php2Shell: Wie Sweent jedes Clientsystem in weniger als 12 Stunden gepatcht hat

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Notfallkorrekturen für zwei kritische Fehler im PHP-Kern, CVE-2026-109618 und CVE-2026-109619, die von der Sicherheitsgemeinschaft kurzerhand PHP2Shell genannt wurden. Wenige Enthüllungen in den letzten Jahren haben so viel Alarm ausgelöst. Auf PHP laufen WordPress, Drupal, Joomla, Magento, WooCommerce und ein großer Teil der benutzerdefinierten Anwendungen im Web. Das PHP-Team sagte, dass die Fehler jede PHP-Installation betreffen, die Webanfragen bedient.

Unser Team zog um, sobald wir von dem Problem erfuhren. In weniger als 12 Stunden patchte Sweent jedes System, für das wir verantwortlich sind, sowohl unser eigenes als auch das unserer Kunden. Anschließend haben wir jedes dieser Systeme auf Anzeichen von Eindringlingen oder versuchten Angriffen gescannt.

Was ist PHP2Shell

Beide Sicherheitslücken haben einen CVSS v4.0-Score von 9,2 von 10. Sie ermöglichen es einem Angreifer, Code auf einem Server ohne Anmeldung auszuführen, mit denselben Berechtigungen wie der PHP-Prozess. In der Praxis kann das bedeuten, dass Daten gestohlen werden, eine Website unkenntlich gemacht wird oder eine versteckte Hintertür, die noch lange nach dem ursprünglichen Angriff überlebt.

• CVE-2026-109618 ist darauf zurückzuführen, wie PHP mit Speichermangel umgeht, wodurch die Anforderungsdaten nur teilweise eingerichtet werden können.
• CVE-2026-109619 stammt aus einem Anforderungsstatus, der nach der Freigabe des Speichers noch andauert.

Die fehlerfreien Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und ältere Versionen erhalten keine routinemäßigen Sicherheitsupdates mehr vom PHP-Projekt, daher benötigen Websites, die immer noch diese Versionen verwenden, ein Upgrade, nicht nur einen Patch.

Warum die Branche in Panik geriet

Die Offenlegung verlief nicht nach Plan. Details sind vor der geplanten Veröffentlichung durchgesickert, sodass Verteidiger und Angreifer gleichzeitig Rennen gefahren sind. Cloudflare meldete innerhalb weniger Stunden einen frühen Angriffsverkehr, und Sicherheitsfirmen meldeten aktive Ausnutzungsversuche.

Regierungsbehörden reagierten schnell:

• CISA forderte alle Unternehmen auf, ihre PHP-Systeme zu inventarisieren und sofort zu patchen. Alles, was nicht aktualisiert werden konnte, einschließlich PHP 8.1 und älter, sollte offline genommen werden.
• Das britische National Cyber Security Centre empfahl, die Systeme vom Netz zu nehmen, bis sie vollständig geschützt sind.
• CERT-EU forderte Unternehmen auf, in Betracht zu ziehen, PHP-Anwendungen mit Internetzugriff von öffentlichen Netzwerken zu isolieren.
• Die NSA gab eine eigene Warnung heraus, in der auch die Möglichkeit angesprochen wurde, Websites offline zu nehmen.

Große Organisationen haben drastische Schritte unternommen. Teile von Wikipedia gingen vorübergehend offline, ebenso wie Pinboard, 4chan und Something Awful, während sie auf den Patch warteten. Der Domain-Registrar NameSilo hat Berichten zufolge sein gesamtes Kundenportal offline gemacht und zeigte einen Wartungshinweis an, in dem die Umstellung als Vorsichtsmaßnahme gegen die PHP-Fehler beschrieben wurde. Der Mitteilung zufolge würde der Zugriff erst wieder hergestellt, nachdem der Patch installiert und die Sicherheitsüberprüfungen abgeschlossen waren. Wenn Unternehmen dieser Größe Ausfallzeiten dem Risiko vorziehen, ist die Gefahr real.

Was hat Sweent gemacht

Wenn eine Schwachstelle dieser Größe auftritt, sind die ersten Stunden am wichtigsten. So sind wir damit umgegangen.

1. Inventar. Wir haben alle Server, Container und Anwendungen aufgelistet, die wir verwalten und auf denen PHP läuft, einschließlich Software, die PHP einbettet und leicht übersehen werden kann.
2. Patch. Wir haben jedes auf eine feste PHP-Version aktualisiert, angefangen bei Systemen mit Internetanschluss. Wenn ein Kunde eine nicht unterstützte PHP-Version verwendete, haben wir ihn auf eine unterstützte Version aktualisiert.
3. Überprüfen. Wir haben nach dem Update jedes System überprüft, um sicherzustellen, dass es den gepatchten Build ausführt. Ein Patch zählt erst, wenn er in der Produktion bestätigt wurde, nicht, wenn er geplant ist.
4. Nach Eindringlingen suchen. Beim Patchen wird zwar die Tür geschlossen, aber es wird nicht angezeigt, ob bereits jemand eingedrungen ist. Da Angriffe vor und während des Patch-Fensters begannen, haben wir jedes von uns verwaltete System auf Anzeichen eines Eindringens oder eines versuchten Eindringens überprüft. Dazu gehörten unerwartete Prozesse, die von PHP-Mitarbeitern gestartet wurden, neue oder geänderte Dateien in Webverzeichnissen, unbekannte Administratorkonten und verdächtige Anfragen in den Protokollen.

All dies wurde in weniger als 12 Stunden ab dem Moment, als wir von dem Problem erfuhren, erledigt.

Wenn Sie ein Sweent-Kunde sind

Sie sind bereits vor php2Shell geschützt. Jedes System, das Sweent verwaltet, wurde gepatcht und auf Anzeichen eines Eindringens oder einer Sicherheitsverletzung gescannt. Sie müssen nichts tun. Wenn Sie Fragen zu einer bestimmten Site oder einem bestimmten Server haben, wenden Sie sich an Ihr Sweent-Team. Wir werden Ihnen erklären, was auf Ihren Systemen getan wurde.

Wenn Sie kein Sweent-Kunde sind

Warte nicht. Folgendes müssen Sie jetzt tun:

1. Finden Sie jedes System, auf dem PHP ausgeführt wird, einschließlich der im Lieferumfang enthaltenen Plugins, Appliances und Herstellersoftware.
2. Aktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder führen Sie ein Upgrade durch, wenn Sie 8.1 oder älter verwenden.
3. Bestätigen Sie, dass das Update live ist. Bitten Sie Ihren Host oder IT-Anbieter um Bestätigung, dass das Update installiert und nicht nur geplant ist.
4. Wenn Sie nicht sofort patchen können, schalten Sie das System offline. Eine Firewall für Webanwendungen kann das Risiko verringern, aber sie ist eine Notlösung, keine Lösung.
5. Achten Sie auf Anzeichen einer Kompromiss. Suchen Sie nach Shells oder Downloads, die von PHP-Prozessen gestartet wurden, nach neuen Dateien in Webverzeichnissen und nach neuen Administratorkonten.

Wenn Sie dabei Hilfe benötigen, [sprechen Sie mit Sweent] (https://sweent.com/contact). Wir können Ihre Systeme auf die gleiche Weise patchen, verifizieren und scannen, wie wir es für unsere Kunden getan haben.

**Quellen: ** [CISA-Warnung] (https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) · [Malwarebytes] (https://www.malwarebytes.com/blog/bugs/2026/10/php2shell-why-websites-are-going-offline-for-emergency-security-updates) · [NBC News] (https://www.nbcnews.com/tech/security/critical-vulnerabilities-php-update-systems-rcna604751) · [Qualys] (https://blog.qualys.com/vulnerabilities-threat-research/2026/10/20/php-announces-critical-security-release-for-two-vulnerabilities) · [Das nächste Web] ( https://thenextweb.com/news/php-vulnerability-cert-eu-websites-offline)