PHP2Shell: Behörden nehmen ihre Websites vom Netz. Was an der PHP-Lücke stimmt und was Sie jetzt prüfen.
Am 21. Oktober 2026 gingen in Deutschland Websites vom Netz, die sonst immer erreichbar sind: Charité, BKA, Berliner Feuerwehr, Klinikum Nürnberg, die Landesregierungen in Hessen und Bayern, die Städte München, Dresden und Mainz, die Universität Potsdam. Auslöser waren zwei Lücken im Kern von PHP, der Sprache, auf der WordPress, Shopware, Joomla und ein großer Teil aller übrigen Websites laufen. Gefunden wurden sie mit KI-Modellen. In sozialen Netzwerken hieß die Woche schnell „Schwarzer Oktober“. Wir haben die Meldungen von PHP-Projekt, BSI, Entdeckern und Hostern gelesen und sortiert. Ergebnis: Die Lücken sind ernst, die Abschaltungen waren Vorsicht, bestätigte Einbrüche in Bundesverwaltung oder regulierter Wirtschaft gibt es laut BSI bisher keine. Und ein WordPress-Update reicht nicht. Was zählt, ist die PHP-Version auf dem Server.
Was passiert ist
Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619, die Sicherheitsfirma Wiz nennt sie zusammen „PHP2Shell“. Sie liegen nicht in einer Erweiterung oder einem Fremdsystem, sondern im Kern von PHP: in der Speicherverwaltung, der Fehlerbehandlung und dem Aufräumen nach einer Anfrage. Im schlimmsten Fall führt ein Angreifer ohne Passwort eigenen Code auf dem Server aus. Betroffen sind alle Betriebsarten, die Webanfragen verarbeiten, also PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am gefährlichsten ist mod_php: Dort genügt laut den Entdeckern eine einzige Anfrage ohne Anmeldung, bei Standardeinstellungen, noch bevor die eigentliche Anwendung startet. Bei PHP-FPM hängt es davon ab, was die Anwendung tut, etwa Sitzungen, Datei-Uploads mit Fortschrittsanzeige oder das Entpacken gespeicherter Objekte.
Gefunden hat die Lücken Ryan Austin von der Sicherheitsfirma Calif, mit dem OpenAI-Modell GPT-5.6 Sol im OpenAI-Programm „Patch the Planet“. Calif meldete am 11. August an das PHP-Projekt. Unabhängig davon stieß Wiz mit Gemini 4 Argon, GPT-5.6 Sol und einem eigenen Werkzeug auf dieselben Schwachstellen und meldete am 24. August. Bemerkenswert ist das Alter: Der Fehler steckt seit PHP 5.4 aus dem Jahr 2012 im Code. Bei einer externen Prüfung 2024, finanziert von der Sovereign Tech Agency, fand ein Kernentwickler bereits erste Anzeichen, aber keinen konkreten Angriffsweg. Den lieferten erst die Prüfungen mit KI-Unterstützung.
Am 21. Oktober veröffentlichte das PHP-Projekt die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 gibt es nur Korrekturen im Quellcode, keine offiziellen Pakete. Zwei Tage später kam ein Nachtrag: Eine weitere Lücke (CVE-2026-115560) über die Upload-Fortschrittsanzeige von Sitzungen schließen die Patches vom 21. Oktober nicht. Bis zur nächsten Version empfiehlt das PHP-Projekt, diese Funktion abzuschalten. Wie das geht, steht unten in Schritt 4.
Abgeschaltet heißt nicht gehackt
Kaum eine Sicherheitswoche hat so viele zugespitzte Sätze erzeugt. Sieben davon, nebeneinander mit dem, was sich belegen lässt:
| Was kursiert | Was belegt ist |
|---|---|
| „70 Prozent des Internets wurden gehackt“ | W3Techs zählt PHP bei 69,2 Prozent aller Websites, deren Serversprache sich überhaupt erkennen lässt. Das ist ein Marktanteil, keine Zahl erfolgreicher Angriffe. |
| „Charité, BKA und Ministerien wurden lahmgelegt“ | Sie haben ihre Seiten am 21. Oktober selbst und vorsorglich abgeschaltet, bis der Patch eingespielt war. Das BSI meldet am 22. Oktober keine bestätigten Fälle kompromittierter Systeme aus Bundesverwaltung oder regulierter Wirtschaft, schließt erfolgreiche Angriffe aber nicht aus. |
| „Die Lücke wird schon massenhaft ausgenutzt“ | Angriffsversuche sind belegt: Amazon sah einen ersten am 17. Oktober in einer Falle für Angreifer, Cloudflare-Chef Matthew Prince berichtet von Tausenden Versuchen schon vor der Bekanntgabe und Millionen danach. Erfolgreiche Einbrüche sind öffentlich nicht bestätigt; die US-Behörde CISA führt die Lücken nicht in ihrem Katalog ausgenutzter Schwachstellen (Stand 23. Oktober). |
| „Die Niederlande haben DigiD abgeschaltet“ | Die Websites von DigiD, MijnOverheid und Overheid.nl gingen am 21. Oktober vorsorglich vom Netz. Die Anmeldung per DigiD bei anderen Stellen lief laut Betreiber Logius weiter. Nach dem Patch kamen die Seiten zurück. |
| „Wer WordPress aktualisiert hat, ist sicher“ | Nein. Das BSI stellt ausdrücklich klar: Ein Update von WordPress oder anderen Anwendungen reicht nicht, die PHP-Laufzeit selbst muss aktualisiert werden. |
| „Der Patch lässt sich umgehen“ | Diese Berichte hat das BSI widerlegt. Es gibt aber die eigenständige Nachtragslücke vom 23. Oktober, gegen die eine Einstellung nötig ist. |
| „Im Zweifel die Website vom Netz nehmen“ | Richtig, aber nur für Systeme, die sich nicht sofort patchen lassen. So raten es NSA und FBI und sinngemäß auch das BSI. Bei einem Hoster, der gepatcht hat, ist eine Abschaltung nicht nötig. |
Auch im Ausland war Vorsicht der Hauptgrund für Ausfälle: In Großbritannien waren nach Angaben von Tech-Ministerin Liz Lloyd 32 Regierungsdienste nicht erreichbar, nach ihren Worten überwiegend aus Vorsicht und nicht wegen eines Einbruchs. EU-Kommission, ENISA, CERT-EU und Europol gaben am 21. Oktober eine gemeinsame Erklärung heraus.
Dieselbe Woche: echte Einbrüche
Die PHP-Lücke wurde gefunden und geschlossen, bevor ein erfolgreicher Angriff nachgewiesen war. Andere Vorfälle derselben Tage waren echte Einbrüche, und mehrere davon treffen Werkzeuge, die auch kleine Betriebe und Agenturen nutzen:
| Betroffen | Was passiert ist | Was Sie tun, wenn Sie es nutzen |
|---|---|---|
| Node.js | Am 21. Oktober zehn Lücken geschlossen, darunter „Node2Shell“ (CVE-2026-111497) im Brotli-Entpacker, gefunden mit OpenAI Codex Security. Codeausführung unter Umständen möglich. | Auf 22.23.4, 24.22.1 oder 26.12.1 aktualisieren. |
| GitLab | CVE-2026-110264, Schwere 10 von 10: Codeausführung ohne Anmeldung, betroffen alle Versionen seit 7.0 aus 2014. Gemeldet von einem Forscher über HackerOne, nicht von einer KI. | Selbst betriebene Instanzen auf 19.5.1 oder den Patchstand der eigenen Versionsreihe bringen. |
| ConnectWise | Laut Microsoft übernahm die Gruppe Storm-0940 Identitäten von ConnectWise-Cloud-Apps und meldete sich damit ohne Passwort und ohne zweiten Faktor bei Kunden an. Versuche bei über 2.250 Microsoft-365-Mandanten, über 300 erfolgreiche Anmeldungen laut Huntress. Eingesetzt wurde ARTEX, ein offenes Werkzeug mit mehreren zusammenarbeitenden KI-Agenten. | Anmeldeprotokolle in Entra ID auf Anmeldungen von App-Identitäten prüfen, Rechte von Drittanbieter-Apps durchgehen. |
| LiteLLM | In Version 1.107.0 steckte am 21. Oktober für einige Stunden Schadcode, der Zugangsdaten stiehlt und weiteren Code nachlädt. Die Angreifer hatten Zugangsschlüssel von drei Entwicklern. | System als kompromittiert behandeln, neu aufbauen, auf 1.106.2 festschreiben, alle erreichbaren Schlüssel austauschen. |
| Railway | Unbekannte griffen auf verschlüsselte Umgebungsvariablen eines Teils der Kunden zu und entschlüsselten einen Teil davon. Darin stehen oft API-Schlüssel und Datenbankzugänge. | Alle Variablen austauschen, Datenbank-Passwörter eingeschlossen. |
| OpenCode | Ein Altsystem der gehosteten Oberfläche wurde geknackt. Bei 1,4 Prozent der Nutzer flossen hinterlegte API-Schlüssel für OpenAI, Anthropic und Google ab, teils mit Fremdabbuchungen bis 1.700 Dollar. | Schlüssel bei den KI-Anbietern erneuern, Ausgabenlimits setzen. |
| Zeabur | Die Cloud-Plattform aus Taiwan stellt nach dem zweiten Einbruch innerhalb von zwei Monaten den Betrieb zum 31. Dezember 2026 ein. | Umzug planen, Zugangsdaten austauschen. |
Dazu kommt ein Bericht von Reuters über einen einzelnen, chinesischsprachigen Angreifer, der mit dem offenen Agenten-Werkzeug Cairn die Websites von über 100 Firmen knackte, darunter Deere und Cummins, bei über 1.200 Versuchen. Ein Sicherheitsforscher schätzt die Kosten auf rund 5.000 Dollar, also etwa 50 Dollar je Einbruch.
Warum das kein Ausreißer bleibt
Im April 2026 stellte Anthropic das Modell Claude Mythos Preview vor, das laut Hersteller Tausende schwere, bis dahin unbekannte Lücken in Betriebssystemen und Browsern fand und nur ausgewählten Partnern zur Verfügung steht. Im Oktober kamen die Funde mit OpenAI-Werkzeugen. Die Richtung ist dieselbe: Lücken zu finden wird günstig und schnell, für Verteidiger wie für Angreifer. OpenAI-Chef Sam Altman sagte vor Studierenden in Stanford sinngemäß, er glaube nicht mehr, dass sich einfach alle Fehler schließen lassen; die Verteidigung müsse grundsätzlich umgestellt werden. Anthropics stellvertretender Sicherheitschef Jason Clinton rechnet damit, dass es schlimmer wird, bevor es besser wird, und spricht von etwa 18 Monaten.
Für einen Betrieb mit Website, Shop oder Kundenportal heißt das nicht Panik, sondern Tempo. Wer Updates einmal im Quartal einspielt, ist zu langsam, wenn zwischen Veröffentlichung und ersten Angriffswellen Stunden liegen. Und eine Website, die seit 2024 niemand angefasst hat, ist kein ruhender Altbestand, sondern eine offene Tür.
Die US-Regierung war laut Weißem Haus ab dem 16. Oktober informiert, fünf Tage vor der Veröffentlichung. Die erste Warnung des BSI stützte sich auf eine Meldung von CERT-EU. Ob europäische Stellen ebenso früh Bescheid wussten, ist öffentlich nicht belegt; OpenAI spricht von nicht genannten internationalen Partnern. Für Ihren Betrieb heißt das: Verlassen Sie sich nicht darauf, rechtzeitig gewarnt zu werden. Verlassen Sie sich darauf, schnell patchen zu können.
Was Sie jetzt tun: sieben Schritte
- PHP-Version prüfen
Bei Webhosting steht die Version in der Verwaltungsoberfläche des Hosters, bei All-Inkl im KAS. Achtung: Eine Versionsangabe in der
.htaccessüberschreibt die Einstellung dort. Mit SSH-Zugang zeigen diese beiden Befehle Version und die Einstellung aus Schritt 4. Sie gelten für die Kommandozeile; die Website kann mit einer anderen Version laufen.php -v php -i | grep upload_progress.enabledSicher sind die offiziellen Versionen 8.2.35, 8.3.36, 8.4.27, 8.5.12 und neuer. Hoster und Linux-Distributionen spielen Korrekturen aber auch in ältere Versionsnummern ein, Ubuntu 24.04 etwa mit 8.3.6-0ubuntu0.24.04.13. Eine niedrige Nummer heißt also nicht automatisch ungeschützt. Im Zweifel fragen Sie den Hoster schriftlich.
- Stand des Hosters nachlesen
All-Inkl meldet, alle angebotenen PHP-Versionen gepatcht zu haben, auch ältere ohne offiziellen Support. Hetzner hat Webhosting und Managed Server am 21. und 22. Oktober aktualisiert; Cloud- und dedizierte Server müssen Kunden selbst patchen. Von IONOS und Strato haben wir keine offizielle Mitteilung gefunden, nur Berichte Dritter.
- Eigene Server selbst patchen
Wer einen eigenen Server oder eine Cloud-Instanz betreibt, spielt die Pakete der Distribution ein (Debian: DSA-6574-1 und DLA-4848-1, Ubuntu: USN-8948-1) und startet danach PHP-FPM beziehungsweise Apache neu. Ohne Neustart läuft der alte Code weiter.
- Upload-Fortschritt abschalten
Gegen die Nachtragslücke vom 23. Oktober setzen Sie
session.upload_progress.enabled = 0in derphp.inioder im FPM-Pool, nicht perini_set()im Code, und starten die PHP-Prozesse neu. Prüfen Sie vorher, ob eine Upload-Anzeige Ihrer Anwendung darauf angewiesen ist. - Alte PHP-Versionen ablösen
7.4, 8.0 und 8.1 bekommen keine offiziellen Pakete mehr, 8.2 nur noch bis 31. Dezember 2026. Wer darauf festhängt, plant jetzt den Umstieg auf 8.4 oder 8.5. Häufig bremst nur eine alte Erweiterung oder ein altes Theme, nicht die ganze Seite.
- Auf Spuren prüfen
Nach dem Patch: neue oder geänderte PHP-Dateien seit dem 17. Oktober, vor allem in Upload-Ordnern, unbekannte Administrator-Konten, neue Cronjobs, auffällige Einträge im Zugriffsprotokoll. Dieser Befehl listet PHP-Dateien, die seit dem 17. Oktober geändert wurden:
find /pfad/zur/website -name "*.php" -newermt 2026-10-17Nach eigenen Updates erscheinen dort auch harmlose Dateien. Verdächtig sind vor allem Dateien in Ordnern für Bilder und Uploads und Dateien mit kryptischen Namen.
- Zugangsdaten erneuern, wo nötig
Finden Sie Spuren oder nutzen Sie LiteLLM, Railway oder OpenCode: Datenbank-Passwort, SSH- und FTP-Zugänge sowie API-Schlüssel in
.env- und Konfigurationsdateien austauschen. Bei WordPress zusätzlich die Sicherheitsschlüssel in derwp-config.phperneuern.
Was wir gemacht haben und für Sie machen
Unsere eigene Website läuft bei All-Inkl auf einer am 21. Oktober gebauten, korrigierten PHP-Version. Für Kundenseiten prüfen wir dasselbe wie oben beschrieben: Version und Patchstand, eigene Server, die Einstellung gegen die Nachtragslücke, Spuren seit dem 17. Oktober und Zugangsdaten. Remote, ganz ohne Zugriff auf Ihren Rechner, nur auf Hosting und Server, für die Sie uns einen Zugang geben.
Wir prüfen PHP-Version, Hoster-Stand und Einstellungen, spielen Updates auf eigenen Servern ein und halten die Seite danach aktuell. Mehr unter Website-Wartung.
Geänderte Dateien, fremde Konten, Hintertüren: Wir suchen, entfernen und erneuern die Zugänge. Mehr unter Website gehackt: was tun?
Mit Ihrer schriftlichen Freigabe testen wir Website und Server so, wie es ein Angreifer mit KI-Agenten täte, und liefern einen schriftlichen Befund nach Schwere sortiert. Mehr unter Sicherheits-Audit und Pentest.
Der Sicherheits-Scan prüft in 20 Sekunden unter anderem, ob Ihre Website Versionsangaben nach außen verrät und Dateien offen liegen. Den Patchstand von PHP ersetzt er nicht.
Weiterlesen: Website prüfen: die zwölf Befunde, die am meisten kosten, WordPress down? Erste Hilfe, Das Ende der WordPress-Ära und, wie KI-Agenten Software von außen untersuchen, REA: Wenn der KI-Agent jede Software auseinandernimmt. Für WordPress-Probleme jeder Art gibt es die WordPress-Hilfe.
Quellen
- PHP-Projekt: Sicherheitsversionen vom 21. Oktober 2026: CVE-Nummern, korrigierte Versionen, Quellcode-Korrekturen für 7.4 bis 8.1, Nachtrag CVE-2026-115560 und Notlösungen
- PHP Foundation, 21. Oktober 2026: Schwerewert 9,2, Audit 2024, Einordnung des kursierenden Werts 10,0
- Calif: PHP2Shell: technische Beschreibung, betroffene Betriebsarten, Risiko bei mod_php, Meldung am 11. August
- BSI: PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit: Hinweis Version 1.2 vom 22. Oktober 2026, Kritikalität 3, Grundlage CERT-EU, keine bestätigten Kompromittierungen
- Tagesspiegel/dpa, 21. Oktober 2026 und hessenschau: abgeschaltete Websites in Deutschland
- heise: PHP2Shell: Angriffsversuche, keine Meldungen über erfolgreiche Angriffe
- CISA: Known Exploited Vulnerabilities Catalog: beide CVEs nicht enthalten, Katalogstand 23. Oktober 2026
- W3Techs: Usage statistics of PHP: 69,2 Prozent der Websites mit bekannter Serversprache
- Decrypt, 21. Oktober 2026: Entdeckung mit GPT-5.6 Sol, Alter des Fehlers
- Cybersecurity Dive, 21. Oktober 2026: Abstimmung von OpenAI mit CISA und dem Office of the National Cyber Director
- ENISA: gemeinsame Erklärung mit EU-Kommission, CERT-EU und Europol, 21. Oktober 2026
- All-Inkl: Hinweis auf der Startseite und Hetzner: Statusmeldung: Patchstand bei den Hostern
- 32 britische Regierungsdienste nicht erreichbar, Parkstad Actueel zu DigiD und MijnOverheid, Rat von FBI und NSA
- Node.js: October 2026 Security Releases, GitLab Critical Patch Release 19.5.1
- Microsoft Security Blog: Storm-0940 und ARTEX, 21. Oktober 2026
- LiteLLM: Security Incident 21. Oktober 2026, Railway: Security Disclosure, TechCrunch zu OpenCode, BleepingComputer zu Zeabur
- Reuters: How one hacker used AI agents to break into over 100 company websites, 19. Oktober 2026
- Gizmodo zu Sam Altman, OfficeChai zu Jason Clinton, The Hacker News zu Claude Mythos Preview
Stand der Angaben: 25. Oktober 2026. Die Lage ändert sich täglich; maßgeblich sind die Meldungen des PHP-Projekts, des BSI und Ihres Hosters. Zahlen zu Angriffsversuchen stammen von den genannten Unternehmen und sind nicht unabhängig geprüft.