Überall in den Medien: Die PHP2Shell Sicherheitslücke – doch die Gefahr ist nicht gebannt
Sie haben es bestimmt in den Nachrichten gelesen: Die aktuellen PHP Sicherheitslücken sorgten am 21.10.2026 für grosses Chaos im Internet: Spitäler wie das Inselspital Bern, das Universitätsspital Zürich aber auch Kantonswebsites und ganze Hosting Provider wie Cyon in Basel stellten Dienste sogar teilweise oder ganz ab.
Jetzt zeigt sich am 22.10.2026, dass bereits Systeme ab 17. Oktober 2026 angegriffen wurden, bereits vier Tage vor Veröffentlichung des offiziellen PHP Sicherheitsupates. Am 17. Oktober registrierte Amazon einen Exploit-Versuch auf einem Ihrer Webserver – vier Tage vor der Veröffentlichung der Sicherheitsupdates. Das ist doch sehr beunruhigend.
PHP2Shell wurde offenbar bereits vor der offiziellen Veröffentlichung aktiv angegriffen. Am 21. Oktober kam es schliesslich – wie weltweit erwartet – zu vielen Angriffen auf die Schwachstellen, die systematisch ausgenutzt wurden. Kritische Schwachstellen: CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-Wert von 9.2, wobei 10.0 der höchste Wert ist. Sie sehen also wie hochkritisch die Sicherheitsgefährdung war und möglicherweise immer noch ist.
Wir sollten auch davon ausgehen, dass die Sicherheitslücken bereits ab dem 17. Oktober 2026 zu erfolgreichen Angriffen geführt haben könnten. Dabei ist besonders problematisch, dass erfolgreiche Angriffe nahezu unsichtbar bleiben können. Normale Apache- und PHP-Logs zeigen möglicherweise keine Auffälligkeiten. Millionen von Servern könnten betroffen sein: Besonders problematisch sind ältere PHP-Versionen, die keine regulären Sicherheitsupdates mehr erhalten.
Was ist der Grund für die vielen Angriffe? Warum gerade jetzt?
KI beschleunigt Angriffe: Sicherheitsforscher warnen, dass Angreifer mithilfe von KI aus veröffentlichten Patches innerhalb kürzester Zeit funktionierende Angriffe entwickeln können, die Sicherheitslücken ausnützen (Exploits).
Was bedeutet das für Ihre Server?
Wichtig ist zu verstehen, dass der Angriff möglicherweise bereits erfolgt sein kann auf Ihre Systeme. Deshalb sind nachträgliche Prüfungen und Auswertungen absolut unerlässlich. Folgende Massnahmen sollten im Zentrum stehen:
Auf die gepatchten PHP Versionen wechseln
Es ist zwingend erforderlich, dass auf die neusten PHP Versionen aktualisiert wird. Umgehend und mit höchster Priorität, am besten schon am 21.10.2026 oder schnellstmöglich danach.Ein Risiko eines Angriffs besteht aber auch nach den Updates
Eine Kompromittierung vor dem Update kann nicht ausgeschlossen werden, da bereits am 17. Oktober Angriffe beobachtet wurden.
- Analysieren bereits ob ein Angriff stattfand
Eine Log-Analyse kann dabei helfen – genügt jedoch nicht – um eine Kompromittierung eines Webservers auszuschliessen. Möglicherweise kann nur ein unscheinbarer Memory-Limit-Fehler im Webserver-Error-Log ein eindeutiger Hinweis sein auf einen bereits erfolgten erfolgreichen Angriff. Ein weiteres Indiz sind: ungewöhnliche PHP Prozesse, ausgehende Verbindungen und neu angelegte Dateien.
