Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische PHP-Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell bekannt geworden sind. Für Website-Betreiber:innen lief an diesem Tag alles auf eine Frage hinaus: Lässt sich das Update einspielen oder nicht? Wer zuvor regelmäßig in die Updates der eigenen Anwendung investiert hat, konnte mit Ja antworten. Für unsere Kund:innen, die diesen Weg gegangen sind, hat sich die Investition an diesem Tag ausgezahlt: Sie konnten durchatmen, denn um alles Weitere haben wir uns gekümmert. Für alle anderen blieb nur die Wahl zwischen Abschaltung und Restrisiko.
Was passiert ist
PHP ist die Programmiersprache, auf der ein großer Teil aller Websites läuft, darunter Systeme wie Pimcore, Shopware und WordPress. Im ungünstigsten Fall lässt sich über die beiden Lücken ohne Anmeldung fremder Code auf dem Server ausführen. Wer das ausnutzt, hat potenziell vollen Zugriff auf die Anwendung und ihre Daten, bis hin zu sensiblen Kunden- und Zahlungsdaten. Über die Schnittstellen können Angreifer:innen auch potenziell auf angebundene Systeme zugreifen, etwa auf die Warenwirtschaft oder Zahlungsdienstleister. Laut dem Sicherheitsunternehmen Wiz, das die Lücken entdeckt hat, sind alle PHP-Versionen der vergangenen 10 Jahre betroffen.
Am 20. Oktober kündigte das PHP-Team ein Sicherheitsupdate für den folgenden Tag um 16 Uhr an, ohne Details zu nennen. Noch am selben Tag kursierten erste inoffizielle Informationen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte mit der zweithöchsten Stufe und riet, Systeme im Zweifel vorübergehend vom Netz zu nehmen. Einige Behörden, Hochschulen und Kliniken haben ihre Websites daraufhin zeitweise abgeschaltet. Auch viele andere Seiten waren vorübergehend nicht erreichbar.
Erfolgreiche Angriffe waren bis zum Abend des 21. Oktober nicht öffentlich bestätigt. Sicherheitsfirmen meldeten aber erste Angriffsversuche.
Wie wir vorgegangen sind
Die erste Ankündigung enthielt, wie in solchen Fällen üblich, keine Details. Klar war nur: Es gibt eine kritische Sicherheitslücke, und das Update am nächsten Tag schließt sie. Wie die Lücke genau aussieht und ob es bis dahin andere wirksame Schutzmaßnahmen gibt, war offen.
Laut den inoffiziellen Informationen ließ sich das Ausnutzen der Lücke mit einer Änderung der Systemkonfiguration verhindern oder zumindest erschweren. Diese Änderung haben wir vorsorglich auf allen Kundensystemen vorgenommen. Später stellte sich heraus, dass sie das Risiko zwar verringert, die Lücke aber nicht vollständig schließt.
Mit dem offiziellen Update haben wir alle Systeme abgesichert, die PHP 8.2 oder neuer nutzen. Für diese Websites war das Thema damit erledigt, sie liefen ohne Unterbrechung weiter.
Anders bei Systemen mit älteren PHP-Versionen, für die das PHP-Projekt offiziell keine Updates mehr bereitstellt. Normalerweise wäre hier der Wechsel auf eine neuere, sichere PHP-Version der richtige Weg. Unterstützt die veraltete Anwendung diese aber nicht, bleibt nur ein Weg: die vorsorgliche Abschaltung. Über diesen Schritt haben wir unsere Kund:innen per E-Mail und telefonisch informiert.
Wegen der Schwere der Lücken hat das PHP-Team ausnahmsweise dennoch eine Notfallkorrektur für einige ältere Versionen bereitgestellt. Ein Glücksfall: Ohne sie hätte nur eine Aktualisierung der gesamten Anwendung samt PHP-Version geholfen. Das ist in wenigen Stunden nicht zu schaffen, den betroffenen Seiten hätte eine Abschaltung auf unbestimmte Zeit gedroht.
Warum Updates kein Selbstzweck sind
Zwischen der ersten Ankündigung und dem offiziellen Update lag ungefähr ein Tag. Für ein aktuelles System reicht das, denn das Update ist eine Routineaufgabe. Für ein veraltetes System reicht es nicht. Eine neue PHP-Version setzt voraus, dass auch die Anwendung sie unterstützt. Ist sie zu alt, steht zuerst ein Update von Pimcore, Shopware oder der Eigenentwicklung an: ein eigenes Projekt mit Planung, Anpassungen und Tests. Im Ernstfall ist das zu umfangreich, um rechtzeitig zu reagieren.
Updates haben ein Sichtbarkeitsproblem: Sie bringen nicht immer neue Funktionen, und die Website sieht danach oft aus wie vorher. Dass im Alltag neue Features oft Vorrang bekommen, ist deshalb gut nachvollziehbar. Sichtbar wird ihr Wert erst an einem Tag wie dem 21. Oktober: die Möglichkeit, eine Sicherheitslücke in kürzester Zeit zu schließen, statt die Website abzuschalten. Und eine gepflegte Plattform ist eine, die Sie weiterentwickeln können, statt Notfälle zu verwalten.
Regelmäßige Pflege hat bei uns zwei Teile. Kleinere Updates spielen wir laufend ein, über ein monatliches Stundenkontingent für Wartung und Updates im Rahmen einer Agenturleistungsvereinbarung. Große Versionssprünge, etwa auf eine neue Version von Pimcore Platform, planen wir gemeinsam mit Ihnen als eigenes Vorhaben. Rechtzeitig, bevor die alte Version ihren Support verliert. Mehr zu unserer Entwicklungsarbeit lesen Sie unter Build.
Der nächste Stichtag steht schon fest: PHP 8.2 bekommt ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr. Systeme, die am 21. Oktober noch problemlos ein Update bekommen haben, stehen dann dort, wo die älteren Systeme an diesem Tag standen. Wer jetzt plant, hat dafür noch gut zwei Monate Zeit.
Warum viele unserer Kund:innen online blieben
Die Pimcore- und Shopware-Plattformen unserer Hosting-Kund:innen laufen auf unserer eigenen Infrastruktur, einem Kubernetes-Cluster in europäischen Rechenzentren. Wir kümmern uns dort um den gesamten Betrieb, einschließlich der Sicherheitsupdates für PHP. Bei einer Lücke wie PHP2Shell müssen unsere Kund:innen also nicht selbst aktiv werden. Wir stellen die korrigierten Versionen bereit und spielen sie ein, ohne die Website dafür vom Netz zu nehmen. Für viele der von uns gehosteten Websites war so am 21. Oktober ein unterbrechungsfreier Betrieb möglich, während andernorts Seiten vorsorglich abgeschaltet wurden.
Die Grenze liegt dort, wo die Anwendung selbst zu alt ist. Dann bleibt auch dem besten Betrieb nur die Abschaltung. Deshalb gehören Betrieb und Pflege für uns zusammen. Wie wir Plattformen betreiben, lesen Sie unter Run.
Wie aktuell ist Ihre Plattform?
Wenn Sie wissen möchten, wie Ihr System nach dem 21. Oktober dasteht, sprechen wir gern mit Ihnen. Im Gespräch schauen wir gemeinsam auf den Update-Stand Ihrer Plattform. Wir klären, was bis zum Supportende von PHP 8.2 ansteht, und besprechen, wie die laufende Pflege bei Ihnen aussehen kann.
