--- title: 'PHP2Shell: Kritische PHP-Sicherheitsupdates erfolgreich eingespielt' slug: php2shell-kritische-php-sicherheitsupdates date: '2026-10-22' tags: [Infrastructure, PHP, Security] image: 'https://www.onlime.ch/uploads/1792534907-img_7274.png' --- Am Mittwoch, 21. Oktober 2026, sorgten zwei kritische Sicherheitslücken in PHP weltweit für grosse Aufregung. PHP ist eine der meistverbreiteten Programmiersprachen im Internet und bildet die Grundlage unzähliger Websites, Webshops und Webapplikationen, darunter beliebte CMS-Systeme wie WordPress und Drupal sowie Anwendungen, die auf PHP-Frameworks wie Symfony und Laravel basieren. Die unter dem Namen **PHP2Shell** bekannt gewordenen Sicherheitslücken ([CVE-2026-109618](https://nvd.nist.gov/vuln/detail/CVE-2026-109618) und [CVE-2026-109619](https://nvd.nist.gov/vuln/detail/CVE-2026-109619)) gehören zu den schwerwiegendsten Schwachstellen, die bisher im PHP-Kern entdeckt wurden. Sie ermöglichen es Angreifern unter bestimmten Voraussetzungen, ohne Zugangsdaten eigenen Programmcode auf betroffenen Webservern auszuführen (*Remote Code Execution*, RCE) oder sensible Daten aus dem Arbeitsspeicher auszulesen. Besonders kritisch: Die Schwachstellen befinden sich direkt in PHP und sind damit unabhängig von allfälligen Sicherheitslücken in den darauf betriebenen Websites oder Applikationen. Die Entdeckung sorgte für ein aussergewöhnlich grosses Medienecho und stellte Hosting-Anbieter weltweit vor grosse Herausforderungen. Hinzu kommt eine neue Dimension der Bedrohung durch künstliche Intelligenz: Moderne KI-Modelle ermöglichen es Sicherheitsforschern, aber potenziell auch Angreifern, selbst hochkomplexe Sicherheitslücken wesentlich schneller auszunutzen, als dies noch vor wenigen Monaten möglich gewesen wäre. Genau solche KI-Modelle spielten auch bei der Entdeckung und Analyse von PHP2Shell eine entscheidende Rolle. Weitere Informationen finden sich in der [offiziellen Sicherheitsmitteilung von PHP.net](https://www.php.net/archive/2026.php#2026-10-21-5). Für technisch Interessierte empfehlen wir zudem den ausführlichen Hintergrundbericht der Sicherheitsforscher von Wiz: [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce). ### Unsere Schutzmassnahmen und der zeitliche Ablauf Bereits vor der Veröffentlichung der Sicherheitsupdates war klar, dass besondere Vorsicht geboten ist. Da zu diesem Zeitpunkt noch keine Patches zur Verfügung standen und das genaue Ausmass der Sicherheitslücken noch nicht vollständig bekannt war, haben wir uns für ein mehrstufiges, vorsorgliches Vorgehen entschieden. Über die getroffenen Massnahmen und deren Verlauf haben wir unsere Kunden laufend in unserer [Statusmeldung vom 21. Oktober 2026](https://www.onlime.ch/statusmessages/critical-php-security-release) informiert. - **14:50 Uhr:** Aktivierung von Geo-Fencing auf sämtlichen Webservern. Damit wurde der Zugriff vorübergehend auf die Schweiz (CH), Liechtenstein (LI) und Österreich (AT) beschränkt. Sämtlicher Web-Traffic aus anderen Ländern wurde blockiert. - **16:00 Uhr:** Vorsorgliche Abschaltung sämtlicher Webserver, um bis zur Installation der Sicherheitsupdates jegliches Risiko durch eingehende Web-Anfragen auszuschliessen. - **16:00–16:20 Uhr:** Veröffentlichung der korrigierten PHP-Versionen durch das PHP-Projekt und kurz darauf Bereitstellung der entsprechenden Debian-Pakete. - **16:20–16:45 Uhr:** Aktualisierung und anschliessende Überprüfung sämtlicher Webserver mit den neuen PHP-Versionen. - **16:46 Uhr:** Vollständige Wiederinbetriebnahme aller Webserver und gleichzeitige Aufhebung sämtlicher Geo-Fencing-Einschränkungen. Auf allen unseren Webservern wurden sämtliche unterstützten PHP-Versionen auf die folgenden Sicherheitsreleases aktualisiert: - PHP 8.5.12 - PHP 8.4.27 - PHP 8.3.36 - PHP 8.2.35 **Besonders erfreulich war, wie schnell wir unsere Systeme wieder vollständig online bringen konnten.** Einen wesentlichen Beitrag dazu leistete [DEB.SURY.ORG](https://deb.sury.org/), das Debian-Paketrepository von Ondřej Surý. Die gepatchten PHP-Pakete standen bereits kurz nach der offiziellen Veröffentlichung durch php.net zur Verfügung. Dadurch konnten wir unmittelbar mit den Updates beginnen und sämtliche Webserver innerhalb von weniger als einer Stunde wieder sicher in Betrieb nehmen. Andere grosse Hosting-Anbieter und Online-Dienstleister mussten ihre Dienste deutlich länger offline halten. So blieb beispielsweise der Schweizer Hoster [cyon](https://status.cyon.info/index.php/incidents/711) mit zahlreichen Webhosting-Diensten bis um 04:00 Uhr morgens offline, da die benötigten, auf die eigene Infrastruktur abgestimmten Sicherheitsupdates erst später verfügbar waren. Auch der Schweizer Business-Software-Anbieter [bexio](https://www.bexio-status.com/incidents/5y05v6625ylw) musste seine Dienste vorsorglich abschalten und konnte den Betrieb erst am Donnerstagmorgen um 07:57 Uhr wieder vollständig aufnehmen. Aus unserer Sicht haben wir mit den frühzeitigen Schutzmassnahmen und der vorübergehenden Abschaltung die notwendige Vorsicht walten lassen, gleichzeitig aber die Einschränkungen für unsere Kunden auf ein Minimum reduzieren können. Seit dem 21. Oktober 2026 um 16:46 Uhr sind sämtliche Webserver von Onlime wieder uneingeschränkt erreichbar und die betroffenen PHP-Versionen vollständig gepatcht. Für unsere Hosting-Kunden sind keine weiteren Massnahmen erforderlich. Wir bedanken uns bei allen Kunden für das Verständnis während dieser aussergewöhnlichen Situation und ganz besonders bei den PHP-Entwicklern, Sicherheitsforschern und Ondřej Surý für die rasche Bereitstellung der Sicherheitsupdates. --- ### Update vom 22. Oktober 2026, 15:38 Uhr Wir haben heute sämtliche Webserver zusätzlich einem umfassenden Incident Review unterzogen. Dabei haben wir sämtliche verfügbaren Logfiles rückwirkend bis zum 17. Oktober auf verdächtige Scan-Aktivitäten und Exploit-Versuche untersucht. Obwohl wir entsprechende Aktivitäten feststellen konnten, fanden wir **keinerlei Hinweise auf eine erfolgreiche Ausnutzung der PHP-Sicherheitslücken** auf unseren Webservern. --- ### Update vom 24. Oktober 2026, 20:15 Uhr Am 23. Oktober 2026 hat das PHP-Projekt ein [ergänzendes Advisory zu Session Upload Progress](https://www.php.net/archive/2026.php#2026-10-23-1) veröffentlicht: Unter einer seltenen Kombination von Konfiguration und Anwendungscode besteht noch ein weiterer, unwahrscheinlicher Angriffsweg (CVE-2026-115560), der erst mit dem nächsten regulären PHP-Release behoben wird. Bis dahin empfiehlt php.net, die Option `session.upload_progress.enabled` zu deaktivieren. **Wir haben diese Empfehlung heute auf sämtlichen Webservern umgesetzt.** Dafür war lediglich ein kurzer Neustart der PHP-Dienste nötig. Für unsere Kunden ändert sich praktisch nichts: Datei-Uploads funktionieren wie gewohnt. Einzig eine serverseitige Fortschrittsanzeige für laufende Uploads über diese PHP-Funktion steht vorübergehend nicht zur Verfügung. Aktuelle Anwendungen wie WordPress, Nextcloud oder TYPO3 zeigen den Upload-Fortschritt ohnehin direkt im Browser an und sind davon nicht betroffen. Sobald das nächste PHP-Release mit der endgültigen Korrektur verfügbar ist, aktivieren wir die Option wieder. --- ### Update vom 25. Oktober 2026, 12:00 Uhr Als weitere Vorsichtsmassnahme aktivieren wir am **28. Oktober 2026** für PHP 8.2–8.5 sicherere Standardwerte für PHP-Sessions (`session.use_strict_mode`, `session.cookie_httponly` und `session.cookie_samesite = "Lax"`), wie sie mit PHP 8.6 ohnehin eingeführt werden. Die allermeisten Kunden sind davon nicht betroffen. Alle Details in unserer [Techinfo](https://www.onlime.ch/statusmessages/secure-php-session-defaults).