Kurz gesagt: Wie viele Server von PHP2Shell betroffen sind, lässt sich nur schätzen. Unit 42 zählte laut TechTarget mehr als 22,6 Millionen exponierte Instanzen, CybelAngel nennt rund 2,24 Millionen PHP-Hosts, BleepingComputer berichtet unter Berufung auf VirusTotal von über 5,1 Millionen. Die Zahlen messen Unterschiedliches und widersprechen sich deshalb nicht. Für Ihr Unternehmen zählt eine andere Zahl: wie viele eigene PHP-Systeme erreichbar und wie viele davon belegt gepatcht sind.
Der Aufhänger: eine Zahl macht Schlagzeilen
„22 Millionen Server in Gefahr“ stand am 21. Oktober 2026 in vielen Überschriften. Die Zahl stammt von Unit 42, der Forschungsabteilung von Palo Alto Networks, und wurde unter anderem von TechTarget berichtet. Kurz darauf kursierten andere Zahlen, teils um den Faktor zehn kleiner.
Für Leser entsteht der Eindruck, niemand wisse Bescheid. Tatsächlich zählen die Anbieter schlicht verschiedene Dinge mit verschiedenen Methoden. Wer das versteht, kann die Zahlen nutzen, statt sich von ihnen verunsichern zu lassen.
Wie viele Server sind von PHP2Shell betroffen? Die Zahlen im Überblick
| Quelle | Zahl | Was gezählt wurde |
|---|---|---|
| Unit 42 (Palo Alto Networks), laut TechTarget | mehr als 22,6 Mio. | exponierte, potenziell verwundbare Instanzen; Methode im Bericht nicht erläutert |
| VirusTotal, laut BleepingComputer | über 5,1 Mio. | aus dem Internet erreichbare PHP-Hosts |
| CybelAngel, auf Basis von Shodan-Daten | rund 2,24 Mio. | Hosts, die PHP in ihren Kennungen ausweisen |
| CybelAngel | 59 % von rund 1,5 Mio. | Anteil der Hosts mit sichtbarer Version auf Zweigen ohne offizielles Update |
| CybelAngel | rund 740.000 | Hosts, die PHP ausweisen, aber ihre Version verbergen |
Alle Zahlen beziehen sich auf die Lage um den 20. und 21. Oktober. Sie sind Momentaufnahmen und ändern sich mit jedem eingespielten Update.
Warum die Zählungen so weit auseinanderliegen
Drei Effekte erklären den größten Teil der Unterschiede.
Instanz, Host, Website. Ein Host ist meist eine IP-Adresse oder ein Server. Eine Instanz kann ein einzelner Dienst oder eine einzelne Website sein. Auf einem Server im Shared Hosting laufen oft Hunderte Websites. CybelAngel weist selbst darauf hin: Gezählt werden Hosts, nicht Organisationen oder Websites, die tatsächliche Zahl erreichbarer Anwendungen dürfte höher liegen.
Versteckte Versionen. Viele Server geben ihre PHP-Version nicht preis, etwa weil expose_php abgeschaltet ist. Sie fehlen in versionsbasierten Statistiken. Warum das Verbergen sinnvoll ist, aber keinen Schutz ersetzt, erklärt der Beitrag zu Versionsangaben und expose_php.
Backports. Distributionen und Hoster spielen Korrekturen teils ein, ohne die Versionsnummer zu ändern. Ein Server, der nach außen eine alte Nummer zeigt, kann also gepatcht sein. Zählungen anhand der angezeigten Version überschätzen deshalb die Zahl ungepatchter Systeme. Wie Sie den echten Stand bei sich prüfen, steht unter PHP-Version und Patchstand prüfen.
Wie solche Zählungen entstehen
Die meisten Zahlen beruhen auf Suchdiensten, die das Internet laufend abfragen und speichern, was Server über sich mitteilen. Ein Webserver nennt in seinen Antworten oft Software und Version, etwa in der Kopfzeile X-Powered-By. CybelAngel stützt sich laut eigener Darstellung auf solche Kennungen aus Shodan-Daten. Angegriffen wird dabei nichts, es wird nur gelesen, was ohnehin öffentlich sichtbar ist.
Daraus folgt eine einfache Leseregel für jede neue Zahl in den Medien. Fragen Sie: Was wurde gezählt, Hosts, Instanzen oder Websites? Wann wurde gemessen, vor oder nach dem 21. Oktober? Und wie wurde die Version bestimmt, über die angezeigte Nummer oder über einen echten Test? Wer diese drei Fragen nicht beantworten kann, sollte die Zahl als grobe Größenordnung behandeln, nicht als Messwert.
„Exponiert“ heißt erreichbar und nach äußeren Merkmalen möglicherweise verwundbar. Es heißt nicht angegriffen und nicht kompromittiert. Das BSI kannte zunächst keine bestätigten erfolgreichen Angriffe in der Breite.
Was die Zahlen trotzdem verlässlich zeigen
Auch wenn die Höhe schwankt, tragen die Zählungen drei belastbare Aussagen:
- Die Angriffsfläche ist riesig. Selbst die kleinste Zahl bedeutet Millionen erreichbare Ziele. Angreifer müssen nicht suchen, sie können automatisiert prüfen.
- Alte Versionen sind verbreitet. Laut CybelAngel liefen 59 Prozent der Hosts mit sichtbarer Version auf Zweigen, für die das PHP-Projekt kein offizielles Update veröffentlicht. Für diese Systeme hilft kein schneller Patch, sondern nur ein Backport, ein Drittanbieter oder eine Migration. Die Risiken beschreibt der Ratgeber PHP End of Life.
- Das Problem bleibt länger. Ein großer Teil der erreichbaren Systeme wird nicht in Tagen aktualisiert. Scans und Angriffsversuche werden deshalb voraussichtlich noch lange laufen.
Ihre eigene Zahl ermitteln
Die weltweite Zahl ist eine Schlagzeile. Ihre eigene ist eine Aufgabe. So kommen Sie zu ihr:
- Domains und Subdomains sammeln: aus DNS-Zonen, Zertifikaten, Verträgen mit Agenturen und Hostern.
- Erreichbare Dienste zuordnen: Welcher Server steht hinter welcher Adresse, wer betreibt ihn?
- PHP-Stand je System erheben: Version, Betriebsart, Paketquelle, Backport-Bestätigung.
- Ergebnis bewerten: gepatcht und belegt, gepatcht ohne Beleg, ungepatcht, unbekannt.
- Lücken schließen: Unbekanntes zuerst klären, Ungepatchtes zuerst handeln.
Am Ende steht eine kurze Liste statt einer großen Zahl. Wie Sie das Inventar dauerhaft pflegen, beschreibt der Beitrag Inventar aller Websites und Server.
Wie hilft PHP SOS konkret?
- Außensicht: Wir ermitteln, welche Ihrer Systeme aus dem Internet erreichbar sind und welche davon PHP nutzen.
- Innensicht: Wir prüfen Patchstand und Neustart auf den Servern, nicht nur die angezeigte Version.
- Bewertung: Sie erhalten eine Liste mit Status je System und klarer Reihenfolge.
- Überprüfung: Auf Wunsch testen wir nach dem Patch von außen, ob die Lage sich wie erwartet verbessert hat.
Wie eine solche Prüfung abläuft, beschreibt Sicherheitsaudit und Penetrationstest.
Fazit
22,6 Millionen, 5,1 Millionen, 2,24 Millionen: Die Zahlen wirken widersprüchlich, messen aber nur Verschiedenes. Sie zeigen gemeinsam, dass PHP2Shell eine sehr große Angriffsfläche betrifft und viele alte Versionen im Netz stehen. Die Zahl, die über Ihr Risiko entscheidet, liefert keine Studie. Sie entsteht nur durch den Blick auf die eigenen Systeme.
Häufige Fragen
Wie viele Server sind von PHP2Shell betroffen?
Das weiß niemand genau. Unit 42 von Palo Alto Networks zählte laut TechTarget mehr als 22,6 Millionen exponierte, potenziell verwundbare Instanzen. CybelAngel nennt rund 2,24 Millionen aus dem Internet erreichbare Hosts, die PHP ausweisen. Die Zahlen messen Unterschiedliches und sind nicht direkt vergleichbar.
Warum weichen die Zahlen so stark voneinander ab?
Weil unterschiedliche Dinge gezählt werden: Instanzen, Hosts, IP-Adressen oder Dienste. Auf einem Host mit Shared Hosting können Hunderte Websites liegen. Außerdem zeigen viele Server ihre PHP-Version nicht an, andere zeigen eine alte Nummer, obwohl ein Backport eingespielt ist.
Heißt exponiert, dass ein Server angegriffen wurde?
Nein. Exponiert bedeutet nur, dass ein PHP-Dienst aus dem Internet erreichbar ist und nach äußeren Merkmalen verwundbar sein könnte. Über tatsächliche Angriffe sagen diese Zählungen nichts aus.
Welche Zahl ist für mein Unternehmen wichtig?
Die Zahl Ihrer eigenen öffentlich erreichbaren PHP-Systeme und wie viele davon nachweislich gepatcht sind. Die weltweiten Zahlen zeigen das Ausmaß, ersetzen aber nicht das eigene Inventar.