Zwei kritische Lücken in der Programmiersprache PHP haben weltweit Websites vom Netz gefegt, auch in der Schweiz. Für Versicherer, Broker und KMU stellt sich jetzt nicht die Frage, ob sie PHP nutzen, sondern wo. Denn die Antwort ist oft überraschender, als man denkt.
Kaum jemand ausserhalb der IT-Abteilung kennt PHP, und doch läuft ein Grossteil des Internets darauf: von WordPress, Joomla, Typo3 und Drupal bis zu Onlineshops, Kundenportalen und internen Verwaltungstools. Allein WordPress betreibt schätzungsweise 400 bis 500 Millionen Websites. Genau dieses Fundament ist seit dieser Woche angeschlagen. Unter dem Namen «PHP2Shell» kursieren zwei Schwachstellen im Kern der Sprache, registriert als CVE-2026-109618 und CVE-2026-109619. Sie erlauben Angreifern, ohne Anmeldung aus der Ferne eigenen Code auf dem Server auszuführen. Im Klartext: Website übernehmen, Datenbanken abziehen, Kundendaten abgreifen, Infrastruktur für weitere Angriffe missbrauchen.
Ein Leak, der die Uhr laufen liess
Brisant ist nicht nur die Lücke selbst, sondern die Reihenfolge der Ereignisse. Der Name PHP2Shell geht auf ein Exploit-Tool zurück, von dem mit einem Leak am 20. Oktober 2026 ein Screenshot auftauchte, bevor ein Patch (Sicherheitslücke beheben) existierte. Die gepatchten Versionen erschienen am 21. Oktober um 16 Uhr Schweizer Zeit. Beide Lücken sind mit einem CVSS-Wert von 9.2 bewertet, also nahe am Maximum. Inzwischen ist die Lage ernst: Das RUS-CERT der Universität Stuttgart meldet öffentlich verfügbare Exploits, hat einen davon nach eigenen Angaben verifiziert und berichtet von bereits beobachteten Angriffen. Das deutsche BSI stuft das Risiko mit Warnstufe «3 / Orange» als ausserordentlich hoch ein.
Die Schweiz ist mittendrin
Wer glaubte, es handle sich um ein deutsches Problem, wurde rasch eines Besseren belehrt. Das Bundesamt für Cybersicherheit (BACS) stuft die beiden Lücken als kritisch ein und fordert alle Betreiber von Websites und Online-Diensten auf, das Update sofort einzuspielen. Betroffen waren unter anderem der Basler Hoster Cyon und die Universität Basel. Auch die Universität Genf und die ETH Lausanne nahmen Seiten zeitweise vom Netz, ebenso verschiedene Hosting-Anbieter; der Kanton Basel-Stadt fuhr seine Websites vorsorglich herunter.
Bemerkenswert ist der Hinweis des BACS, der weit über die klassische Firmenwebsite hinausreicht: PHP könne auch in Verwaltungsoberflächen, internen Fachanwendungen, Hosting-Plattformen, Containern oder Appliances stecken, und den Betreibern sei nicht immer bekannt, dass ein Produkt im Hintergrund PHP verwende. Für eine Branche, deren Vermittler, Agenturen und Kundenportale oft auf eingekauften Lösungen laufen, ist das der eigentliche Weckruf.
Bin ich betroffen?
Die ehrliche Antwort: Wer eine eigene oder gemietete Website betreibt, sollte davon ausgehen, bis das Gegenteil bewiesen ist. Betroffen sind alle Versionen vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12; sicher sind genau diese vier Versionen und jede spätere. Wie PHP auf dem Server eingebunden ist, spielt keine Rolle; das höchste Risiko sieht das PHP-Team bei Apache mit mod_php. Die PHP-Version lässt sich im Admin-Bereich des Hosters oder bei der IT erfragen. Aber Vorsicht vor Kurzschlüssen: Das BACS hält fest, dass die Hauptversion allein nichts darüber aussagt, ob ein Patch fehlt, weil Linux-Distributionen eigene, gepatchte Pakete ausliefern.
Etwas entspannter dürfen Nutzer von Baukasten-Systemen sein. Websites auf gehosteten Plattformen wie Shopify, Wix oder Squarespace sind in der Regel nicht direkt betroffen, weil der Anbieter die Server selbst betreibt und aktualisiert. Für normale Internetnutzer besteht ohnehin kein direkter Handlungsbedarf, die Lücke sitzt auf den Servern, nicht auf Smartphone oder Laptop. Indirekt betroffen sein kann man trotzdem, wenn Daten über eine ungeschützte Website abfliessen.
Was jetzt sofort zu tun ist
Erster Schritt: Hoster, IT-Dienstleister oder Systemadministratorin anrufen, nicht mailen. Zweiter Schritt: aktualisieren. Die einzige vollständige Abhilfe ist das Update auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 und danach ein Neustart aller PHP-Prozesse. Der Neustart ist kein Detail: Ein Prozess, der vor dem Update gestartet wurde, arbeitet weiter mit dem alten Code im Arbeitsspeicher. Ebenso wenig hilft der Reflex, rasch WordPress und alle Plugins zu aktualisieren. Die Lücken liegen in PHP selbst; ein Update von Plugins oder Themes behebt das Problem nicht.
Heikel wird es für alle, die auf veralteter Technik sitzen. Für PHP 8.1 und älter liefert das PHP-Projekt keine Updates mehr, nur minimale Quellcode-Backports für 7.4, 8.0 und 8.1, die sich an Betreiber richten, die PHP selbst kompilieren. Das BACS empfiehlt in diesem Fall, auf eine unterstützte Version zu wechseln. Und wer schon dabei ist: PHP 8.2 erhält laut php.net nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wo kein Update möglich ist, bleibt die unbequeme Lösung, die auch die Behörden nennen: den Server vorübergehend vom Netz nehmen. Eine Web Application Firewall allein genügt laut BACS nicht.
Dritter Schritt, und der wird gern vergessen: nachschauen, ob schon jemand im Haus war. Das BACS ruft dazu auf, betroffene Systeme auch ausserhalb der Website zu erfassen und nach Spuren eines Angriffs zu suchen. Bei Verdacht auf Kompromittierung gilt: Website vom Netz nehmen, Logs als Beweis sichern, alle Zugangsdaten und Schlüssel ändern.
Die Versicherungsfrage
Für Unternehmen mit Cyberdeckung lohnt sich jetzt ein Blick in die Police, bevor etwas passiert. Viele Bedingungen knüpfen den Versicherungsschutz an angemessene Sicherheitsmassnahmen und zeitnahes Patchen bekannter Lücken. Wer einen Angriffsverdacht hat, sollte den Versicherer früh informieren, die meisten bieten Incident-Response-Hotlines genau für solche Momente. Hinzu kommen die gesetzlichen Pflichten: Betreiber kritischer Infrastrukturen müssen Cyberangriffe innert 24 Stunden dem BACS melden, und wo Personendaten abgeflossen sein könnten, greift die Meldepflicht an den EDÖB nach revidiertem Datenschutzgesetz. Für Broker gilt doppelt: Sie betreiben selbst Websites und Portale, und ihre KMU-Kunden erwarten gerade jetzt Orientierung statt Fachjargon.
Das eigentliche Lehrstück
PHP2Shell ist nicht die erste Lücke dieser Grössenordnung und wird nicht die letzte sein. Das Lehrreiche daran ist weniger die Technik als die Organisation: Wer nicht weiss, welche Software in welchen Systemen läuft, kann im Ernstfall nicht in Stunden reagieren. Ein aktuelles Inventar der eigenen IT, klare Zuständigkeiten beim Dienstleister und ein geübter Notfallplan sind keine Kür, sondern Risikomanagement. Die Maschinen wurden in Rekordzeit gepatcht. Ob sie rechtzeitig aktualisiert werden, entscheiden Menschen.
Binci Heeb
Lesen Sie auch: Cyberversicherungen wachsen – doch bei KMU klaffen weiter grosse Lücken
Suche:
Sponsoren:
