki, die Zeiterfassung, das alte Kundenportal, das noch jemand braucht.
- Geräte mit Weboberfläche. Firewalls, NAS, Telefonanlagen und Gebäudesteuerungen bringen oft ihr eigenes PHP mit. Hier hilft nur das Update des Herstellers.
- Die Testumgebung. Die Kopie der Website von 2022, die auf einer Subdomain weiterläuft.
03 Wie gross ist die Gefahr wirklich?
Grösser als bei den meisten Lücken, aber kleiner als die ersten Schlagzeilen. Zwei frühe Meldungen über erfolgreiche Einbrüche wurden zurückgezogen. Sophos stellte fest, dass es sich um Scans und gescheiterte Versuche handelte. Palo Alto Networks nahm die Verbindung zu einem Einbruch bei einer europäischen Behörde zurück The Register 2026 . Sansec hält einen Massenangriff für weniger wahrscheinlich als zuerst befürchtet, weil der Angriff Wissen über den Zielserver braucht Sansec 2026 .
Karimi weist selbst darauf hin, dass seine Testserver mit einem einzigen Prozess liefen, was den Angriff erleichtert. Ein produktiver Server ist schwerer zu treffen. Das ändert die Wahrscheinlichkeit, nicht die Empfehlung. Hunderte Angreifer probieren es gerade auf jedem erreichbaren PHP-Server aus, und die Korrektur kostet eine Wartungsstunde.
04 Fünf Prüfungen für diese Woche
Die ersten zwei Punkte erledigt Ihre IT-Leitung heute. Den Rest schafft sie bis Freitag.
- Erstellen Sie eine Liste aller Systeme mit PHP: Websites, Shops, interne Werkzeuge, Testumgebungen und Geräte mit Weboberfläche. Fragen Sie Ihren IT-Partner und Ihre Agentur nach ihren Systemen für Sie
- Aktualisieren Sie jedes System auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 und starten Sie alle PHP-Prozesse neu. Prüfen Sie danach die laufende Version
- Trennen Sie Systeme mit PHP 8.1 oder älter vom Internet, bis sie auf eine unterstützte Version wechseln. Für PHP 5.4 bis 7.3 gibt es keine Korrektur
- Fragen Sie Ihren Hoster schriftlich, ob die korrigierte Version installiert ist, und fragen Sie die Hersteller Ihrer Geräte nach ihren Updates
- Prüfen Sie die Zugriffsprotokolle ab dem 17. Oktober auf ungewöhnliche Anfragen und auf Verbindungen Ihrer Server nach aussen mit curl oder wget
Die Korrektur ist schnell eingespielt. Schwierig ist, jedes System zu finden, auf dem PHP läuft. In 14 Tagen zeigen wir Ihnen, was ein Angreifer von aussen bei Ihnen sieht: jedes erreichbare System, seine Version und den Schritt, der es schliesst. Beginnen Sie mit Ihrer Threat Map.
References
Sources
- Bundesamt für Cybersicherheit BACS. Kritische Schwachstellen in PHP: Sicherheitsupdates sofort einspielen. 21. Oktober 2026. bacs.admin.ch
- CISA. Known Exploited Vulnerabilities Catalog: CVE-2026-109618 und CVE-2026-109619, aufgenommen am 26. Oktober 2026. cisa.gov
- The Register. CISA confirms PHP2Shell under attack as researchers clock successful exploits. 27. Oktober 2026. theregister.com
- Tenable. php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions. Oktober 2026. tenable.com
- Sansec. PHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619). 21. Oktober 2026. sansec.io
- NCSC-NL. php2shell: betroffene Software und Hinweise. GitHub, Oktober 2026. github.com