Kurz gesagt: Die PHP-Sicherheitslücke PHP2Shell besteht aus zwei kritischen Fehlern in PHP, der Grundlage der meisten Websites und Onlineshops. Angreifer können darüber ohne Passwort Schadcode auf Webservern ausführen. Das BSI warnt mit Stufe Orange und rät: sofort aktualisieren, sonst betroffene Server vorübergehend vom Netz nehmen. Für die Geschäftsführung heißt das heute: Zuständigkeit klären, Update und Nachweis einfordern, über eine Abschaltung entscheiden und alles dokumentieren.
Die Lage in drei Sätzen
Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Sicherheitslücken veröffentlicht, bekannt unter dem Namen PHP2Shell. Betroffen ist PHP selbst, nicht ein bestimmtes Produkt, also potenziell jede Website, jeder Shop und jedes Portal, das mit PHP läuft. Das BSI hat Warnstufe 3 / Orange ausgerufen, Sicherheitsfirmen berichten von Angriffsversuchen, bestätigte erfolgreiche Angriffe in der Breite waren laut BSI zunächst nicht bekannt.
Behörden wie das BKA und mehrere Städte haben ihre Websites laut Medienberichten vorsorglich abgeschaltet. Das war Vorsicht, kein Zeichen eines Angriffs.
Was die PHP-Sicherheitslücke für Geschäftsführung und Unternehmen bedeutet
Die Frage ist nicht, ob Sie PHP nutzen. Fast jedes Unternehmen tut das irgendwo: Website, Shop, Bewerberportal, Kundenbereich, Intranet, Ticketsystem, Agentur-Microsite. Die Frage ist, ob diese Systeme aktuell sind und wer dafür verantwortlich ist.
Gelingt ein Angriff, kann der Angreifer im schlimmsten Fall den Server übernehmen. Mögliche Folgen sind Datenabfluss, manipulierte Inhalte, Weiterleitungen zu Betrugsseiten, Ausfall des Shops oder der Missbrauch des Servers für weitere Angriffe. Wenn personenbezogene Daten betroffen sein können, kommen Meldepflichten hinzu; die Frist nach Art. 33 DSGVO beträgt in der Regel 72 Stunden. Einzelheiten dazu stehen unter DSGVO-Meldepflicht. Dies ist keine Rechtsberatung.
Welche Kosten im Ernstfall typischerweise entstehen, ordnet der Beitrag Kostenposten eines Hacks ein.
Wo PHP in Unternehmen oft übersehen wird
Die Hauptwebsite haben die meisten im Blick. Übersehen werden eher Systeme am Rand: das Bewerberportal eines externen Anbieters, die Landingpage einer früheren Kampagne, ein Partnerbereich für Händler, das Ticketsystem des Supports, eine Datei-Cloud auf eigenem Server oder die Weboberfläche eines Netzwerkspeichers. Auch Testsysteme von Agenturen sind häufig öffentlich erreichbar und laufen auf demselben Server wie die echte Website.
Für die Geschäftsführung ist die Lehre einfach: Die Frage an die IT lautet nicht „Ist unsere Website gepatcht?“, sondern „Sind alle unsere Systeme mit PHP gepatcht, auch die von Dienstleistern?“. Der Unterschied zwischen beiden Fragen ist oft genau die Stelle, an der ein Angriff Erfolg hat.
Was die Lage nicht ist
Ebenso wichtig ist die Einordnung nach unten. PHP2Shell ist kein Grund für Aktionismus, der den Betrieb mehr stört als nötig. Wer belegt gepatcht hat, alle PHP-Prozesse neu gestartet hat und bei der Prüfung keine Auffälligkeiten findet, kann zum Regelbetrieb zurückkehren. Eine vorübergehende Abschaltung ist eine Option für ungeklärte Fälle, keine Pflicht für alle.
Fünf Fragen an Ihre IT oder Ihren Dienstleister
Diese Fragen können Sie heute stellen. Die Antworten sollten schriftlich kommen.
- Welche unserer Systeme laufen mit PHP? Eine Liste mit Adresse, Zweck und Betreiber.
- Ist jedes System gepatcht? Behobene Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder ein vom Anbieter bestätigter Backport.
- Wurden alle PHP-Prozesse neu gestartet? Ohne Neustart wirkt das Update nicht.
- Was ist mit Systemen auf PHP 8.1 oder älter? Dafür gibt es keine offiziellen Updates. Wie lautet der Plan?
- Wurde geprüft, ob vor dem Update etwas passiert ist? Logs ab dem 20. Oktober gesichert, Spuren gesucht?
Liegt Ihre Website beim Hoster, hilft eine formale Anfrage. Eine Vorlage bietet der Ratgeber Hoster-PHP-Update-Bestätigung anfordern.
Die Entscheidungen, die heute fallen sollten
| Entscheidung | Optionen | Grundlage |
|---|---|---|
| Wer führt? | eine verantwortliche Person intern, ein externer Partner | Zuständigkeit muss eindeutig sein |
| Nicht gepatchte Systeme | sofort patchen, Übergangsmaßnahmen, vorübergehend abschalten | BSI-Empfehlung, Datenlage, Umsatzrelevanz |
| Prüfung auf Spuren | intern, extern, nur bei Auffälligkeiten | Schutzbedarf der Daten auf dem Server |
| Kommunikation | intern informieren, Kunden vorbereiten, abwarten | Lage nach der Prüfung |
| Altsysteme | Migration planen, isolieren, abschalten | PHP 8.1 und älter ohne offizielle Updates |
Halten Sie fest, wer wann was entschieden hat und auf welcher Informationsgrundlage. Eine kurze, datierte Notiz genügt. Sie ist im Nachgang gegenüber Versicherern, Kunden oder Aufsichtsstellen oft mehr wert als jede nachträgliche Erklärung.
Warum diese Dokumentation für die Leitung wichtig ist, erläutert die Seite Haftung der Geschäftsführung bei IT-Sicherheitslücken. Dies ist allgemeine Information und keine Rechtsberatung.
Was Sie nicht glauben sollten
Drei Aussagen hören Geschäftsführer derzeit oft, und alle drei sind falsch:
- „Wir haben WordPress aktualisiert, also sind wir sicher.“ Die Lücke steckt in PHP, nicht im CMS. Ein CMS-Update schließt sie nicht.
- „Wir sind zu klein, uns greift keiner an.“ Angriffe laufen automatisiert. Gesucht wird nach verwundbaren Servern, nicht nach bekannten Namen.
- „Das Update ist drauf, damit ist das Thema erledigt.“ Ein Patch entfernt keine Schadsoftware, die vorher eingeschleust wurde, und beweist nicht, dass nichts passiert ist.
Wie hilft PHP SOS konkret?
- Lagebild für die Leitung: Wir erstellen eine kurze Übersicht Ihrer PHP-Systeme mit Status und Empfehlung je System.
- Umsetzung: Wir patchen, starten neu oder setzen Übergangsmaßnahmen, wo ein Update noch nicht möglich ist.
- Prüfung: Wir sichern Logs und prüfen auf Spuren eines Angriffs.
- Nachweis: Sie erhalten eine Dokumentation, die Sie intern und gegenüber Dritten verwenden können.
Den Ablauf beschreibt die PHP2Shell-Soforthilfe.
Fazit
PHP2Shell ist eine technische Lücke mit einer Managementaufgabe. Die Technik erledigen Fachleute. Die Geschäftsführung sorgt dafür, dass jemand zuständig ist, dass die fünf Fragen beantwortet werden und dass Entscheidungen bewusst fallen und dokumentiert sind. Das passt in einen Vormittag, wenn es heute beginnt.
Häufige Fragen
Muss sich die Geschäftsführung selbst um PHP2Shell kümmern?
Die technische Umsetzung nicht, die Steuerung schon. Die Geschäftsführung sollte sicherstellen, dass Zuständigkeiten klar sind, die BSI-Empfehlung umgesetzt wird und Entscheidungen wie eine vorübergehende Abschaltung bewusst getroffen und dokumentiert werden.
Wie erkläre ich die Lücke in einem Satz?
In PHP, der Software, auf der die meisten Websites und Shops laufen, gibt es zwei kritische Fehler, über die Fremde ohne Passwort Programme auf dem Server starten können; ein Update ist verfügbar und muss eingespielt werden.
Was kostet es, nichts zu tun?
Das lässt sich nicht pauschal beziffern. Mögliche Folgen eines erfolgreichen Angriffs sind Ausfallzeiten, Datenabfluss, Meldepflichten, Aufwand für Bereinigung und Forensik sowie Vertrauensverlust bei Kunden. Ein Update mit Prüfung ist in der Regel deutlich weniger aufwendig.
Reicht es, wenn der Hoster sich kümmert?
Beim Shared Hosting spielt in der Regel der Hoster das Update ein. Lassen Sie sich das schriftlich bestätigen, einschließlich Neustart der PHP-Prozesse. Ob vor dem Update etwas passiert ist, beantwortet die Bestätigung nicht; dafür braucht es eine Prüfung der Website.