Kurz gesagt: Macht Ihr PHP-Server Probleme und Sie wollen direkt mit einem Experten sprechen, rufen Sie an oder schreiben Sie per WhatsApp. Sind Sie betroffen? Rufen Sie an. Wir helfen. Wir klären remote, ob ein Ausfall, eine Fehlkonfiguration oder ein Angriff dahintersteckt, und übernehmen ab der ersten Nachricht, bis der Vorfall abgeschlossen und dokumentiert ist.
Jetzt nichts löschen und nichts neu aufsetzen. Auch ein Neustart oder ein Rollback kann Spuren verwischen. Schildern Sie uns zuerst, was Sie sehen. Notfall melden, danach legen wir den nächsten Schritt fest.
Sind Sie betroffen? Diese Störungen sind ein Fall für uns
Nicht jede Störung ist ein Angriff, aber in diesen Tagen lohnt es sich, nachzusehen. Melden Sie sich, wenn bei Ihrem PHP-System Folgendes auftritt:
- PHP-Prozesse oder der Webserver brechen ab, starten sich immer wieder neu oder werden vom System beendet (Exit-Status 137).
- Die Last steigt ohne erkennbaren Grund oder Speicher läuft voll.
- Seiten liefern leere Antworten, 500er-Fehler oder Fehlermeldungen, die es vorher nicht gab.
- Unter dem Webserver oder PHP-FPM laufen Prozesse, die eine Shell starten.
- Im Upload- oder Cache-Ordner liegen PHP-Dateien, die Sie nicht kennen.
- Nach einem PHP-Update funktioniert eine Anwendung nicht mehr.
- Ihr Hoster hat den Zugang gesperrt oder die Seite abgeschaltet.
Der Unterschied zwischen Ausfall und Angriff zeigt sich meist erst in den Logs. Erste Hinweise, worauf es ankommt, beschreibt der Beitrag Webserver startet eine Shell.
Was Sie jetzt sofort tun
- Beobachten, bevor Sie eingreifen. Notieren Sie Uhrzeit, Fehlermeldungen und was zuletzt geändert wurde (Update, Plugin, Konfiguration).
- Logs sichern. Kopieren Sie Webserver-, PHP- und Systemprotokolle weg, bevor sie rotieren. Die Fachpresse rät, Logs ab dem 20.10.2026 aufzubewahren.
- Nicht blind neu starten. Ein Neustart behebt manchen Ausfall, zerstört aber flüchtige Spuren. Starten Sie neu, wenn der Betrieb es erfordert, und notieren Sie, was Sie getan haben.
- Erreichbarkeit abwägen. Wenn Sie einen Angriff vermuten, ist das Abschotten oder Abschalten oft richtig. Das BSI rät bei nicht sofort möglichem Update dazu.
- PHP-Version feststellen.
php -vzeigt die Version, aber nicht immer die der Webserver-Laufzeit. - Anrufen oder schreiben. Je genauer Sie die Lage schildern können, desto schneller kommen wir zum Kern.
Wie hilft PHP SOS konkret?
Wir arbeiten remote, ohne Anfahrt, in ganz Deutschland und Europa.
- Lage aufnehmen: Im ersten Gespräch hören wir zu und fragen gezielt nach: Systeme, PHP-Betriebsart, Zeitpunkt, letzte Änderungen. Danach wissen Sie, ob wir einen Ausfall oder einen Verdacht auf Angriff sehen.
- Sichern und schließen: Wir sichern den Zustand, beheben die Ursache und schließen, falls nötig, die Lücke durch Update, Neustart und Übergangsmaßnahmen.
- Prüfen und bereinigen: Zeigt sich ein Einbruch, entfernen wir Schadcode, prüfen Zugänge und Geheimnisse. Sonst dokumentieren wir die Ursache und lassen den Betrieb sauber laufen.
- Härten und berichten: Sie erhalten einen kurzen Bericht und Empfehlungen, damit sich die Störung nicht wiederholt.
Steckt mehr dahinter, gehen wir in die Website-gehackt-Notfallhilfe oder in die strukturierte Incident Response über.
Speicher, Abbrüche und das neue Limit
Seit den Sicherheitsreleases vom 21.10.2026 (8.5.12, 8.4.27, 8.3.36, 8.2.35) gibt es die Direktive memory_hard_limit_percent. Seitdem ist memory_limit eine weiche Grenze. Ohne eigene Einstellung gilt als harte Grenze das Doppelte von memory_limit bis 1G, darüber memory_limit plus 1G. Wird sie überschritten, endet der Prozess sofort mit Exit-Status 137. Ein Betrieb, der vor dem Update knapp am Limit lief, kann dadurch plötzlich Abbrüche zeigen. Das ist kein Angriff, sondern eine Folge der Korrektur, und die Lösung ist, die Anwendung oder das Limit sauber anzupassen, nicht das Update zurückzunehmen.
Umgekehrt gilt: Wer abgestürzte Prozesse sieht und noch nicht gepatcht hat, sollte das nicht als Zufall abtun, denn die Lücke CVE-2026-109618 hängt mit einem Out-of-Memory-Zustand zusammen. Ob das bei Ihnen eine Rolle spielt, zeigen die Logs. Hintergründe zur Speicherverwaltung finden Sie unter Out-of-Memory in PHP, mögliche Einbruchszeichen unter Verdächtige Prozesse unter Linux.
Wenn der Hoster eingreift
Manche Anbieter sperren Konten oder nehmen Seiten vorsorglich offline. Das bedeutet nicht automatisch, dass Sie gehackt wurden, kann aber eine Folge von Auffälligkeiten sein. Fragen Sie nach dem Grund und dem Zeitpunkt, bitten Sie um die Logs und halten Sie fest, was der Anbieter verlangt. Wir stimmen uns mit Ihrem Hoster ab, wenn Sie das wünschen. Sinnvoll ist, vorab zu klären, wer beim Anbieter Entscheidungen treffen darf und ob dort Protokolle des Servers vorliegen, die Sie selbst nicht einsehen können. Solche Daten, etwa Zugriffe auf Netzwerkebene, können später entscheidend sein, wenn es darum geht, den Zeitpunkt eines möglichen Einbruchs einzugrenzen.
Was Sie uns schicken sollten
- kurze Beschreibung: Was ist ausgefallen oder auffällig, seit wann?
- Art des Systems (eigener Server, Hosting-Paket, Container) und Hoster
- Ausgabe von
php -v, Betriebsart und Webserver, soweit bekannt - Fehlermeldungen oder Auszüge aus den Logs
- Zeitpunkt des letzten PHP-Updates und letzter Änderungen
- Ansprechperson mit Entscheidungsbefugnis für Neustarts
Warum PHP SOS
Wir arbeiten Made in Germany und sind seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie sprechen mit einem festen Ansprechpartner statt mit einem Ticketsystem. Wir arbeiten remote, dokumentieren, was wir sehen und tun, und sagen offen, was belegt ist und was nicht. Für akute Fälle rund um die Lücke gibt es zudem die PHP2Shell-Soforthilfe.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Wenn Ihr PHP-Server Probleme macht, warten Sie nicht auf den nächsten Ausfall. Rufen Sie an oder schreiben Sie per WhatsApp. Wir übernehmen ab der ersten Nachricht. Jetzt Notfall melden.
Häufige Fragen
Mein PHP-Server ist plötzlich langsam oder stürzt ab: Ist das ein Angriff?
Nicht zwingend. Ausfälle haben oft banale Ursachen wie zu wenig Speicher, ein fehlerhaftes Update oder eine Überlast. Erst ein Blick in Logs und Prozesse zeigt, ob es ein Angriff ist; Warnzeichen sind etwa Shell-Prozesse unter dem Webserver oder unbekannte neue PHP-Dateien.
Was bedeutet der Exit-Status 137 bei PHP-Prozessen?
Der Status 137 steht für einen sofort beendeten Prozess. Laut PHP-Handbuch endet ein Prozess mit 137, wenn er die harte Speichergrenze der neuen Direktive memory_hard_limit_percent überschreitet; er kann aber auch vom System wegen Speichermangels beendet worden sein. Die Ursache klärt der Blick in die Logs.
Kann ich mit einem Experten telefonieren, bevor ich etwas ändere?
Ja, genau dafür ist die Notfallhilfe da. Rufen Sie an oder schreiben Sie per WhatsApp und beschreiben Sie, was auffällt. Wir sagen Ihnen, was Sie lassen sollten und was Sie gefahrlos tun können.
Soll ich den PHP-Dienst einfach neu starten?
Ein Neustart kann einen Ausfall beheben, löscht aber Hinweise im Arbeitsspeicher. Wenn ein Einbruch möglich ist, sichern Sie vorher Logs und lassen sich beraten. Nach einem PHP-Update ist ein Neustart dagegen Pflicht.
Arbeiten Sie auch, wenn mein Server bei einem Hoster liegt?
Ja, wir arbeiten remote mit dem Zugang, den Sie haben, und stimmen uns bei Bedarf mit Ihrem Hoster ab. Welche Prüfungen möglich sind, hängt von Ihren Rechten ab.