Security

PHP2Shell: Patchen ist Pflicht. Modernisieren die Chance.

Ihre IT meldet: Unsere Website läuft auf PHP, und es gibt eine kritische Lücke. Was heisst das fürs Geschäft, wie schnell müssen wir reagieren, und wie verhindern wir, dass wir beim nächsten Mal wieder nur warten können? Eine Einordnung für Entscheider, mit einer Prise .NET-Befangenheit.

In einfachen Worten
Kurz erklärt

Ein Riss im Fundament, nicht im Dach

PHP ist die Programmiersprache, auf der WordPress, TYPO3, Drupal, Joomla und viele andere CMS laufen. PHP2Shell steckt nicht in einem Plugin oder einem bestimmten CMS, sondern in PHP selbst, in jeder Version seit 5.4 aus dem Jahr 2012. Ein Angreifer braucht kein Passwort: Eine präparierte Anfrage an Ihre Website kann reichen, um eigenen Code auf Ihrem Server auszuführen. Fachleute stufen das als kritisch ein (CVSS 9.2 von 10).

Was das für Ihr Unternehmen bedeuten kann

  • Fremde übernehmen Ihre Website

    Angreifer können Inhalte ändern, Schadsoftware an Ihre Besucher verteilen oder gefälschte Formulare einbauen. Unter Ihrem Namen.

  • Daten fliessen ab

    Eine der Lücken kann Speicherinhalte des Servers preisgeben: Passwörter, Sitzungen, API-Schlüssel. Damit kommen Angreifer oft weiter als bis zur Website, etwa ins CRM oder in angebundene Systeme.

  • Vertrauen und Pflichten

    Ein Vorfall auf der Website ist öffentlich. Sind Personendaten betroffen, kann eine Meldepflicht nach revDSG oder DSGVO greifen.

  • Website vom Netz

    Mehrere Organisationen haben ihre Websites diese Woche vorsorglich abgeschaltet. Das ist sicher, aber jeder Tag offline kostet Anfragen und Sichtbarkeit.

Reaktionszeit

Die Angreifer waren schneller als der Patch

Zwischen Bekanntwerden und Ausnutzung liegen heute Stunden, nicht Wochen. Entscheidend ist nicht, ob Ihre Website irgendwann gepatcht wird, sondern wie schnell. Jede Stunde dazwischen ist ein offenes Fenster.

  1. 17.10.2026
    Erster Angriffsversuch beobachtet, vier Tage vor der Veröffentlichung
  2. 20.10.2026
    Details sickern durch, die Lücke ist öffentlich
  3. 21.10.2026 07:43
    Erste Angriffe gemeldet, noch bevor es einen Fix gibt
  4. 21.10.2026 14:00
    PHP veröffentlicht die korrigierten Versionen
  5. ?
    Ihre Website ist gepatcht. Wann war das bei Ihnen?

Die eigentliche Frage: Wer patcht bei Ihnen?

Viele Firmen haben diese Woche gemerkt, dass sie selbst gar nichts tun können. Website, Zugänge und Know-how liegen bei einer Agentur oder einem Hoster. Man schreibt ein Ticket und wartet. Das ist kein Vorwurf an die Agentur, sondern eine Frage der Aufstellung.

Website bei Dritten

  1. Lücke wird bekannt
  2. Ticket schreiben, warten, nachfragen, warten
  3. Irgendwann gepatcht

Eigener Stack, gemeinsam betreut

  1. Lücke wird bekannt
  2. Ihr Team oder wir patchen sofort, der Zugang ist da
  3. Weiterarbeiten. Der Kaffee ist noch warm.
Für Ihre IT

Die Checkliste zum Weiterleiten

Läuft Ihre Website auf PHP, leiten Sie diesen Abschnitt an Ihre IT oder Ihre Agentur weiter. Ein Update des CMS allein reicht nicht, PHP selbst muss aktualisiert werden.

  1. 01 PHP-Version prüfen (php -v) und auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisieren.
  2. 02 PHP-FPM bzw. Apache neu starten. Erst dann läuft der Fix wirklich.
  3. 03 Noch auf PHP 8.1 oder älter? Es gibt keine offiziellen Releases. Pakete der Distribution nutzen oder auf einen unterstützten Zweig wechseln. PHP 7.3 und älter bekommt gar keinen Fix.
  4. 04 Temporäre Massnahmen (memory_limit, session.upload_progress.enabled=0, WAF-Regeln) nach dem Update wieder entfernen und die Logs auf auffällige multipart/form-data-Anfragen prüfen.
PHP-Zweig Korrigierte Version
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35
7.4 - 8.1Kein offizielles Release. Nur Quellcode-Backports und Pakete der Distributionen.
5.4 - 7.3Kein Fix. Wechsel auf einen unterstützten Zweig nötig.

Quellen: PHP Security Advisory vom 21.10.2026, Tenable, Sansec. Stand 23.10.2026.

Beispiel für Debian/Ubuntu
php -v
sudo apt update && sudo apt install --only-upgrade 'php8.3*'
sudo systemctl restart php8.3-fpm   # or: apache2
// Disclaimer

Achtung, wir sind befangen

Wir schreiben C# im Schlaf, reden auf Konferenzen über .NET und würden Ihnen vermutlich auch einen Toaster auf .NET-Basis empfehlen. Lesen Sie den nächsten Abschnitt also mit einem Augenzwinkern. Aber lesen Sie ihn.

Und ehrlich gesagt: .NET ist nicht immun

Im Oktober 2025 hatte ASP.NET Core mit CVE-2025-55315 eine Lücke mit CVSS 9.9, die höchste Bewertung, die das Framework je bekommen hat. Jede Plattform hat Lücken. Der Unterschied liegt darin, wem der Code gehört, wer Zugang hat und wie schnell der Patch live ist. Genau dort setzt unser Modell an.

Zusammenarbeit

Ihre Website. Ihr Stack. Ihre Kontrolle.

Wir migrieren Ihr PHP-CMS auf ein Open-Source-CMS auf .NET, etwa Umbraco oder Oqtane. Nicht als Blackbox, die danach einfach bei uns statt bei der Agentur liegt, sondern so, dass Sie Eigentümer bleiben und wir als Partner an Ihrer Seite arbeiten.

PHP-Website bei Dritten
Ihre Cloud, Ihr Repository
  • Website (Umbraco auf .NET)
  • Kundenportal (.NET)
  • Interne Apps (.NET)
Die Website zieht dorthin, wo Ihre anderen .NET-Anwendungen schon laufen.

  • Open Source, 0 CHF Lizenz

    Umbraco und Oqtane sind quelloffen und laufen auf aktuellem .NET. Keine Lizenzkosten und kein Anbieter, der Sie festhält.

  • Code und Betrieb bei Ihnen

    Die Website läuft in Ihrer Cloud, der Code liegt in Ihrem Repository. Zugänge und Know-how bleiben im Haus, auch wenn es uns morgen nicht mehr gäbe.

  • Ein Stack für alles

    Haben Sie bereits .NET-Anwendungen, betreut Ihr Team die Website mit. Gleiche Sprache, gleiche Werkzeuge und auf Wunsch ein gemeinsames Login (SSO).

  • Anpassbar bis ins Detail. Es ist ja .NET.

    Umbraco und Oqtane sind keine geschlossenen Baukästen. Eigene Inhaltstypen, Blöcke und Editor-Erweiterungen, Anbindungen an ERP, CRM oder Ihre eigenen APIs: Das schreiben wir in C#, mit denselben Werkzeugen wie jede andere .NET-Anwendung. Kein Plugin-Zoo, sondern normaler, testbarer Code in Ihrem Repository.

  • Wir bleiben an Ihrer Seite

    Wir bauen gemeinsam mit Ihrem Team, geben Wissen weiter und übernehmen Updates und Weiterentwicklung im Rahmen eines klaren Monatsbudgets. Wenn es brennt, patcht, wer zuerst da ist.

Wie das aussieht, zeigt ein aktueller Proof of Concept: eine bestehende PHP-Website, nachgebaut auf Umbraco und .NET, mit mehrsprachigem Editor, Vorschau und automatischen Weiterleitungen der alten URLs. Öffentlich zeigen dürfen wir die Details noch nicht. Eine Live-Demo im Gespräch schon.

Vorgehen

In drei Schritten, mit festen Preisen

Sie behalten die Kosten im Griff und entscheiden nach jedem Schritt, ob es weitergeht.

  1. 01 · Kleiner Fixpreis

    Design und Umfang

    Wir prüfen mit Ihnen die bestehende Website: was bleibt, was wegfällt, was neu dazukommt. Ergebnis ist ein klarer Umfang und ein verbindliches Angebot.

  2. 02 · Fixpreis

    Migration und Aufbau

    Inhalte, Seitenstruktur und URLs ziehen auf das neue CMS um, inklusive der vereinbarten Erweiterungen. Eine Reserve für kleine Änderungen ist eingeplant.

  3. 03 · Nach Aufwand, mit Monatsdach

    Betrieb und Weiterentwicklung

    Updates, Sicherheitspatches und neue Wünsche. Abgerechnet nach Aufwand, mit einer festen Obergrenze pro Monat. Ihr Team kann jederzeit selbst übernehmen.

Zuerst ein Proof of Concept. Dann entscheiden Sie.

Weitere Leistungen

Weitere Leistungen rund um .NET

Entwicklung

ASP.NET Core, Blazor, Angular und React. Von der ersten Zeile bis zur Anwendung im Betrieb.

Mehr zur ASP.NET Core Entwicklung

Architektur und technische Führung

Architektur-Reviews, tragfähige Entscheidungen und ein Sparringspartner für Ihr Team.

Mehr zur .NET Architektur

Der Migrationsleitfaden

Von .NET Framework 4.8 auf modernes .NET: die Begriffe, eine Roadmap in sechs Schritten und die Stolperfallen aus echten Projekten.

Zum .NET Migrationsleitfaden

Wer patcht bei Ihnen? Lassen Sie uns reden.

Lassen Sie uns gemeinsam etwas Grossartiges aufbauen

Haben Sie eine Frage oder möchten Sie ein Projekt besprechen? Wir freuen uns, von Ihnen zu hören. Füllen Sie das untenstehende Formular aus und wir melden uns so schnell wie möglich bei Ihnen.

192 / 2000
oder

Sie können uns auch direkt erreichen unter [email protected]