Zwei kritische Schwachstellen in PHP haben am 21. Oktober 2026 weltweit für Aufsehen gesorgt. Behörden, Universitäten und Kliniken nahmen teilweise ihre Webseiten vorsorglich vom Netz. Bei den von der AF-mediaGROUP betreuten Kundensystemen kam es dagegen zu keinem Ausfall: Unsere IT hatte die notwendigen Sicherheitsupdates bereits um 15:42 Uhr eingespielt.

Was ist passiert?

PHP gehört zu den wichtigsten technischen Grundlagen des Internets. Die Programmiersprache wird serverseitig eingesetzt und bildet die Basis für zahlreiche Content-Management-Systeme (CMS) wie WordPress, TYPO3 oder Joomla sowie für individuelle E-Commerce-Lösungen.

Am 21. Oktober 2026 wurden unter der Bezeichnung „PHP2Shell“ zwei kritische Schwachstellen veröffentlicht (CVE-2026-109618 und CVE-2026-109619).

Das Gefährliche daran: Die Lücken ermöglichen es Angreifern unter bestimmten Voraussetzungen, ohne vorherige Anmeldung eigenen Programmcode auf einem betroffenen Server auszuführen (Remote Code Execution). Damit besteht die direkte Gefahr, Webseiten zu übernehmen, sensible Daten auszulesen oder die Infrastruktur für weitere Angriffe zu missbrauchen. Die PHP-Entwickler stuften das Update folglich als kritisch ein und riefen zur sofortigen Aktualisierung auf.

BSI stuft Bedrohung als außerordentlich hoch ein

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) reagierte umgehend und gab eine Cybersicherheitswarnung mit der Warnstufe 3 / Orange heraus. Das Risiko wurde als außerordentlich hoch bewertet.

Die Bedrohungslage war so akut, dass zahlreiche öffentliche Einrichtungen – darunter Universitäten, Kommunalverwaltungen und Kliniken – ihre Online-Portale vorsorglich vom Netz nahmen. Für Unternehmen verdeutlicht dieser Vorfall eindringlich: Ein professionelles und kontinuierliches IT-Management ist keine Option, sondern existenzentiell.

Das kritische Zeitfenster: Warum Schnelligkeit entscheidet

Eine Sicherheitslücke führt nicht zwangsläufig sofort zu einem Schaden – entscheidend ist das Zeitfenster zwischen der Veröffentlichung und dem Einspielen des Patches. Sobald technische Details bekannt sind, beginnen nicht nur Sicherheitsforscher, sondern auch automatisierte Angreifer-Bots weltweit mit der Suche nach ungepatchten Systemen.

Ein System einmalig sauber aufzusetzen, reicht daher längst nicht mehr aus. Professioneller Betrieb erfordert permanente Überwachung, proaktive Wartung und die Fähigkeit, in Minuten zu reagieren.

Unsere IT war vorbereitet

Die Veröffentlichung der offiziellen PHP-Patches war ursprünglich für 16:00 Uhr angekündigt. Unsere IT-Experten hatten die Lage jedoch schon Stunden zuvor im Blick und überwachten die Release-Kanäle fortlaufend. Als die Patches vorab bereitgestellt wurden, handelten wir sofort:

• 15:42 Uhr: Erfolgreiche Installation aller Sicherheitsupdates auf den betreuten Kundensystemen.
• Ergebnis: Keine Abschaltung, keine Unruhe, null Downtime und keinerlei Einschränkungen für Webseitenbesucher.

Während andere Organisationen ihre Systeme aus Sicherheitsgründen vom Netz trennen mussten, lief der Geschäftsbetrieb unserer Kunden nahtlos weiter.

IT-Sicherheit beginnt vor dem Notfall

Viele Unternehmen beschäftigen sich erst mit IT-Sicherheit, wenn der Bildschirm weiß bleibt oder Daten entwendet wurden. Unser Ansatz bei der AF-mediaGROUP ist ein anderer: Wir handeln, bevor aus einer Schwachstelle ein Problem wird. Dazu gehören:

• Fortlaufende Überwachung der eingesetzten Server- und CMS-Komponenten
• Regelmäßige Wartungs- und Patch-Zyklen
• Gezielte Sicherheitsmaßnahmen auf Serverebene
• Kontinuierliches Screening von Sicherheitsmeldungen (Threat Intelligence)

Eine moderne Unternehmenswebseite ist kein statisches Produkt. CMS, Datenbanken, Plugins und Schnittstellen entwickeln sich ständig weiter – genauso wie die Angriffsmethoden. Wartung und Monitoring gehören daher zwingend zum Launch dazu.

Unser Versprechen:

Unsere Kunden sollen sich voll und ganz auf ihr Tagesgeschäft konzentrieren können – während wir im Hintergrund dafür sorgen, dass die Technik sicher läuft.

echt.ehrlich.emotional. – und technisch immer einen Schritt voraus.

Weiterführende Informationen

• BSI-Warnung: Das Bundesamt für Sicherheit in der Informationstechnik hat zu den PHP-Lücken eine offizielle Warnung herausgegeben.
• Medienberichte: Auch Formate wie die Tagesschau berichteten am 21. Oktober 2026 ausführlich über die globalen Auswirkungen von PHP2Shell.

Unsicher, wie es um die Sicherheit Deiner Website steht?

Lass uns gemeinsam prüfen, ob Deine Systeme aktuell und geschützt sind.