webart-IT - Blog
php2shell: Kritische Sicherheitslücken sofort geschlossen – so haben wir reagiert
Zwei kritische Sicherheitslücken in PHP sorgten am 21. Oktober 2026 weltweit für Alarm. Auch wir bei webart-IT haben unmittelbar reagiert, zusätzliche Schutzmaßnahmen eingerichtet, unsere Hosting-Systeme vorsorglich abgesichert und die betroffenen PHP-Komponenten aktualisiert. Für die Sicherheit unserer Kunden haben wir dabei bewusst auch kurzfristige Unterbrechungen der Erreichbarkeit in Kauf genommen.
Was steckt hinter der Sicherheitslücke php2shell?
Am 21. Oktober 2026 wurden zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP öffentlich bekannt. Sie tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619 und werden unter dem Namen php2shell beziehungsweise PHP2Shell zusammengefasst.
Beide Schwachstellen wurden mit einem kritischen Schweregrad von 9,2 bewertet.
PHP ist eine der wichtigsten Grundlagen moderner Websites. Zahlreiche Content-Management-Systeme wie Joomla und WordPress, aber auch Onlineshops und andere Webanwendungen, nutzen PHP für die Verarbeitung von Anfragen.
Das Besondere an php2shell: Die Sicherheitslücken befinden sich nicht in einer bestimmten Website, einem Plugin oder einer Erweiterung, sondern direkt in PHP selbst.
Durch Fehler bei der internen Speicherverwaltung können Angreifer unter bestimmten Voraussetzungen aus der Ferne eigenen Programmcode auf einem betroffenen System ausführen – möglicherweise sogar ohne vorherige Anmeldung.
Das macht solche Schwachstellen besonders gefährlich. Selbst eine vollständig aktualisierte Joomla- oder WordPress-Website kann betroffen sein, wenn die darunterliegende PHP-Version verwundbar ist.
Für uns war deshalb sofort klar: Diese Sicherheitsmeldung hat höchste Priorität.
Unsere erste Reaktion: Sicherheit vor Erreichbarkeit
Bei einer Sicherheitslücke dieser Größenordnung zählt jede Stunde.
Unmittelbar nach Bekanntwerden der Schwachstellen haben wir begonnen, unsere Hosting-Infrastruktur auf mögliche Betroffenheit zu prüfen.
Dabei haben wir nicht einfach auf automatische Updates vertraut, sondern uns direkt über die Systemkonsolen mit unseren Servern beschäftigt.
Über gezielte Befehle und Systemabfragen kontrollierten wir unter anderem die eingesetzten PHP-Versionen, die installierten Softwarepakete und den Aktualisierungsstand der verschiedenen PHP-Laufzeitumgebungen.
Besonders wichtig war dabei die Unterscheidung zwischen PHP-Versionen, die Kundenwebsites ausführen, und PHP-Komponenten, die von der Serververwaltungssoftware selbst verwendet werden.
Denn ein Update der Website-PHP-Version allein reicht nicht zwingend aus, um sämtliche betroffenen Komponenten eines Hostingservers abzusichern.
Zusätzliche Schutzmaßnahmen – noch bevor alle Patches verfügbar waren
Da die offiziellen Sicherheitsupdates nicht für sämtliche Komponenten gleichzeitig bereitstanden, haben wir zunächst eigene temporäre Schutzmaßnahmen umgesetzt.
Dazu gehörten unter anderem die Einschränkung sicherheitskritischer PHP-Funktionen, eine zusätzliche Absicherung administrativer Zugänge sowie die Begrenzung öffentlich erreichbarer Verwaltungsdienste.
Diese Maßnahmen sollten mögliche Angriffswege reduzieren, solange die endgültigen Herstellerkorrekturen noch nicht vollständig verfügbar waren.
Dabei war uns bewusst: Eine vorübergehende Absicherung ist kein Ersatz für ein offizielles Sicherheitsupdate.
Deshalb haben wir uns für einen weiteren, konsequenten Schritt entschieden.
Wir haben unsere Websites vorsorglich kurzzeitig vom Netz genommen
Um das Risiko während der kritischen Phase so weit wie möglich zu reduzieren, haben wir die von uns betriebenen Websites vorübergehend vom Netz genommen.
Eine solche Entscheidung treffen wir nicht leichtfertig. Schließlich erwarten unsere Kunden zu Recht, dass ihre Websites jederzeit erreichbar sind.
Bei einer kritischen Schwachstelle, die möglicherweise eine nicht authentifizierte Ausführung von Schadcode ermöglicht, hat die Sicherheit jedoch Vorrang vor einer kurzfristig unterbrochenen Erreichbarkeit.
Lieber nehmen wir eine Website vorsorglich für kurze Zeit offline, als unnötige Risiken für Kundendaten und Hosting-Systeme einzugehen.
Die Unterbrechung haben wir genutzt, um die notwendigen Sicherheitsupdates einzuspielen, zusätzliche Schutzmaßnahmen umzusetzen und die anschließenden Prüfungen durchzuführen.
Erst danach wurden die Websites wieder freigegeben.
Offizielle Sicherheitsupdates eingespielt – und anschließend kontrolliert
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt korrigierte Versionen, welche die beiden Schwachstellen beheben.
Auch für unsere Hosting- und Verwaltungssoftware wurden entsprechende Sicherheitsupdates bereitgestellt.
Wir haben die betroffenen PHP-Laufzeitumgebungen aktualisiert und anschließend die zugehörigen Verwaltungs- und Systemkomponenten auf den korrigierten Versionsstand gebracht.
Dabei haben wir uns nicht darauf verlassen, dass ein Updateprogramm lediglich „erfolgreich“ meldet.
Entscheidend war für uns, was tatsächlich auf den Servern installiert ist und ausgeführt wird.
Dazu haben wir die installierten Pakete und Versionsstände direkt über die Konsole abgefragt und mit den offiziellen Sicherheitshinweisen der Hersteller abgeglichen.
Zusätzlich wurden die betroffenen Dienste kontrolliert und die erfolgreiche Übernahme der Aktualisierungen überprüft.
Systemhärtung und umfangreiche Nachkontrollen
Nach der Installation der Patches war unsere Arbeit noch nicht beendet.
Im nächsten Schritt haben wir die Systeme nochmals auf ihre grundlegende Sicherheit und Funktionsfähigkeit geprüft.
Zu unseren technischen Kontrollen gehörten:
PHP- und Versionsprüfungen: Abgleich der eingesetzten Laufzeitumgebungen mit den veröffentlichten Sicherheitsupdates.
Paket- und Installationskontrollen: Prüfung der installierten Softwarepakete sowie der Ergebnisse und Protokolle der Aktualisierung.
Dienstprüfungen: Kontrolle wichtiger Webserver-, PHP-, E-Mail- und Sicherheitsdienste.
Firewall- und Zugriffskontrollen: Überprüfung administrativer Zugänge und der eingerichteten Zugriffsbeschränkungen.
Systemprüfungen: Kontrolle des allgemeinen Serverzustands, einschließlich relevanter Systemdienste und weiterer sicherheitsrelevanter Betriebszustände.
Funktionskontrollen: Prüfung der Erreichbarkeit und Funktion der bereitgestellten Dienste nach Abschluss der Arbeiten.
Ein Teil dieser Prüfungen erfolgte mithilfe gezielter Linux-Systembefehle und Statusabfragen.
Damit konnten wir unabhängig von grafischen Verwaltungsoberflächen nachvollziehen, ob die notwendigen Sicherheitskorrekturen tatsächlich installiert waren und die geprüften Dienste ordnungsgemäß arbeiteten.
Wo erforderlich, wurden Systeme kontrolliert neu gestartet und anschließend erneut überprüft.
Erst nachdem die notwendigen Updates eingespielt und die entsprechenden Kontrollen abgeschlossen waren, haben wir die Websites wieder für den regulären Betrieb freigegeben.
Warum automatische Updates allein nicht immer ausreichen
Automatische Sicherheitsupdates sind ein wichtiger Bestandteil unseres Hosting-Konzepts. Sie helfen dabei, bekannte Schwachstellen möglichst zeitnah zu beheben.
Der Vorfall rund um php2shell hat jedoch erneut gezeigt, weshalb eine professionelle Serverbetreuung mehr bedeutet als die bloße Aktivierung einer Updatefunktion.
Sicherheitsupdates können für unterschiedliche Komponenten zu verschiedenen Zeitpunkten erscheinen. Manche Dienste verwenden eigene PHP-Installationen, die unabhängig von den PHP-Versionen der Websites aktualisiert werden müssen.
Außerdem muss nach einer Aktualisierung geprüft werden, ob die betroffenen Dienste tatsächlich mit der korrigierten Software arbeiten.
Automatisierung ist wichtig. Kontrolle ist unverzichtbar.
Deshalb kombinieren wir bei webart-IT automatisierte Wartungsprozesse mit gezielten technischen Prüfungen und greifen bei kritischen Sicherheitsmeldungen auch unmittelbar manuell ein.
Was bedeutet das für unsere Hosting-Kunden?
Die für php2shell relevanten Sicherheitskorrekturen wurden auf unseren betroffenen Hosting-Systemen eingespielt und die aktualisierten Komponenten anschließend überprüft.
Auch die zusätzlich eingerichteten Schutzmaßnahmen und Zugriffsbeschränkungen wurden in unsere Nachkontrollen einbezogen.
Die zeitweilige Nichterreichbarkeit einzelner Dienste beziehungsweise Websites war Teil unseres vorsorglichen Sicherheitsvorgehens.
Wichtig ist uns dabei eine klare Unterscheidung: Eine veröffentlichte Sicherheitslücke bedeutet nicht automatisch, dass ein Server kompromittiert oder eine Website gehackt wurde. Unsere Maßnahmen dienten der vorbeugenden Absicherung gegenüber einer neu bekannt gewordenen Bedrohung.
Sicherheit ist kein einmaliges Update
Cyberangriffe entwickeln sich ständig weiter. Zwischen der Bekanntgabe einer Schwachstelle und dem Auftreten entsprechender Angriffsversuche können heute sehr kurze Zeiträume liegen.
Wer Websites und Server betreibt, muss deshalb nicht nur regelmäßig aktualisieren, sondern auch schnell entscheiden und handeln können.
Für uns bei webart-IT gehört das zur Verantwortung eines professionellen Hosting-Anbieters.
Wir beobachten aktuelle Sicherheitsentwicklungen, überprüfen die Betroffenheit unserer Systeme, setzen notwendige Schutzmaßnahmen um und kontrollieren deren Wirksamkeit.
php2shell hat erneut gezeigt, worauf es ankommt: Sicherheitsrisiken frühzeitig erkennen, konsequent reagieren und erst dann wieder zum regulären Betrieb übergehen, wenn die erforderlichen Maßnahmen abgeschlossen sind.
Denn professionelles Hosting bedeutet für uns weit mehr, als nur Speicherplatz und Serverleistung bereitzustellen.
Es bedeutet, Verantwortung für die technische Grundlage der Websites unserer Kunden zu übernehmen.
webart-IT – wir können internet.
Weiterführende Informationen
