PHP2Shell: Wie wir unsere Kundenwebsites abgesichert haben

Am 21. Oktober 2026 wurde eine der schwerwiegendsten Sicherheitslücken der letzten Jahre in PHP bekannt, der Programmiersprache, auf der WordPress und ein Großteil aller Websites laufen. Unter dem Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619) wurden zwei kritische Schwachstellen beschrieben, über die Angreifer ohne Login fremden Code auf einem Server ausführen können. Bewertet wurden sie mit 9,2 von 10 Punkten. Brisant: Details waren bereits durchgesickert, bevor ein Update verfügbar war (Analyse von Huntress).

Manche Agenturen haben ihre Websites vorsorglich vom Netz genommen. Wir haben uns anders entschieden: vorbereitet sein und sofort handeln, sobald die Korrektur da ist.

Was wir gegen PHP2Shell getan haben

• Vorbereitung: Unser Server hat den ganzen Tag automatisch geprüft, ob die korrigierte PHP-Version bereitsteht.
• 16:00 Uhr: Das PHP-Team veröffentlicht die Updates.
• 16:03 Uhr: Alle von uns betreuten Websites laufen auf der abgesicherten Version PHP 8.4.27. Ältere PHP-Versionen auf dem Server haben wir innerhalb der folgenden Stunde ebenfalls aktualisiert.
• Danach: Wir haben geprüft, ob jemand die Lücke vor dem Update ausgenutzt haben könnte, und keine Hinweise gefunden.
• In der Nacht: Zur Sicherheit lief ein vollständiger Malware-Scan über alle Websites, Dateien und Datenbanken: über 1,7 Millionen Dateien, ohne Befund.

Dass wir so schnell reagieren konnten, ist kein Zufall: Alle Websites laufen bei uns auf einer gemeinsam gewarteten Infrastruktur, mit klar dokumentierten Abläufen, laufender Überwachung und täglichen Sicherheitsscans. Jede Website ist vom Rest getrennt, und die Verwaltungsoberfläche des Servers ist aus dem Internet gar nicht erreichbar.