Wir haben diese Behauptung analysiert: Stimmt es, dass
nach einem Scan des Sicherheitsunternehmens OX Security fünf Tage nach Veröffentlichung kritischer Sicherheitslücken 93,6 Prozent der messbaren betroffenen PHP-Systeme noch keinen sichtbaren Patch aufwiesen?
OX Security mit täglichen Scandaten belegte, dass der Anteil ungepatchter Systeme im messbaren Bestand zwischen dem 22. und 26. Oktober von 99,28 auf 93,60 Prozent sank, externe Forscher den zugrunde liegenden Suchindex bislang jedoch nicht unabhängig überprüfen konnten
Sicherheitslücke bedroht Millionen Webserver: Fast 94 Prozent der PHP-Systeme ungepatcht
Fünf Tage nach Bekanntwerden kritischer Schwachstellen fehlt den meisten öffentlich erreichbaren Servern das rettende Update – Angreifer können Webseiten ohne Passwort kapern.
Die Geschichte geht weiter
Webseiten rüsten auf, doch Nachweise für Angriffe fehlen
29. Oktober 2026Immer mehr Betreiber schließen Sicherheitslücken und Behörden kehren ans Netz zurück – zugleich mussten Sicherheitsforscher den Bericht über eine erfolgreiche Attacke widerrufen.
Das Wesentliche
Fünf Tage nach ihrer Veröffentlichung erreichten die Notfall-Patches für zwei kritische PHP-Sicherheitslücken lediglich 6,4 Prozent der messbaren betroffenen Server – fast 1,86 Millionen Systeme blieben damit sichtbar ungeschützt. Während Sicherheitsforscher bereits Angriffe auf Ködersysteme registrierten und die US-Regierung Bundesbehörden Fristen bis zum 29. Oktober setzte, stoßen die Schutzbemühungen an strukturelle Grenzen: Auf Millionen Webservern laufen veraltete Softwareversionen, die keine offiziellen Sicherheitsupdates mehr erhalten.
Die Kernpunkte
- Nach Feststellung von OX Security wiesen fünf Tage nach der Veröffentlichung 93,6 Prozent der messbaren betroffenen PHP-Server keine sichtbaren Software-Patches auf.
- Bei Cyberangriffen wurden am 24. Oktober auf Forschungs-Köderservern 35 Befehlsshells ausgelöst.
- Rund 1,33 Millionen betroffene Server laufen mit veralteten PHP-Versionen, für die keine offiziellen Updates mehr bereitgestellt werden.
- Die US-Behörde CISA verpflichtete zivile Bundesbehörden, die Sicherheitslücken bis zum 29. Oktober zu schließen.
Aus dem Tagebuch des Redakteurs
Eine moderne Softwarelücke lässt sich schnell programmieren und schließen – die weltweite Web-Infrastruktur abzusichern, ist ungleich schwerer, weil Millionen aktiver Server mit verwaister Software laufen, die niemand mehr wartet.
Wer beteiligt ist
OX Security
IT-Sicherheitsunternehmen, das öffentlich erreichbare Internetdienste auf Software-Schwachstellen scannt
will → Das Tempo dokumentieren, mit dem Organisationen kritische Lücken schließen, und kontinuierliche Sicherheitsüberwachung vorantreiben
Moshe Siman Tov Bustan
Sicherheitsforscher bei OX Security und Autor der täglichen Untersuchungsberichte
will → Das reale Tempo von Software-Reparaturen aufzeigen und die Ursachen für anhaltende Sicherheitslücken analysieren
Shodan
Spezialisierte Suchmaschine für öffentlich zugängliche Server und vernetzte Geräte
will → Weltweit erreichbare Systeme katalogisieren, damit Fachleute öffentlich sichtbare Softwareversionen prüfen können
Flare und Qualys
IT-Sicherheitsunternehmen, die Risiken und Softwarezustände auf Systemen unabhängig voneinander analysieren
will → Organisationen dabei unterstützen, ungepatchte Software aufzuspüren und Schutzmaßnahmen anhand eigener Datenbestände umzusetzen
Adel Karimi
Sicherheitsforscher beim KI-Unternehmen Perplexity, der überwachte Köderserver betreibt
will → Reale Angriffsversuche aufzeichnen, um nachzuweisen, ob Angreifer tatsächlich fremde Steuerbefehle ausführen können
Cybersecurity and Infrastructure Security Agency
US-Bundessicherheitsbehörde für Cyber- und Infrastruktursicherheit
will → Bundesbehörden dazu verpflichten, aktiv ausgenutzte Schwachstellen zügig zu schließen, und die Öffentlichkeit warnen
PHP-Entwicklerteam
Gemeinschaft ehrenamtlicher Programmierer, die die Websprache PHP betreuen
will → Fehlerbereinigte Softwareversionen bereitstellen und Administratoren dazu bewegen, veraltete Programmversionen auszusondern
Kurz gefasst
Auf den meisten öffentlich erreichbaren Servern, die mit der weit verbreiteten Websprache PHP betrieben werden, klafft auch fünf Tage nach der Offenlegung zweier kritischer Sicherheitslücken ein gefährliches Einfallstor. Angreifer können betroffene Systeme aus der Ferne und ohne jedes Passwort übernehmen.
Sicherheitsexperten rechnen für die kommenden Wochen mit einer Welle automatisierter Angriffe auf unzureichend gewartete Webserver.
Die Gefahr ist real: Auf Köderservern registrierten Forscher bereits funktionierende Angriffe. Erschwerend kommt hinzu, dass weltweit rund 1,33 Millionen Systeme auf veralteten Softwareversionen laufen, für die es keine offiziellen Sicherheitsupdates mehr gibt.
Die Vorgeschichte
Notfall-Updates für PHP greifen um sich – doch das Restrisiko bleibt unberechenbar
24. Oktober 2026Millionen Webserver haben die Sicherheitsflicken eingespielt, doch Fachleute können noch nicht belegen, ob die Zahl erfolgreicher Einbrüche tatsächlich sinkt.
Wie es sich entwickelte
Notfall-Updates eröffnen weltweiten Wettlauf gegen Angreifer
Das ehrenamtliche Entwicklerteam der Websprache PHP veröffentlichte am 21. Oktober Notfall-Patches für zwei schwere Sicherheitslücken, die unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 geführt werden. Die Schwachstellen erlauben es Eindringlingen, ohne Kennwort über das Internet eigene Befehle auf verwundbaren Servern auszuführen. Das Sicherheitsunternehmen OX Security begann umgehend, Daten der Suchmaschine Shodan auszuwerten, um zu verfolgen, wie rasch Serverbetreiber die Sicherheitsupdates installieren. Auch andere IT-Sicherheitsfirmen nahmen entsprechende Messungen anhand eigener Datenbestände auf.
Erste Angriffe treffen Ködersysteme bei anziehendem Patch-Tempo
Über das Wochenende nahm die Zahl aktualisierter Systeme zu, doch die Bedrohungslage spitzte sich zeitgleich zu. Sicherheitsforscher Adel Karimi beobachtete erste automatisierte Angriffe auf speziell präparierte Köderserver, die zur Analyse digitaler Bedrohungen dienen. Zwar galten die Attacken reinen Forschungsumgebungen und keinen regulären Unternehmenswebseiten; sie belegten jedoch, dass Angreifern funktionierende Werkzeuge zur Verfügung standen, um verwundbare Systeme zu kapern.
Veraltete Web-Software bremst Schutzmaßnahmen aus
Der sichtbare Reparaturfortschritt geriet ins Stocken, weil jahrelang vernachlässigte Altsysteme das Schließen der Lücken erschweren. Das Sicherheitsunternehmen Qualys veröffentlichte Handlungsempfehlungen für Unternehmen, die Patches nicht sofort einspielen können. Die Experten rieten zu Übergangslösungen und mahnten, laufende Webdienste nach Updates zwingend neu zu starten. Das bloße Herunterladen eines Patches schütze eine Website erst dann, wenn das ausführende Serverprogramm auch neu geladen worden sei.
Fünf-Tages-Bilanz deckt Grenzen der weltweiten IT-Wartung auf
Eine von OX Security vorgelegte Fünf-Tages-Bilanz verdeutlichte das Ausmaß des Problems: Zwar wiesen 127.430 Systeme sichtbare Schutzmaßnahmen auf, doch meldeten 93,6 Prozent der messbaren Server weiterhin verwundbaren Code. Die größte Hürde ist das Alter der Systeme: Rund 1,33 Millionen betroffene Server laufen mit veralteten PHP-Versionen, für die es regulär keine Patches mehr gibt. Angesichts der akuten Gefahr verpflichtete die US-Cybersicherheitsbehörde CISA alle zivilen Bundesbehörden, ihre Systeme bis zum 29. Oktober zu bereinigen.
Wo die Dinge stehen
Bis zum 27. Oktober hat OX Security keine neueren Tageswerte vorgelegt. Die Daten vom 26. Oktober belegen, dass 93,60 Prozent der messbaren betroffenen Server weiterhin alte Softwareversionen anzeigten – am ersten Tag nach Bekanntwerden der Lücken hatte der Wert noch bei 99,28 Prozent gelegen. Zwar stieg die Zahl der nachweislich gepatchten Systeme zwischen dem 25. und 26. Oktober um 25.229, doch sank die Zahl der ungepatchten Einträge lediglich um 413, da der Scanner kontinuierlich neue Systeme im Netz aufspürte.
Öffentliche Scans zeichnen allerdings ein unvollständiges Bild. Manche Server verbergen ihre genauen Versionsnummern nach außen, während kommerzielle Linux-Distributoren Sicherheitskorrekturen häufig in ältere Softwarestände einpflegen, ohne die Versionsanzeige zu ändern. Externe Forscher können die Messwerte zudem nicht lückenlos überprüfen, da die Rohdaten der Serverbestände nicht öffentlich einsehbar sind. Als nächste Bewährungsprobe gilt der 29. Oktober: Bis zu diesem Stichtag müssen die zivilen US-Bundesbehörden den Nachweis erbringen, dass ihre Netzwerke gegen die Schwachstellen abgesichert sind.