PHP2Shell – was ist zu tun?

,

PHP2Shell: Kritische Lücke in PHP – was Website- und Shop-Betreiber jetzt tun müssen

Oberberg-Online Informationssysteme GmbH · 22. Oktober 2026

Kurzfassung: In der Programmiersprache PHP wurden zwei schwere Sicherheitslücken entdeckt. Betroffen sind unzählige Websites, Onlineshops und Unternehmensanwendungen. Patches sind seit dem 21. Oktober verfügbar und sollten sofort installiert werden. Wer PHP-Versionen betreibt, für die es keine Updates mehr gibt, hat ein ernstes Problem.
Bei Oberberg-Online Wartungskunden wurden direkt nach Erscheinen die Patches eingespielt.

Worum geht es?

PHP ist die Technik hinter einem großen Teil des Internets, von WordPress-Seiten über Shopsysteme bis zu Kundenportalen und Fachanwendungen. Zwei Schwachstellen (CVE-2026-109618 und CVE-2026-109619) erlauben es nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI), aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen. Beide Lücken erreichen auf der gängigen Bewertungsskala (CVSS) den Wert 9,2 von 10. Laut BSI sind weder eine Anmeldung noch eine Nutzerinteraktion für die Ausnutzung erforderlich.

Das bedeutet: Ein Angreifer muss kein Passwort kennen und niemanden zum Klicken bringen. Er schickt gezielt präparierte Anfragen an den Server und kann im schlimmsten Fall die Kontrolle übernehmen.

Warum der Name „PHP2Shell“?

Die Lücken werden in der Berichterstattung PHP2Shell genannt. Das soll laut BSI die Ähnlichkeit mit der Schwachstelle „Log4Shell“ zeigen. Log4Shell hat Ende 2021 weltweit Unternehmen in Alarm versetzt. Der Vergleich passt: Beide Lücken stecken in einer Basiskomponente, die fast überall im Einsatz ist, und beide lassen sich ohne Vorkenntnisse über das Netz ausnutzen.

Wie ernst ist die Lage?

Sehr ernst. Das BSI hat die Warnstufe „3 / Orange“ ausgerufen und das Risiko als außerordentlich hoch eingestuft. Mehrere Punkte verschärfen die Situation:

  • Fast alle Versionen betroffen. Nach Einschätzung von CERT-EU könnten sämtliche PHP-Versionen ab Version 5 betroffen sein. Auch heise berichtet, dass die Lücken in jeder PHP-Version seit PHP 5 enthalten sind.
  • Angriffe laufen bereits. Der Sicherheitsanbieter Patchstack berichtet von frühen Angriffen auf PHP-Systeme. Das BSI rechnete schon vor Veröffentlichung der Patches mit rascher Ausnutzung.
  • Nicht nur Websites. Laut heise können auch Router und NAS-Geräte betroffen sein, sofern darauf PHP läuft.
  • Kein Übergangstrick. Ein zunächst kursierender Behelf (die Abschaltung einer PHP-Funktion namens „upload progress“) gilt laut heise nach dem bisherigen Kenntnisstand als unwirksam. Manche Distributoren empfehlen die Abschaltung zusätzlich zum Update, aber nur als Ergänzung. Verlassen Sie sich nicht darauf.

Was kann im Ernstfall passieren?

Wer PHP-Code auf Ihrem Server ausführen kann, kann in der Regel:

  • Kundendaten, Bestellungen und Zugangsdaten auslesen,
  • Websites verändern oder Schadsoftware einschleusen (zum Beispiel Zahlungsdaten-Skimmer im Shop),
  • den Server für Spam, Angriffe auf Dritte oder Kryptomining missbrauchen,
  • sich im Firmennetz weiter ausbreiten und Ransomware vorbereiten.

Für Unternehmen kommen dann Meldepflichten nach DSGVO, Imageschaden und Betriebsunterbrechung hinzu.

Welche Versionen sind sicher?

Das PHP-Projekt hat am 21. Oktober korrigierte Versionen veröffentlicht: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Ihre PHP-Version Was zu tun ist
8.5, 8.4, 8.3, 8.2 Auf die oben genannte Fixversion aktualisieren (oder auf das Sicherheitsupdate Ihrer Linux-Distribution)
8.1 und älter (auch 7.x, 5.x) Vom PHP-Projekt gibt es keine Updates mehr. Möglich sind Migration auf eine unterstützte Version oder kommerzielle Backports (etwa über Anbieter wie TuxCare). Bis dahin besteht ein erhebliches Risiko

Die Versionsnummer allein sagt nicht immer, ob ein System gepatcht ist: Linux-Distributionen wie Ubuntu behalten ihre ursprüngliche Versionsnummer und liefern die Korrektur als Backport. Ob ein System sicher ist, zeigt der Paketstand der Distribution, nicht allein die Ausgabe von „php -v“.

Ihre Checkliste für heute

  1. Bestandsaufnahme: Wo läuft PHP? Webserver, Shop, Intranet, Fachanwendungen, Entwicklungs- und Testsysteme, Container, Hosting-Pakete, auch Router und NAS.
  2. Version prüfen: Und zwar die Version, die der Webserver tatsächlich nutzt. Sie kann von der Kommandozeilen-Version abweichen.
  3. Patchen: Fixversion oder Distributions-Update einspielen. Docker-Images neu bauen und ausrollen.
  4. Dienste neu starten: Nach dem Update müssen alle PHP-Prozesse neu gestartet werden, sonst läuft weiter der alte Code im Speicher.
  5. Bei Hosting-Paketen: Den Anbieter fragen, ob und wann gepatcht wurde, und das schriftlich festhalten.
  6. Auf Anzeichen eines Einbruchs prüfen: unbekannte PHP-Dateien in Webverzeichnissen, auffällige Prozesse oder Serverlast, geänderte Dateien, ungewöhnliche Zugriffe in den Logfiles seit Anfang der Woche.
  7. Nicht patchbare Systeme absichern: Wenn ein Update nicht sofort möglich ist, den Zugriff über Firewall oder Zugangsbeschränkung einschränken. Notfalls den Server vom Netz nehmen. Das ist laut ZDF-Bericht auch die Konsequenz des BSI für alle, die das Risiko nicht tragen wollen.
  8. Zugangsdaten rotieren, falls Anzeichen für eine Kompromittierung vorliegen (Datenbank-, FTP-, Admin- und API-Zugänge).

Besonders wichtig für Geschäftsführung und IT-Verantwortliche

  • Veraltete PHP-Versionen sind ein Geschäftsrisiko. Dieser Fall zeigt, was passiert, wenn für eine Kernkomponente keine Updates mehr erscheinen. Auch PHP 8.2 und 8.4 laufen laut Support-Plan Ende 2026 aus der regulären Wartung beziehungsweise Aktivphase. Planen Sie Migrationen rechtzeitig.
  • Dokumentation hilft. Wenn es zu einem Vorfall kommt, sind nachweisbare Patch-Zeitpunkte für Datenschutzbehörden, Versicherer und Kunden wichtig.
  • NIS-2 und Haftung: Wer unter NIS-2 fällt oder Dienstleister für solche Unternehmen ist, hat ohnehin Pflichten beim Schwachstellenmanagement.

So unterstützt Sie Oberberg-Online

Wir bieten Ihnen an:

  • eine Schnellprüfung, welche Ihrer Systeme PHP nutzen und ob sie betroffen sind,
  • das Einspielen der Updates und die Überprüfung nach dem Patch,
  • einen Kompromittierungs-Check (Dateien, Logs, Auffälligkeiten),
  • die Migration veralteter PHP-Anwendungen auf unterstützte Versionen,
  • Beratung zu dauerhaftem Patch-Management und Monitoring.

Kunden mit Wartungsvertrag müssen nichts tun: Wir haben die Patches bereits gestern  – direkt nach Veröffentlichung – eingespielt und die betroffenen Kunden darüber informiert. Alle anderen erreichen uns unter vertrieb@oberberg.net. Je früher Sie sich melden, desto besser, denn die Angreifer sind bereits unterwegs.

Quellen

  • BSI, Cybersicherheitswarnung „PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit“, 21.10.2026 (bsi.bund.de)
  • heise online, Berichterstattung zu PHP2Shell und den PHP-Updates vom 21.10.2026 (heise.de)
  • PHP-Projekt, Sicherheitshinweis und Release-Informationen vom 21.10.2026
  • CERT-EU, Security Advisory 2026-018
  • Artikel mit Hilfe von KI strukturiert
  • Artikelbild KI-generiert
/von

EPP, XDR, oder MDR? Was braucht Ihr Netz?

, ,

EPP, XDR oder MDR: Welche Sicherheitslösung passt zu Ihrem Unternehmen?

Cyberangriffe werden raffinierter, die Anforderungen an die IT-Sicherheit wachsen. Wer heute eine neue Schutzlösung sucht, stößt schnell auf drei Kürzel: EPP, XDR und MDR. Wir erklären, was dahintersteckt und wie Sie die richtige Wahl treffen.

Warum die Wahl der richtigen Lösung so wichtig ist

Ein Virenscanner allein reicht heute nicht mehr aus. Angreifer tarnen Schadsoftware, nutzen unbekannte Schwachstellen und bewegen sich oft über Wochen unbemerkt im Netzwerk. Gleichzeitig steigen die regulatorischen Anforderungen, Stichwort NIS-2. Viele Unternehmen fragen sich deshalb: Genügt klassischer Endgeräteschutz, oder brauche ich mehr?

Die Antwort hängt davon ab, wie viel Sicherheitsarbeit Ihr Team selbst leisten kann und will. Als IT-Systemhaus aus dem Oberbergischen und G DATA Platin-Partner beraten wir Sie gemeinsam mit unserem Partner G DATA CyberDefense AG zu allen drei Varianten.

Endpoint Protection (EPP): die solide Basis

Endpoint Protection ist der Grundbaustein des Endgeräteschutzes. Die Lösung erkennt und blockiert bekannte Bedrohungen direkt am einzelnen Gerät, ob Notebook, PC oder Server.

Für wen geeignet? Für Unternehmen, die über eigene IT-Kompetenz verfügen und Sicherheitsmeldungen selbst auswerten und bearbeiten können.

Auf den Punkt: EPP ist der Einstieg in strukturierte IT-Sicherheit, setzt aber voraus, dass Meldungen intern bewertet und Maßnahmen selbst umgesetzt werden.

Extended Detection and Response (XDR): Schutz über das einzelne Gerät hinaus

XDR gilt als Stand der Technik bei der Abwehr von Cyberangriffen. Statt nur das einzelne Gerät zu betrachten, überwacht ein Agent kontinuierlich alle Aktivitäten und Prozesse. So werden auch komplexe, mehrstufige Angriffe sichtbar, die ein klassischer Virenschutz übersehen würde.

Die Software erkennt und priorisiert Vorfälle. Die Analyse, Bewertung und Reaktion übernimmt Ihr eigenes Team. Alternativ unterstützen wir Sie hierbei sehr gerne. Das erfordert Know-how und Zeit, bietet Ihnen aber die volle Kontrolle.

Für wen geeignet? Für Unternehmen mit eigener IT-Abteilung oder Security-Verantwortlichen, die Angriffe nachvollziehen und gezielt darauf reagieren möchten.

Die Vorteile von G DATA XDR im Überblick

  • Endpunktübergreifender Schutz für ein deutlich höheres Schutzniveau
  • Einfache Bedienung durch priorisierte Meldungen
  • Zentrale Verwaltung aller Endpunkte im Browser
  • DeepRay® und BEAST: Technologien, die getarnte und bisher unbekannte Schadsoftware erkennen
  • Datenhaltung ausschließlich in deutschen Rechenzentren
  • NIS-2-Konformität

Erweiterbar nach Ihrem Bedarf

G DATA XDR lässt sich um vier optionale Module ergänzen:

Modul Nutzen
24/7 TAM Service Persönliche Unterstützung rund um die Uhr, damit die Lösung optimal eingesetzt wird
Mail Protection Blockiert gefährliche E-Mails, Phishing und Spam für Microsoft Exchange Online
Mobile Device Management Schützt iOS- und Android-Geräte zentral und einfach
Device Control Regelt, welche Geräte an Unternehmensrechner angeschlossen werden dürfen

So passen Sie den Schutz gezielt an Ihre Anforderungen an.

Managed Detection and Response (MDR): das Rundum-Sorglos-Paket

Nicht jedes Unternehmen kann oder will sich intensiv selbst um IT-Sicherheit kümmern. Genau hier setzt MDR an: Ein Managed Security Operations Center (SOC) überwacht Ihre Umgebung rund um die Uhr, analysiert Vorfälle und reagiert im Ernstfall. Sie profitieren von der Expertise eines spezialisierten Teams, ohne selbst Sicherheitsexperten vorhalten zu müssen. Man spricht in diesem Zusammenhang auch von Managed Extended Detection and Response (MXDR).

Für wen geeignet? Für Unternehmen ohne eigene Security-Ressourcen, die trotzdem ein hohes Schutzniveau und schnelle Reaktionszeiten wünschen, auch außerhalb der Geschäftszeiten.

Die Unterschiede auf einen Blick

EPP XDR MDR
Schutzumfang Einzelnes Endgerät Endpunktübergreifend, kontinuierliche Überwachung aller Aktivitäten und Prozesse Wie XDR, zusätzlich mit Expertenbetreuung
Erkennung Bekannte Bedrohungen Auch komplexe Angriffe und Angriffsketten Auch komplexe Angriffe und Angriffsketten
Analyse & Reaktion Durch Ihr Team Durch Ihr Team Durch das Managed SOC (24/7)
Eigener Aufwand Mittel Mittel bis hoch Gering
Geeignet für Unternehmen mit eigener IT, die Meldungen selbst bearbeiten Unternehmen mit Security-Know-how, die volle Kontrolle wünschen Unternehmen, die IT-Sicherheit auslagern möchten

Gemeinsam ist allen Lösungen: Sicherheit „Made in Germany“

Ob EPP, XDR oder MDR: Die Technologien von G DATA werden seit mehr als 4 Jahrzehnten vollständig in Deutschland entwickelt, garantiert ohne Hintertüren. G DATA trägt das Siegel „IT Security Made in Germany“ und steht für Transparenz, Vertrauen und digitale Souveränität. Für Unternehmen, die besonderen Wert auf Datenschutz und persönliche Betreuung legen, ist das ein echter Mehrwert.

Welche Lösung ist die richtige für Sie?

Diese Fragen helfen bei der Orientierung:

  • Haben wir Mitarbeitende, die Sicherheitsmeldungen auswerten können? Wenn ja, sind EPP oder XDR eine gute Wahl.
  • Wollen wir Angriffe selbst nachvollziehen und steuern? Dann bietet XDR die nötige Transparenz.
  • Können wir eine Überwachung rund um die Uhr selbst leisten? Wenn nicht, ist MDR die sinnvolle Option.
  • Welche regulatorischen Anforderungen müssen wir erfüllen? Gerade bei NIS-2 lohnt sich eine individuelle Beratung.

Wir beraten Sie persönlich

Die perfekte Lösung gibt es nicht von der Stange. Als Oberberg-Online analysieren wir gemeinsam mit Ihnen Ihre Ausgangslage, Ihre Ressourcen und Ihre Anforderungen und empfehlen die Lösung, die wirklich zu Ihrem Unternehmen passt. Von der Einführung über die Konfiguration bis zum laufenden Betrieb stehen wir Ihnen als Ansprechpartner aus der Region zur Seite.

Sprechen Sie uns an: Wir freuen uns auf ein unverbindliches Beratungsgespräch.

Kontakt: www.oberberg.net

Weitere Informationen zu den Lösungen unseres Partners finden Sie auf der Website der G DATA CyberDefense AG. Artikel mit Hilfe von KI strukturiert, Titelbild KI-generiert.

/von

Wir und Ihr auf der it-sa 2026

,

Die diesjährige it-sa in Nürnberg naht – und damit die Frage, wen von Euch wir vor Ort sehen?

2026 sind wir als Mitaussteller am Stand unseres Partners ForeNova Technologies GmbH für Euch vor Ort. Ihr findet uns in Halle 6 am Stand 6-404 und wir haben da einen coolen Tipp für Euch, warum Ihr Euch unbedingt sehen lassen solltet:

Neben der 24/7 MDR Lösung mit SOC in Nürnberg, die alleine schon den Besuch rechtfertigen würde, gibt es ein interaktives Cyber-Defense-Game. Dabei gibt es natürlich auch etwas zu gewinnen.

Der Hauptpreis: 1 Jahr NovaMDR kostenfrei für Euer Unternehmen! Wenn das kein Knüller ist, wissen wir´s auch nciht mehr. Dazu gibt es natürlich weitere Gewinne.

 

Worum dreht es sich beim Game?

Ihr übernehmt eine Rolle, die ihr vermutlich bestens kennt: Ihr seid Chef eines Mittelständlers oder dessen IT-Verantwortliche:r im Kampf gegen aktuelle Cyberbedrohungen.
Aber keine Sorge, einen Simulator Eures Arbeitsalltags haben wir nicht parat. Herausfordern werden wir Euch trotzdem, denn für den tollen Hauptgewinn müsst Ihr schon aktiv werden. 😉

Wann geht es los? Die Tore öffnen am 27.10.26 und schließen am 29.10.26 wieder.
Wo findet Ihr uns? it-sa 2026, NürnbergMesse, Stand 6-404 (Halle 6)

Ihr braucht ein Ticket? Kein Problem, denn das bekommt Ihr von ForeNova und uns hier: kostenfreies Messeticket

Also auf geht´s nach Nürnberg in die Herzkammer der IT-Security! Wir freuen uns auf Euch.

Termin mit mir machen? Einfach Mail an zurawski (at) oberberg ( Punkt ) net

 

 

/von

TH Köln über unseren Gründer

,

Den Alumnus Christian Spiller bezeichnet die TH Köln als „Der Internetpionier in Oberberg“.

Das freut uns natürlich ausgesprochen, denn gemeint ist unser Gründer und geschäftsführender Gesellschafter, der vor 30 Jahren unser Unternehmen ans Licht der Welt gebracht hat. Ausgesprochen wertschätzend berichet der Artikel über den Start des Internets in Oberberg, als die Deutsche Telekom noch Bildschirmtext vermarktet hat.

Dass es uns auch nach so langer Zeit noch gibt zeigt, dass meist die richtigen und richtungsweisenden Entscheidungen getroffen wurden.

Oberberg-Online und Oberberg-Aktuell sind heute etablierte Marken und auch wenn einige frühere Geschäftsfelder nicht mehr bedient werden, wie z.B. die Erstellung von Webseiten, geht Oberberg-Online auch neue Wege.

So legen wir aktuell großes Augenmerk auf den Bereich KI und deren Einsatz in Unternehmen.
Etabliert ist der Bereich Security, der die komplette Bandbreite vom Endpunkt-Schutz, über 24/7 SOC, Einbruchs- und Angriffserkennung, Pen-Tests bis zu Notfallplänen abdeckt.
Aus der Gründungszeit gelten sichere Internetanbindungen und der Betrieb regionaler Rechenzentrums-Ressourcen (niemand braucht seine Daten an Unternehmen aus anderen Ländern zu geben) immer noch zu unseren Angeboten an die heimische Wirtschaft.

Mehr zur Story ist auf der Seite der TH Köln hier zu finden.

Die wichtigste Aussage des Artikels für unsere Mitarbeitenden und Kunden: Die Unternehmensnachfolge ist gesichert. Der zweite Absolvent der TH, Tim Spiller, ist bereits im Hause tätig.

Wann dürfen wir Sie kennenlernen? 02261 91550-50

/von