Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei kritischen Sicherheitslücken in PHP gewarnt, bekannt als „PHP2Shell“. PHP ist die Grundlage sehr vieler Websites, auch der Websites und Online-Dienste von SeiDuSelbst e.V. Wir haben noch am selben Abend reagiert. Hier legen wir offen, was wir getan haben und was wir geprüft haben.
Das Wichtigste in Kürze
- Am 21. Oktober 2026 um 19:14 Uhr war das Sicherheitsupdate auf unserem Server eingespielt. Seitdem laufen alle unsere Websites und Dienste mit der abgesicherten PHP-Version.
- Anschließend haben wir die Systeme auf Spuren eines Angriffs untersucht. Wir haben keine gefunden.
- Es gibt keine Hinweise darauf, dass Unbefugte auf Daten oder Benutzerkonten zugegriffen haben.
- Unsere Websites waren durchgehend erreichbar.
Worum geht es?
Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden auch „PHP2Shell“ genannt. Sie sind mit 9,2 von 10 Punkten als kritisch eingestuft. Angreifer hätten darüber unter Umständen aus der Ferne und ohne Anmeldung Programmcode auf betroffenen Servern ausführen können. Betroffen waren weltweit nahezu alle Server, auf denen PHP läuft. Das BSI hat die Warnung mit der Stufe „Orange“ versehen: Maßnahmen müssen unverzüglich ergriffen werden.
Der zeitliche Ablauf
- 21.10.2026, 16:00 Uhr: Die Entwickler von PHP veröffentlichen die Sicherheitsupdates.
- 21.10.2026, früher Abend: Wir werten die Warnung des BSI aus und stellen fest, dass auch unser Server betroffen ist. Die abgesicherte Version steht über die Sicherheitsupdates unseres Betriebssystems bereit.
- 21.10.2026, 19:14 Uhr: Das Update ist eingespielt und PHP neu gestartet. Ab diesem Zeitpunkt sind alle unsere Websites und Dienste geschützt.
- 21.10.2026, ab 19:20 Uhr: Wir untersuchen den Zeitraum seit 16:00 Uhr auf Anzeichen eines Angriffs.
Was wir geprüft haben
- Abstürze und Speicherfehler: Die Lücken werden über Fehler bei der Speicherverwaltung ausgenutzt, ein Angriff hinterlässt daher typischerweise Abstürze. Ergebnis: Seit 16:00 Uhr gab es keinen einzigen Absturz.
- Dateien: Wir haben nach neu angelegten oder veränderten Programmdateien gesucht, auch in Upload- und temporären Verzeichnissen. Ergebnis: Alle Änderungen ließen sich auf normale Abläufe zurückführen.
- Benutzerkonten: Wir haben geprüft, ob auf dem Server oder in unseren Websites neue Konten oder Administrator-Rechte hinzugekommen sind. Ergebnis: nein.
- Prozesse und Verbindungen: Wir haben geprüft, ob fremde Programme laufen oder ungewöhnliche Verbindungen ins Internet bestehen. Ergebnis: nein.
- Zugriffsprotokolle: Wie praktisch jeder Server im Internet wird auch unserer laufend von automatisierten Programmen nach Schwachstellen abgesucht. Die Versuche im fraglichen Zeitraum zielten auf ältere, bei uns nicht vorhandene Lücken und blieben erfolglos.
Gab es Ausfälle?
Nein. Unsere Websites waren während des gesamten Zeitraums erreichbar. Beim Neustart von PHP im Zuge des Updates kann es für wenige Sekunden zu Verzögerungen gekommen sein. Wir mussten keine Dienste vorsorglich vom Netz nehmen.
Muss ich etwas tun?
Nein. Da wir keine Hinweise auf einen Zugriff gefunden haben, ist es nicht nötig, Passwörter zu ändern. Wer auf Nummer sicher gehen möchte, kann das selbstverständlich trotzdem tun. Grundsätzlich empfehlen wir, für jeden Dienst ein eigenes Passwort zu verwenden.
Transparenz
Zwischen der Veröffentlichung der Lücken um 16:00 Uhr und unserem Update um 19:14 Uhr lagen gut drei Stunden. Genau diesen Zeitraum haben wir besonders gründlich untersucht. Eine absolute Garantie kann bei Sicherheitslücken niemand geben. Wir haben jedoch keinerlei Hinweise auf einen Angriff gefunden und beobachten unsere Systeme weiterhin aufmerksam. Sollten sich neue Erkenntnisse ergeben, informieren wir hier darüber.
Bei Fragen erreichst du uns unter hallo@seiduselbst.online.
Quelle: BSI-IT-Sicherheitshinweis Nr. 2026-297981-1132 vom 21.10.2026
Noch keine Kommentare