PHP2Shell: Wie Schweizer Hoster reagiert haben

Meine Kunden haben ihre Websites bei verschiedenen Schweizer Hosting-Anbietern. Deshalb konnte ich am 21. und 22. Oktober 2026 live verfolgen, wie die grösseren Schweizer Hoster auf die kritische PHP-Sicherheitslücke reagiert haben.

Aus Interesse habe ich verglichen, wie schnell die Anbieter reagiert und welche Massnahmen sie ergriffen haben. In der Schweiz betreiben auch viele Informatik-Unternehmen eigene Infrastruktur. Als Beispiel dafür habe ich HL Informatik dazugenommen.

Was ist passiert?

PHP ist eine weit verbreitete Programmiersprache, auf der rund 70 Prozent aller Websites basieren (SRF). Darauf laufen unter anderem Content-Management-Systeme wie WordPress, Joomla oder TYPO3.

Zwei kritische Lücken im PHP-Kern (CVE-2026-109618 und CVE-2026-109619, genannt «PHP2Shell») erlaubten es Angreifern, ohne Login Code auf Webservern auszuführen. Der Patch kam am 21. Oktober 2026 kurz vor 16 Uhr.

• Wie lange gab es die Lücke? Betroffen sind alle PHP-Versionen ab 5.4 bis 8.5.11 (Google Cloud). PHP 5.4 erschien bereits 2012.
• Wer hat sie entdeckt? Sicherheitsforscher von Calif und Wiz entdeckten die Lücke unabhängig voneinander mit Hilfe von KI von OpenAI und Google, bereits im August 2026, und meldeten sie an das PHP-Projekt (BSI, Calif, Wiz).
• Wann wurde informiert? Geplant war eine koordinierte Veröffentlichung: Patch und Details sollten am Donnerstag, 22. Oktober, gemeinsam erscheinen. Am 20. Oktober verriet ein Nutzer im Diskussionsforum Hacker News die bevorstehende Veröffentlichung (BleepingComputer). Noch am selben Tag kündigte das PHP-Team das Notfall-Update für den 21. Oktober an (php.net).
• Grösstes Risiko: Übernahme ganzer Server ohne Zugangsdaten, vom PHP-Team mit 9.2 von 10 Punkten bewertet (CVSS) (PHP). Cloudflare beobachtete bereits Angriffe auf seine Kunden und schützte diese ab dem 21. Oktober um 05:02 Uhr, Stunden vor dem Patch (Cloudflare).
• Empfehlung der Experten: Sofort updaten. Wer das nicht kann, soll betroffene Systeme vorübergehend vom Netz nehmen. So rieten das BACS, das BSI (Warnstufe Orange) und CERT-EU.
• Der Patch: Am 21. Oktober um ca. 16 Uhr erschienen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es kein offizielles Update, nur Quellcode-Korrekturen für Hoster und Distributionen.

Wie die Schweizer Anbieter reagiert haben

Hostpoint war nach rund 1,5 Stunden durch, die letzten Anbieter brauchten bis zum Mittag des 22. Oktober, also knapp 21 Stunden. Sortiert nach Abschluss des Patches.

Die Daten stammen aus den Statusseiten und den E-Mails der Anbieter. Gut möglich, dass mir nicht alle E-Mails der Anbieter vorliegen, weil ich nicht bei allen Kunde bin oder Kunden habe.

Anbieter betreiben oft viele Server. Gut möglich, dass ein Grossteil davon schon früher gepatcht war, die Arbeit inklusive Kontrolle aber erst bei Abschluss kommuniziert wurde. Zudem kamen die angepassten Pakete für bestimmte Systeme (CloudLinux) erst in der Nacht, und einige Anbieter haben schlicht mehr Server als andere.

Ein grosses Dankeschön an alle, die in dieser Nacht eine Nachtschicht eingelegt haben.

Mit welchem Anbieter fuhr man am besten?

Positiv überrascht hat mich Hostpoint: Rund 90 Minuten nach dem Release waren alle Server aktualisiert, ohne dass eine einzige Website offline ging.

Ebenfalls stark war HL Informatik. Als KMU-Informatikunternehmen hat HLI die Server schon vor dem Release vom Netz genommen und den Haupt-Webserver nach rund drei Stunden wieder online gebracht.

Aus der Kommunikation geht aber hervor, dass alle genannten Schweizer Hosting Anbieter sehr gut und wohl so schnell wie möglich reagiert haben. Etwas erstaunt hat mich nur Green.ch: Die erste Information kam dort scheinbar erst um 18:04 Uhr, also rund zwei Stunden nach dem Release, ohne vorherige Orientierung.

Schlusswort

1. KI wird noch weitere Lücken finden. PHP2Shell wurde mit KI-Unterstützung entdeckt, und das war wohl nicht das letzte Mal. Froh sein können wir, wenn solche Werkzeuge von gutmütigen und nicht von bösartigen Menschen gesteuert werden.
2. Updates betreffen nicht nur PHP. Auch Websites auf Basis von WordPress oder anderen Systemen müssen mitsamt Plugins und Themes laufend aktuell gehalten werden.
3. Ich bin froh, keine eigenen Server zu betreiben. Mit Shared Hostings und gemanagten Cloud-Servern lag das Patchen beim Hoster. Wer einen selbst verwalteten Server betreibt, musste sich in dieser Nacht selbst darum kümmern.

Dieser Beitrag wurde mit Hilfe von KI recherchiert und zusammengestellt.