Am Mittwoch, 21. Oktober 2026, sorgten zwei kritische Sicherheitslücken in PHP weltweit für grosse Aufregung. PHP ist eine der meistverbreiteten Programmiersprachen im Internet und bildet die Grundlage unzähliger Websites, Webshops und Webapplikationen, darunter beliebte CMS-Systeme wie WordPress und Drupal sowie Anwendungen, die auf PHP-Frameworks wie Symfony und Laravel basieren.

Die unter dem Namen PHP2Shell bekannt gewordenen Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) gehören zu den schwerwiegendsten Schwachstellen, die bisher im PHP-Kern entdeckt wurden. Sie ermöglichen es Angreifern unter bestimmten Voraussetzungen, ohne Zugangsdaten eigenen Programmcode auf betroffenen Webservern auszuführen (Remote Code Execution, RCE) oder sensible Daten aus dem Arbeitsspeicher auszulesen. Besonders kritisch: Die Schwachstellen befinden sich direkt in PHP und sind damit unabhängig von allfälligen Sicherheitslücken in den darauf betriebenen Websites oder Applikationen.

Die Entdeckung sorgte für ein aussergewöhnlich grosses Medienecho und stellte Hosting-Anbieter weltweit vor grosse Herausforderungen. Hinzu kommt eine neue Dimension der Bedrohung durch künstliche Intelligenz: Moderne KI-Modelle ermöglichen es Sicherheitsforschern, aber potenziell auch Angreifern, selbst hochkomplexe Sicherheitslücken wesentlich schneller auszunutzen, als dies noch vor wenigen Monaten möglich gewesen wäre. Genau solche KI-Modelle spielten auch bei der Entdeckung und Analyse von PHP2Shell eine entscheidende Rolle.

Weitere Informationen finden sich in der offiziellen Sicherheitsmitteilung von PHP.net. Für technisch Interessierte empfehlen wir zudem den ausführlichen Hintergrundbericht der Sicherheitsforscher von Wiz: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet.

Unsere Schutzmassnahmen und der zeitliche Ablauf

Bereits vor der Veröffentlichung der Sicherheitsupdates war klar, dass besondere Vorsicht geboten ist. Da zu diesem Zeitpunkt noch keine Patches zur Verfügung standen und das genaue Ausmass der Sicherheitslücken noch nicht vollständig bekannt war, haben wir uns für ein mehrstufiges, vorsorgliches Vorgehen entschieden. Über die getroffenen Massnahmen und deren Verlauf haben wir unsere Kunden laufend in unserer Statusmeldung vom 21. Oktober 2026 informiert.

• 14:50 Uhr: Aktivierung von Geo-Fencing auf sämtlichen Webservern. Damit wurde der Zugriff vorübergehend auf die Schweiz (CH), Liechtenstein (LI) und Österreich (AT) beschränkt. Sämtlicher Web-Traffic aus anderen Ländern wurde blockiert.
• 16:00 Uhr: Vorsorgliche Abschaltung sämtlicher Webserver, um bis zur Installation der Sicherheitsupdates jegliches Risiko durch eingehende Web-Anfragen auszuschliessen.
• 16:00–16:20 Uhr: Veröffentlichung der korrigierten PHP-Versionen durch das PHP-Projekt und kurz darauf Bereitstellung der entsprechenden Debian-Pakete.
• 16:20–16:45 Uhr: Aktualisierung und anschliessende Überprüfung sämtlicher Webserver mit den neuen PHP-Versionen.
• 16:46 Uhr: Vollständige Wiederinbetriebnahme aller Webserver und gleichzeitige Aufhebung sämtlicher Geo-Fencing-Einschränkungen.

Auf allen unseren Webservern wurden sämtliche unterstützten PHP-Versionen auf die folgenden Sicherheitsreleases aktualisiert:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Besonders erfreulich war, wie schnell wir unsere Systeme wieder vollständig online bringen konnten. Einen wesentlichen Beitrag dazu leistete DEB.SURY.ORG, das Debian-Paketrepository von Ondřej Surý. Die gepatchten PHP-Pakete standen bereits kurz nach der offiziellen Veröffentlichung durch php.net zur Verfügung. Dadurch konnten wir unmittelbar mit den Updates beginnen und sämtliche Webserver innerhalb von weniger als einer Stunde wieder sicher in Betrieb nehmen.

Andere grosse Hosting-Anbieter und Online-Dienstleister mussten ihre Dienste deutlich länger offline halten. So blieb beispielsweise der Schweizer Hoster cyon mit zahlreichen Webhosting-Diensten bis um 04:00 Uhr morgens offline, da die benötigten, auf die eigene Infrastruktur abgestimmten Sicherheitsupdates erst später verfügbar waren. Auch der Schweizer Business-Software-Anbieter bexio musste seine Dienste vorsorglich abschalten und konnte den Betrieb erst am Donnerstagmorgen um 07:57 Uhr wieder vollständig aufnehmen.

Aus unserer Sicht haben wir mit den frühzeitigen Schutzmassnahmen und der vorübergehenden Abschaltung die notwendige Vorsicht walten lassen, gleichzeitig aber die Einschränkungen für unsere Kunden auf ein Minimum reduzieren können.

Seit dem 21. Oktober 2026 um 16:46 Uhr sind sämtliche Webserver von Onlime wieder uneingeschränkt erreichbar und die betroffenen PHP-Versionen vollständig gepatcht. Für unsere Hosting-Kunden sind keine weiteren Massnahmen erforderlich.

Wir bedanken uns bei allen Kunden für das Verständnis während dieser aussergewöhnlichen Situation und ganz besonders bei den PHP-Entwicklern, Sicherheitsforschern und Ondřej Surý für die rasche Bereitstellung der Sicherheitsupdates.

Update vom 22. Oktober 2026, 15:38 Uhr

Wir haben heute sämtliche Webserver zusätzlich einem umfassenden Incident Review unterzogen. Dabei haben wir sämtliche verfügbaren Logfiles rückwirkend bis zum 17. Oktober auf verdächtige Scan-Aktivitäten und Exploit-Versuche untersucht. Obwohl wir entsprechende Aktivitäten feststellen konnten, fanden wir keinerlei Hinweise auf eine erfolgreiche Ausnutzung der PHP-Sicherheitslücken auf unseren Webservern.