Am 21. Oktober hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer kritischen Schwachstelle in PHP gewarnt, die unter dem Namen „php2shell“ bekannt wurde (CVE-2026-109618, CVE-2026-109619): Über manipulierte Web-Formulare lässt sich auf betroffenen Systemen Code einschleusen. Die Lücke wird aktiv ausgenutzt, betroffen sind vor allem ältere PHP-Versionen.

Die gute Nachricht vorweg: Ihre bei uns gehosteten Projekte sind geschützt – und es besteht kein Handlungsbedarf Ihrerseits. Wir haben noch am selben Tag alles Notwendige erledigt.

So war unser Ablauf am 21. Oktober

• ca. 10:00 Uhr – Die Lücke wird öffentlich gemeldet. Wir prüfen umgehend unsere komplette Flotte.
• ab ca. 14:30 Uhr – Erste Angriffsmuster gegen unsere Systeme werden in den Monitoring-Daten erfasst – ohne Erfolg.
• ab ca. 16:00 Uhr – Die ersten Patches sind verfügbar, das Ausrollen beginnt.
• bis 17:30 Uhr – Alle patchbaren Systeme sind gepatcht und verifiziert.

Im Einzelnen: Alle von uns betriebenen Server wurden gescannt und jede PHP-Installation auf Betroffenheit geprüft. Sämtliche patchbaren Systeme wurden noch am selben Tag auf die Fix-Versionen aktualisiert und auf dem Host verifiziert. Nicht patchbare Systeme (zu altes Betriebssystem) wurden in Abstimmung mit dem jeweiligen Kunden auf Webserver-Ebene abgesichert: Die Angriffsmuster werden dort blockiert, die Systeme laufen unter erweitertem Monitoring auf Kompromittierungs-Indikatoren.

Ergebnis: Alle von uns betriebenen Systeme sind entweder gepatcht oder durch Gegenmaßnahmen abgesichert. Es gibt keine Hinweise darauf, dass die Schwachstelle in unserer Flotte erfolgreich ausgenutzt wurde.

Die Situation beobachten wir weiterhin rund um die Uhr. Wenn Sie Fragen zu Ihrem Projekt haben, melden Sie sich einfach bei uns.