Kritische PHP-Sicherheitslücke („PHP2Shell“): Warum wir unsere Systeme vorsorglich offline genommen haben

Am 21. Oktober 2026 warnten das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie das europäische CERT vor zwei extrem kritischen Sicherheitslücken in der Programmiersprache PHP. Weltweit waren zahllose Websites, Shops und Content-Management-Systeme wie TYPO3 und WordPress akut gefährdet.

Auch bei e-pixler haben wir unmittelbar reagiert, Schutzfilter aktiviert und unsere Systeme vorsorglich kurzzeitig vom Netz genommen. Warum diese konsequente Entscheidung notwendig war, was hinter den Kulissen passiert ist und was das für Ihre Systeme bedeutet, fassen wir hier transparent zusammen.

Was ist passiert?

Unter dem Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619) wurden am 21. Oktober zwei Schwachstellen bekannt, die auf der offiziellen Gefahrenskala mit 9,2 von 10 Punkten als hochkritisch eingestuft wurden. Über manipulierte Datei-Uploads war es Angreifern möglich, ohne vorherige Anmeldung Schadcode aus der Ferne auf betroffenen Servern auszuführen und diese im schlimmsten Fall vollständig zu übernehmen.

Da Details zur Lücke bereits vor der offiziellen Veröffentlichung durchgesickert waren und erste Angriffs-Skripte (Exploits) im Netz kursierten, empfahl das europäische CERT einen radikalen Schritt: Betroffene Systeme sollten vom Netz genommen werden, bis ein wirksames Sicherheitsupdate (Patch) eingespielt werden kann.

Wichtig zu wissen: Die Schwachstellen lagen in der Kerntechnologie PHP selbst und waren kein spezifisches Problem von e-pixler oder einzelnen Hosting-Anbietern.

Wie haben wir reagiert?

Da PHP das Fundament fast aller modernen Webanwendungen bildet, haben unsere Technik- und Sicherheitsteams sofort nach Bekanntwerden der Bedrohung einen mehrstufigen Notfallplan umgesetzt, der bis tief in die Nacht andauerte:

1. Sofort-Schutz über unsere Cloud-SSL-Termination-Gateways: Noch bevor offizielle Updates der PHP-Entwickler verfügbar waren, haben wir auf unseren vorgeschalteten Cloud-SSL-Termination-Gateways eine spezielle Schutzregel eingerichtet. Diese hat den bekannten Angriffsweg (Datei-Uploads) bereits am Eingang unserer Infrastruktur abgefangen, noch bevor Anfragen die eigentlichen Server erreichten.
2. Vorsorgliche Notabschaltung: Um jedes Restrisiko auszuschließen, sind wir der Empfehlung des europäischen CERT gefolgt und haben die Websites vorsorglich offline genommen. Spezielle Hochverfügbarkeits-Lösungen (Darksites) für kritische Infrastrukturen griffen dabei planmäßig und vollautomatisch.
3. Flächendeckendes Patching und Server-Neustarts: Unmittelbar nach Erscheinen der Sicherheitsupdates haben wir die PHP-Interpreter auf sämtlichen Servern unserer Infrastruktur aktualisiert. Anschließend wurden alle Systeme kontrolliert neu gestartet, um sicherzustellen, dass keine alten, verwundbaren Prozesse im Arbeitsspeicher weiterlaufen.
4. Notfall-Upgrade für ältere PHP-Versionen (PHP 8.1 und älter): Für PHP-Versionen unterhalb von 8.2 stellt das offizielle PHP-Projekt keine regulären Sicherheitsupdates mehr bereit. Um diese Systeme nicht ungeschützt zu lassen, haben wir kurzfristig zahlreiche betroffene Domains auf PHP 8.2 umgestellt und veraltete PHP-Interpreter restlos von den Servern entfernt.
5. Kontrollierte Wiederinbetriebnahme: Nach einer systematischen Prüfung jedes einzelnen Servers wurden die Systeme schrittweise wieder freigegeben. Somit laufen alle Systeme wieder im regulären, gesicherten Betrieb.

Uns ist bewusst, dass die vorübergehende Nichterreichbarkeit für Sie und Ihre Nutzerinnen und Nutzer unangenehm war. Dennoch war die Entscheidung für uns eindeutig: Der Schutz Ihrer Daten wiegt schwerer als wenige Stunden Ausfallzeit.

Waren Kundendaten gefährdet?

Ein eingespieltes Update schließt die Lücke für die Zukunft – für uns endet die Arbeit dort aber nicht. Um sicherzugehen, dass auch vor dem Patch kein erfolgreicher Zugriff stattgefunden hat, führen wir aktuell eine tiefgehende Integritätsprüfung (Threat Hunting) durch:

• KI-gestützte Log-Analyse (in anonymisierter Form): Wir werten derzeit rückwirkend die Server-Protokolle der gesamten letzten Woche aus. Das entspricht mehreren GB an Daten bzw. Millionen Log-Zeilen pro Tag, die vollständig in anonymisierter Form aufbereitet und mithilfe unseres KI-Systems sowie unter laufender Kontrolle unseres Security-Teams auf verdächtige Muster geprüft werden.
• Engmaschiges Prozess-Monitoring: Zusätzlich werden sämtliche Server aktuell automatisiert auf ungewöhnliches Prozessgeschehen überprüft.

Bisher gibt es keine Hinweise auf kompromittierte Systeme. Sollten sich im Zuge der weiteren Auswertung Auffälligkeiten bei einzelnen Systemen zeigen, informieren wir die betroffenen Kunden umgehend und individuell.

Wichtige Hinweise: Was bedeutet das jetzt für Sie als Kunde?

Für alle Kunden mit entsprechenden Wartungs- und Betreuungsverträgen haben wir sämtliche Schutzmaßnahmen bereits vollständig umgesetzt. Dennoch bitten wir Sie, zwei Punkte zu beachten:

• Prüfung nach PHP-8.2-Umstellung: Falls Ihre Website bisher noch mit einer veralteten PHP-Version (8.1 oder älter) lief, mussten wir diese zu Ihrem Schutz ungeplant auf PHP 8.2 anheben. Bitte prüfen Sie Ihre Website oder Webanwendung kurz auf ungewohntes Verhalten (z. B. bei älteren Plugins oder Formularen). Unsere Projektteams gehen hierzu auch bereits aktiv auf betroffene Kunden zu.
• Mögliche Zugriffssperren durch verschärfte Firewalls: Unsere Angriffserkennungssysteme sind aktuell bewusst sehr sensibel eingestellt. Falls Sie oder Ihre Mitarbeitenden plötzlich nicht mehr auf Ihre Website, das CMS-Backend oder Ihr Postfach zugreifen können, wurde Ihre IP-Adresse möglicherweise vorsorglich blockiert. Melden Sie sich in diesem Fall einfach kurz bei unserem Support – wir prüfen das umgehend und geben Ihren Zugang sofort wieder frei.

Unser Fazit: IT-Sicherheit braucht Konsequenz

Der Einsatz zeigt, wie schnell eine Schwachstelle in einer zentralen Web-Technologie weltweite Auswirkungen haben kann. Für uns als Digitalagentur mit eigenem Hosting bedeutet Verantwortung, uns nicht allein auf Standardprozesse zu verlassen, sondern im Ernstfall schnell, mehrstufig und konsequent zu handeln.

Wir danken Ihnen herzlich für Ihr Verständnis, Ihre Geduld während der kurzen Unterbrechung und Ihr Vertrauen in unsere Arbeit.

Ihr e-pixler Team 💙

Weiterführende Informationen

• BSI: Kritische PHP-Schwachstellen vom 21. Oktober 2026
• PHP: Offizielle Website und Sicherheitsupdates

Bildhinweis: Dieses Bild wurde mithilfe künstlicher Intelligenz (KI) generiert.