Wir haben diese Behauptung analysiert: Stimmt es, dass
Webhoster weitere Updates gegen die PHP2Shell-Schwachstellen bereitgestellt haben, während einige Sicherheitsgeräte noch auf Hersteller-Patches angewiesen sind und installierte PHP-Komponenten nicht automatisch eine Verwundbarkeit bedeuten?
CloudLinux abgestimmte Softwarepakete veröffentlicht hat, Palo Alto Networks Verzögerungen bei Updates für Sicherheitsgeräte bestätigte und OpenText nachwies, dass installierte Komponenten nicht zwangsläufig ein Einfallstor öffnen.
Sicherheitslücken in PHP treffen Netzwerk-Hardware mit Verzögerung
Webhoster schließen kritische Einfallstore zügig, während Administratoren von Firmen-Firewalls auf Hersteller-Updates warten müssen.
Die Geschichte geht weiter
Sicherheitslücke in Websoftware setzt Unternehmensfirewalls unter Zugzwang
31. Oktober 2026Führende IT-Ausrüster stellen Notfall-Updates bereit, doch Firmennetzwerke bleiben wegen schleppender Nachbesserungen vorerst verwundbar.
Warum Sicherheitsupdates allein Webseiten nicht mehr ausreichend schützen
30. Oktober 2026Selbst nach dem Einspielen aktueller Patches bleiben Online-Dienste verwundbar, wenn Serverkonfiguration und Hosting-Ebenen ungeprüft bleiben.
Sicherheitslücken in Websprache erreichen Firmen-Firewalls
27. Oktober 2026Schwachstellen in einer verbreiteten Softwarekomponente zwingen Netzwerkbetreiber zum Warten auf maßgeschneiderte Hersteller-Updates.QNAP schließt gefährliche Sicherheitslücke auf sechs Speichersystemen
24. Oktober 2026Aktualisierte Firmware schützt weite Teile der Produktpalette, doch vier Spezialserien bleiben vorerst verwundbar.
Dritte Schwachstelle verkompliziert PHP-Sicherheit
24. Oktober 2026Reine Software-Updates schützen Webseiten womöglich nicht, solange bestimmte Einstellungen aktiv bleiben.
Das Wesentliche
Zwei kritische Schwachstellen in der weitverbreiteten Websoftware PHP ermöglichen es Angreifern, ohne Authentifizierung fremden Programmcode auf Servern auszuführen. Während Webhoster bereits offizielle Fehlerbehebungen verteilen, bleiben Sicherheitsgeräte führender Hersteller verwundbar, da gerätespezifische Patches erst gegen Ende Oktober erwartet werden.
Die Kernpunkte
- Zwei kritische Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619, ermöglichen die Ausführung von Schadcode ohne vorherige Anmeldung.
- CloudLinux lieferte am 23. Oktober aktualisierte PHP-Softwarepakete an Webhosting-Unternehmen aus.
- Palo Alto Networks kündigte Hotfixes für Firewalls für den Zeitraum zwischen dem 26. und 30. Oktober an.
- OpenText bestätigte, dass seine Authentifizierungsgeräte nicht verwundbar sind, da ihre aktiven Webprozesse den betroffenen Code nicht nutzen.
- Für die Plattformen Panorama und WildFire von Palo Alto Networks gibt es bislang keine festen Veröffentlichungstermine für Patches.
Aus dem Tagebuch des Redakteurs
Das bloße Vorhandensein eines Softwarepakets auf einem Gerät belegt noch keine Sicherheitslücke – und eine abgesicherte Website garantiert nicht, dass die vorgeschaltete Hardware geschützt ist.
Wer beteiligt ist
CloudLinux
US-Anbieter von Server-Betriebssystemen und PHP-Paketen für Webhosting-Unternehmen
will → Verlässliche Updates für unterstützte Systeme bereitstellen, ohne den laufenden Website-Betrieb zu unterbrechen
Palo Alto Networks
US-Cybersicherheitskonzern und Hersteller von Unternehmens-Firewalls und Netzwerksystemen
will → Administrative Weboberflächen absichern und Fehlerbehebungen ausliefern, ohne die Kundennetzwerke zu beeinträchtigen
OpenText
Kanadischer Unternehmenssoftware-Konzern, dessen Sicherheitsgeräte PHP-Pakete enthalten
will → Das tatsächliche Angriffsrisiko aufklären und Kunden über offizielle Update-Pfade informieren
The PHP Project und PHP Foundation
Entwicklergemeinschaft und gemeinnützige Stiftung zur Pflege der Programmiersprache PHP
will → Die Kernschwachstellen im Code beheben und Softwareanbietern präzise technische Leitfäden zur Verfügung stellen
Chinese University of Hong Kong Information Technology Services Centre
IT-Dienstleistungszentrum einer führenden Universität in Hongkong
will → Netzwerkadministratoren vor betroffenen Geräten warnen und neue Abwehr- und Erkennungswerkzeuge teilen
Kurz gefasst
Das Schließen von Sicherheitslücken auf Webservern reicht nicht aus, wenn die dahinterliegende Netzwerkinfrastruktur weiterhin für die beiden als „PHP2Shell“ bekannten Schwachstellen anfällig bleibt. Weil die Hersteller von Sicherheitsgeräten ihre Updates individuell für jede Plattform anpassen müssen, drohen viele Internet-Firewalls noch tagelang ungeschützt zu bleiben, während standardisierte Webserver längst abgesichert sind. Die Bereitstellung der nötigen Patches zieht sich bis Ende Oktober hin.
PHP verarbeitet als zentrale Softwarekomponente Webanfragen auf Millionen von Servern weltweit. Über die beiden neu entdeckten Schwachstellen CVE-2026-109618 und CVE-2026-109619 können Angreifer bösartigen Programmcode auf ungeschützten Systemen ausführen, ohne dafür Zugangsdaten oder Passwörter zu benötigen.
Am 23. Oktober traten die Unterschiede bei der Fehlerbehebung deutlich zutage: Das US-Softwarehaus CloudLinux stellte aktualisierte Standardpakete für Webhoster bereit, um Kunden abgesicherter Systeme Gewissheit zu geben.
Die Vorgeschichte
Sicherheitslücke PHP2Shell bedroht Millionen Webseiten – Patch-Pflicht spaltet Netzbetreiber
23. Oktober 2026Ein schwerer Speicherfehler gefährdet Server weltweit, doch die Behebung lässt sich nicht über herkömmliche Redaktionssysteme einspielen.
Wie es sich entwickelte
Sicherheitsüberprüfung bringt ungelöste Schwachstelle ans Licht
Am 30. Juli 2026 begann das IT-Sicherheitsunternehmen Calif im Rahmen einer von OpenAI geförderten Initiative mit der systematischen Prüfung des PHP-Quellcodes. Entwickler der PHP Foundation hatten bereits nach einer Überprüfung im Jahr 2024 einen Speicherfehler vermutet; ein praktischer Nachweis, dass Angreifer darüber die Kontrolle über Systeme übernehmen können, fehlte jedoch bislang. Im August gelang Calif ein funktionierender Angriff. Zeitgleich wiesen Experten von OpenAI und des Cloud-Spezialisten Wiz unabhängig voneinander auf gravierende Probleme hin und informierten die PHP-Entwickler vertraulich.
Eine vorzeitige Veröffentlichung im Oktober zwang die Verantwortlichen schließlich zum Notfallbetrieb. Die Foundation musste erklären, warum der ursprüngliche Zeitplan für vertrauliche Sicherheitsupdates scheiterte, noch bevor alle Systeme geschützt werden konnten. Weltweit begann daraufhin eine fieberhafte Suche nach den anfälligen Softwarekomponenten.
Reparaturen spalten Webhoster und Hardware-Hersteller
Bis zum 23. Oktober verlagerte sich die Herausforderung von der Fehlerkorrektur auf die Verteilung der Patches an jene Geräte, auf denen die Software im Verborgenen arbeitet. CloudLinux lieferte Softwarepakete aus, deren Versionsnummern den offiziellen Upstream-Vorgaben entsprechen, was Administratoren die Prüfung ihrer Server erleichtert.
Bei anderen Herstellern zeigte sich, dass welche Systeme und Webanwendungen tatsächlich verwundbar bleiben ausschließlich von der internen Architektur abhängt. OpenText erklärte, die eigenen Sicherheitsgeräte nutzten die betroffenen PHP-Dateien nicht für den externen Datenverkehr, womit die Systeme geschützt seien.
Deutlich ernster fiel die Mitteilung von Palo Alto Networks aus: Die webbasierten Verwaltungsoberflächen der firmeneigenen Firewalls sind angreifbar. Entsprechende Hotfixes stellte der Hersteller erst für den Zeitraum zwischen dem 26. und 30. Oktober in Aussicht; für übergeordnete Managementsysteme wie Panorama fehlt ein Termin bislang gänzlich. Die Chinesische Universität Hongkong teilte mit, dass Palo Alto Networks vorläufige Erkennungsmuster für Angriffe bereitgestellt habe, betonte jedoch, dass reine Filtersignaturen keinen vollwertigen Patch ersetzen können.
Erneut geprüft
Derzeit keine neuen Entwicklungen.
Erneut geprüft
Derzeit keine neuen Entwicklungen.
Wo die Dinge stehen
Obwohl offizielle Korrekturen für beide PHP-Schwachstellen vorliegen, verläuft deren Einführung in Unternehmensnetzen ungleichmäßig. Während CloudLinux abgestimmte Softwarepakete ausgeliefert hat, führt Palo Alto Networks weiterhin ungepatchte Systeme. Erste Hotfixes sollen zwischen dem 26. und 30. Oktober erscheinen, während für zentrale Verwaltungslösungen wie Panorama und Analysegeräte wie WildFire noch keine Termine feststehen.
Bislang meldet Palo Alto Networks keine erfolgreichen Angriffe auf die eigenen Systeme, was jedoch keine Garantie für deren Sicherheit darstellt. Wie viele Unternehmensnetzwerke weltweit bereits abgesichert oder attackiert wurden, ist bislang statistisch nicht belegt. Für IT-Sicherheitsverantwortliche bleibt vorerst nur, gefährdete Verwaltungsoberflächen vom Internet zu trennen und die angekündigten Hersteller-Patches unmittelbar nach deren Erscheinen einzuspielen.
PHP2Shell: die PHP-Sicherheitskrise
PHP-Sicherheitsupdate trotz Falschmeldungen über Umgehung wirksam
21. Oktober 2026Berichte über ein angeblich fehlerhaftes Notfall-Patch für Millionen Webserver entbehren laut technischen Analysen jeder Grundlage.
PHP schließt kritische Sicherheitslücken nach vorzeitiger Veröffentlichung von Angriffscode
21. Oktober 2026Vorzeitig ins Netz gelangte Exploit-Anleitungen bedrohen Millionen Webserver weltweit mit einer feindlichen Übernahme, noch bevor offizielle Updates bereitstanden.