Posted by Computerservice.arminfischer.com – Computerservice.arminfischer.com/news/ – Chatus
linktr.ee/Computerservicearminfischercom
PHP-Sicherheitslücke: Warum Webseiten und Dienste im Internet gerade nicht wie gewohnt laufen und was Webmaster und Hoster tun müssen . Computerservicearminfischercom .
Für alle, die mit PHP, Webhosting oder Webdesign zu tun haben, herrscht seit dem 21. Oktober 2026 höchste Alarmstufe. Doch die Auswirkungen der kritischen Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619 – bekannt als „PHP2Shell“) gehen weit über die Entwickler-Community hinaus. Weil Behörden, Institutionen und Onlinedienste weltweit vorsorglich Wartungsfenster öffnen oder Systeme isolieren, läuft das Netz für viele Nutzer aktuell nicht im Normalbetrieb.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle BSI Cybersicherheitswarnung herausgegeben und das Risiko mit der Warnstufe “Orange” als außerordentlich hoch eingestuft [BSI]. Die Lücken wurden mit einem CVSS-Score von bis zu 9.8 (kritisch) bewertet. Kriminelle nutzen die Schwachstellen laut IT-Sicherheitsberichten bereits aktiv aus.
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.html
🚨 Wartungsmodus statt Alltagsbetrieb: Wo Nutzer mit Einschränkungen rechnen müssen
Wer heute digitale Behördengänge erledigen, Anträge einreichen oder bestimmte Onlinedienste aufrufen wollte, stieß vielerorts auf Wartungsmeldungen oder temporäre Abschaltungen. Da sich automatisierte Angriffe im Sekundentakt verbreiten, lautet die Devise der Sicherheitsstäbe: Lieber kurzzeitig offline gehen, um die Server abzusichern, als ein Sicherheitsrisiko einzugehen.
Für normale Bürger und Internetnutzer bedeutet das Einschränkungen im gewohnten Ablauf:
- Behörden & Kommunen im Wartungsmodus: Wie der Bayerische Rundfunk (BR) berichtet, haben zahlreiche bayerische Behörden ihre Webangebote vorsorglich vorübergehend vom Netz genommen [BR]. Die Vogelsberger Zeitung meldet umfassende Sicherheitsabschaltungen in Hessen. Die Stadt Mainz hat laut Ad-hoc-News ihre Hauptseite mainz.de sowie angeschlossene Online-Services deaktiviert, bis die Updates eingespielt sind.
- Internationale Sicherheitsmaßnahmen: Der Wirtschaftssender CNBC und die Nachrichtenagentur Reuters berichten übereinstimmend, dass staatliche Webseiten unter anderem in den Niederlanden und Finnland für Wartungsarbeiten vorübergehend offline gingen [CNBC, Reuters]. In Kanada wurden laut CBC Portale präventiv heruntergefahren. Auch der Stadtrat von Edinburgh sowie die BBC haben laut der BBC betroffene Serverbereiche isoliert [BBC].
- Wissensplattformen schützen sich: Um die Datenintegrität zu wahren, haben auch große Plattformen wie Wikipedia und das Internet Archive zeitweise Infrastruktur-Komponenten für administrative Updates vom Netz getrennt.
🛒 Entwarnung für den Supermarkt – aber Vorsicht bei Online-Bestellungen
Wer beim Einkaufen an den stationären Handel denkt (wie z. B. große Lebensmittelketten à la REWE), kann aufatmen: Die kritischen Kernsysteme des Handels sind von der Lücke in der Regel nicht betroffen.
- Kassen und Warenwirtschaft sind sicher: Die Scannerkassen in den Filialen, die Logistik und die automatischen Bestellsysteme im Hintergrund laufen auf Großkonzern-Architekturen (wie Java, C++ oder SAP). PHP kommt hier nicht zum Einsatz. Zudem sind diese Systeme in strikt isolierten, firmeninternen Netzwerken (Intranets) untergebracht und über das öffentliche Internet gar nicht erreichbar.
- Mögliche Hänger bei Online-Bestellungen: Anders sieht es aus, wenn du Apps oder Webseiten für den Lieferservice oder das Online-Shopping nutzt. Da die Web-Frontends großer Ketten oft mit PHP-Komponenten verknüpft sind, kann es hier in den kommenden Tagen zu geplanten Wartungsfenstern, verzögerten Ladezeiten oder temporären Abschaltungen der Bestellfunktionen kommen, während die IT-Teams die Patches einspielen. Auch Kunden-Logins oder Bonussysteme (wie Payback-Coupons im Browser) laufen unter Umständen kurzzeitig nicht wie gewohnt.
💻 Was steckt technisch dahinter? (Warum ist es so gefährlich?)
- Die extreme Gefahr (RCE): Es handelt sich um eine sogenannte Remote Code Execution (RCE) Lücke. Angreifer können über das Internet ohne Passwörter Schadcode einschleusen und die komplette Kontrolle über einen Server übernehmen. Zudem kann der PHP-Prozessspeicher ausgelesen werden, wodurch Passwörter, API-Schlüssel und Daten anderer Nutzer abfließen können.
- Wer betroffen ist: Praktisch alle PHP-Versionen der letzten 20 Jahre (ab PHP 5 aufwärts). Da PHP das unsichtbare Rückgrat von über 75 % aller Webseiten ist, betrifft dies fast alle Content-Management-Systeme wie WordPress, TYPO3, Drupal sowie Clouddienste wie NextCloud oder ownCloud.
🔍 So prüfen Webmaster ihre PHP-Version (Code-Beispiele)
Wenn du selbst eine Webseite betreibst, musst du sofort wissen, welche Version bei dir aktiv ist. Hier sind zwei einfache Wege:
Methode 1: Direkt in WordPress (Ohne Code)
- Logge dich in dein WordPress-Dashboard ein.
- Gehe auf Werkzeuge ➡️ Website-Zustand.
- Klicke auf den Reiter Bericht und öffne den Punkt Server.
- Dort siehst du den Eintrag „PHP-Version“.
Methode 2: Über die Kommandozeile (Für Server-Admins)
Wenn du Zugriff auf ein Terminal (SSH) hast, kannst du deine installierte PHP-CLI-Version mit folgendem Befehl abfragen:
bash
php -v
Verwende Code mit Vorsicht.
Möchtest du herausfinden, welche Version speziell für den Webserver (z. B. Apache oder Nginx) läuft, kannst du eine temporäre Datei namens info.php in deinem Web-Verzeichnis erstellen:
php
<?php
phpinfo();
?>
Verwende Code mit Vorsicht.
Wichtig: Lösche diese Datei nach dem Testen sofort wieder, da sie sensible Serverdaten preisgibt!
🛠️ Welche PHP-Versionen sind sicher?
Die PHP-Entwickler haben offizielle Sicherheitsversionen bereitgestellt. Stelle sicher, dass deine Website mindestens auf einer dieser sicheren Unterversionen läuft:
- PHP 8.5 ➡️ sicher ab 8.5.12
- PHP 8.4 ➡️ sicher ab 8.4.27
- PHP 8.3 ➡️ sicher ab 8.3.36
- PHP 8.2 ➡️ sicher ab 8.2.35
Achtung: Wer noch PHP 8.1 oder älter nutzt, erhält vom offiziellen PHP-Projekt keine Patches mehr (End-of-Life). Hier hilft nur der sofortige Wechsel auf eine neuere, unterstützte Version!
🌐 Was unternehmen die großen Webhoster (IONOS, Strato, Hetzner & Co.)?
Je nachdem, welchen Anbieter und welchen Tarif du nutzt, unterscheidet sich dein Handlungsbedarf:
- IONOS: Bei Managed-Hosting-Tarifen (wie Managed WordPress) spielt der Anbieter die Patches in der Regel vollautomatisch ein. Für ältere PHP-Versionen bietet IONOS den “PHP Extended Support” an – hier müssen Admins prüfen, inwieweit der Hoster die Sicherheitsflicken für Altsysteme selbst per Backport bereitstellt.
- STRATO: Strato rollt die PHP-Sicherheitsupdates für seine Shared-Hosting-Tarife schnellstmöglich zentral in seinen deutschen Rechenzentren aus. Wer ein normales Homepage-Paket nutzt, profitiert von den automatischen System-Updates.
- ALL-INKL: Bei den Shared-Hosting-Tarifen stellt das All-Inkl-Team die neuen PHP-Unterversionen meist extrem schnell im KAS (Kundenadministrationssystem) bereit. Admins sollten im KAS kontrollieren, ob die Domain bereits auf die sichere Patch-Version zugreift.
- Alfahosting: Auch Alfahosting aktualisiert die PHP-Zweige auf den Shared-Webspace-Servern schrittweise und automatisch. Im Kundencenter unter den PHP-Einstellungen lässt sich die aktive Sub-Version deiner Seite überprüfen.
- Hetzner:
- Hetzner Webhosting (konsoleH): Bei den klassischen Webspace-Tarifen übernimmt Hetzner das Einspielen der Patches im Hintergrund.
- Hetzner Cloud & Dedicated Server: Achtung, hier herrscht akuter Handlungsbedarf! Wenn du dort einen unmanaged Server oder eine Cloud-Instanz betreibst, greift Hetzner nicht in dein System ein. Du musst dich sofort per SSH einloggen, deine Paketquellen aktualisieren (
apt update && apt upgradebzw.dnf upgrade) und deine PHP-Dienste oder Docker-Container manuell neu starten!
📋 Zusammenfassung: Wer muss was tun?
| Hosting-Typ | Wer spielt das Update ein? | Deine Aufgabe als Admin |
|---|---|---|
| Shared Webhosting (IONOS, Strato, All-Inkl, Alfahosting, Hetzner Webspace) | Der Hoster (automatisch im Hintergrund oder per Klick im Menü) | Version im Kundenmenü kontrollieren; falls noch nicht geschehen, manuell auf die sichere Sub-Version (z.B. PHP 8.3.36) umstellen. |
| Managed Server / Managed WordPress | Der Hoster | Keine direkte Aktion nötig, zur Sicherheit den Support kontaktieren und Bestätigung einholen. |
| Root-Server / VPS / Cloud / Docker (Hetzner Cloud, Strato/IONOS vServer) | DU selbst! | Sofort handeln: Server via Terminal updaten, Docker-Images neu flashen, im Zweifel Ports schließen oder Server vorübergehend offline nehmen. |
📋 Fazit: Keine Panik, aber sofortiges Handeln erforderlich!
Die PHP2Shell-Lücke ist eine der schwersten Bedrohungen für das Web in diesem Jahr. Webseitenbetreiber sollten keine Minute warten und ihre Versionen patchen. Während der stationäre Einkauf im Laden um die Ecke wie gewohnt weiterläuft, müssen Online-Shopper und Nutzer von Webdiensten in den kommenden Tagen mit kurzzeitigen Einschränkungen leben – ein notwendiger Schritt für ein sicheres Netz.
Weiterführende technische Details findest du in den offiziellen GitHub Advisories zu CVE-2026-109618 sowie CVE-2026-109619, im Sicherheitsblog des RUS-CERT der Uni Stuttgart oder in der ausführlichen Analyse von Wiz Research.
Kritische Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619)
https://cert.uni-stuttgart.de/blog/2026-10-21-php
Updates, welche die Schwachstellen schließen, stehen bereit. Release-Ankündigung der PHP-Autoren: https://www.php.net/archive/2026.php#2026-10-21-5
Computerservice.arminfischer.com – Computerservice.arminfischer.com/news/ – Chatus
linktr.ee/Computerservicearminfischercom
Computerservice.arminfischer.com office@arminfischer.com +4917621008967
Memmelsdorf/BA/DE : Hauptstr. 70 DE- 96117 Memmelsdorf . Ust-ID/VAT-ID: DE232723558
SocialMedia
Contact
.