PHP2Shell: Ihre PHP-Seite ist in Gefahr. Wir helfen – noch heute.

Dieser Bericht erklärt verständlich, was hinter PHP2Shell steckt, wer betroffen ist, was Sie jetzt sofort tun sollten – und wie wir Ihre PHP-Seiten und Server so absichern, dass sie danach besser dastehen als vorher.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Sicherheitslücken im PHP-Interpreter selbst – also nicht in einem einzelnen Plugin oder einer bestimmten Anwendung, sondern in der Programmiersprache, auf der ein Großteil des Webs läuft. Die Schwachstellen liegen in der Speicherverwaltung von PHP. Unter bestimmten Voraussetzungen – unter anderem, wenn das konfigurierte Speicherlimit (memory_limit) erreicht wird – können Angreifer darüber eigenen Code auf dem Server ausführen (Remote Code Execution).

Gelingt das, hat der Angreifer faktisch die Kontrolle über die Website und häufig auch über das darunterliegende Hosting: Daten auslesen, Kundendaten abgreifen, Schadsoftware ablegen, Spam versenden oder dauerhafte Hintertüren einrichten.

Die Fakten auf einen Blick

Quellen: PHP Foundation, CERT-EU, BSI; Zusammenfassung u. a. bei Wikipedia. Offizielle Downloads und Versionshinweise: php.net. Die Lage entwickelt sich weiter – wir aktualisieren diese Seite.

Wer ist betroffen?

Weil die Lücke im Interpreter steckt, ist praktisch jede Anwendung, die auf PHP läuft, potenziell betroffen:

• Content-Management-Systeme: WordPress, Joomla, TYPO3, Drupal, Contao.
• Online-Shops: Shopware, WooCommerce, Magento/Adobe Commerce, PrestaShop, OXID.
• Eigene Anwendungen: Laravel, Symfony, Kundenportale, Buchungssysteme, interne Tools.
• Hosting & Server: Eigene Root-/V-Server und Shared-Hosting-Pakete mit älterer PHP-Version.

Besonders kritisch sind Systeme mit älteren PHP-Versionen (7.x, 8.0, 8.1): Laut aktuellem Stand fehlen für sie vielfach noch Sicherheitsupdates. Hier hilft nur Migration auf eine unterstützte Version – oder bis dahin die Isolation vom öffentlichen Netz.

Warum diese Lücke so gefährlich ist

• Riesige Verbreitung: PHP treibt einen Großteil aller Websites an – Angreifer haben Millionen potenzieller Ziele.
• Zeitdruck durch den Leak: Informationen sind vor dem geplanten Termin durchgesickert; die Patches wurden deshalb vorgezogen. Das Zeitfenster bis zu automatisierten Massen-Angriffen ist erfahrungsgemäß kurz.
• Altsysteme ohne Patch: Viele ältere Installationen bekommen kein Update und bleiben verwundbar, bis sie migriert werden.
• Vollzugriff: Codeausführung auf dem Server bedeutet Zugriff auf Datenbanken, Kundendaten und Zugangsdaten – mit möglichen DSGVO-Meldepflichten.

Auch BSI und CERT-EU haben gewarnt: Das BSI empfiehlt, Ressourcen für die zügige Installation der Patches bereitzuhalten; das CERT-EU rät, gefährdete Anwendungen ohne Patch zu isolieren.

Sofortmaßnahmen – jetzt handeln

1. PHP-Version ermitteln. Im Hosting-Panel, per php -v auf dem Server oder über Ihr CMS (z. B. WordPress → Werkzeuge → Website-Zustand).
2. Sicherheitsupdate einspielen. Für PHP 8.2 und neuer die aktuelle Patch-Version installieren bzw. beim Hoster aktivieren. Danach Webserver/PHP-FPM neu starten und die Version erneut prüfen.
3. Keine Patch-Version verfügbar? Auf eine unterstützte PHP-Version migrieren. Bis dahin die Anwendung vom öffentlichen Netz nehmen, hinter einen Zugriffsschutz stellen oder in den Wartungsmodus schalten.
4. Übergangsweise schützen. Für Apache und Nginx kursieren Filterregeln, die bekannte Angriffsmuster bis zum Patch blockieren sollen. Sie ersetzen das Update nicht.
5. Uns anrufen oder anschreiben. Telefonisch unter +49 1573 8423 995 oder per E-Mail an hello@glowiszyn.com. Wir übernehmen Update, Migration und Prüfung für Sie.

Woran Sie einen erfolgreichen Einbruch erkennen

Gute Angreifer bleiben bewusst unauffällig. Typische Warnzeichen sind:

• Unbekannte PHP-Dateien in Upload-, Cache- oder Temp-Verzeichnissen, kürzlich geänderte Dateien ohne Erklärung.
• Neue, unbekannte Administrator- oder Datenbank-Konten, geänderte Zugangsdaten.
• Fremde Weiterleitungen, eingeblendete Werbung oder verändertes Aussehen der Seite.
• Warnungen von Google Safe Browsing, dem Browser oder dem Hoster.
• Massenhafter Spam-Versand über Ihre Domain; Ihre Domain oder IP landet auf Blocklisten.
• Plötzlich hohe Serverlast, unbekannte Prozesse oder Cronjobs, ungewöhnlicher ausgehender Datenverkehr.
• Auffällige Abstürze von PHP-Prozessen oder gehäufte Speicherlimit-Fehler in den Logs.

Bereits ein solches Anzeichen genügt, um ernsthaft zu prüfen. Dann gilt: Zuerst alle Passwörter ändern (Hosting/SSH, FTP/SFTP, Datenbank, CMS-Admins, verknüpfte E-Mail-Postfächer), dann uns kontaktieren – und bitte nicht vorschnell selbst „aufräumen": Gelöschte Spuren erschweren die Ursachenanalyse und lassen oft versteckte Hintertüren zurück.

Nachhaltige Absicherung – besser als vorher

Ein einzelnes Update ist nur die halbe Miete. Damit Sie bei der nächsten Lücke nicht wieder unter Zeitdruck geraten, sichern wir Ihre PHP-Umgebung systematisch ab:

• Patch-Management: PHP, Webserver, CMS, Plugins und Bibliotheken auf aktuellem, unterstütztem Stand – dauerhaft.
• Migration von Altsystemen: Umzug von PHP 5/7 und 8.0/8.1 auf eine unterstützte Version inklusive Kompatibilitätstests.
• Härtung: sichere php.ini, minimale Rechte, getrennte Benutzer pro Anwendung, deaktivierte unnötige Funktionen.
• Schutzschicht: Web Application Firewall und Rate-Limits vor Ihren Anwendungen.
• Backups & Wiederherstellung: regelmäßige, getrennt gelagerte Backups mit erprobter Wiederherstellung.
• Überwachung: Datei-Integritäts- und Malware-Monitoring, das Auffälligkeiten früh meldet.

Warum die Glowiszyn UG Ihr Partner ist

Wir sind ein Softwarestudio aus Deutschland (Essen, Ruhrgebiet) und betreiben selbst zahlreiche PHP-Anwendungen, APIs und Server. Unsere eigenen Systeme haben wir direkt nach Erscheinen der Patches aktualisiert – wir kennen das Vorgehen also aus der Praxis:

• Echter Ansprechpartner: persönliche, verständliche Beratung – kein Ticket-Roulette.
• Schnell im Notfall: Update, Migration und Prüfung kurzfristig, wenn nötig noch am selben Tag.
• Volle Tiefe: von PHP über Webserver, Datenbank und CMS bis DNS – alles aus einer Hand.
• Made in Germany: deutscher Ansprechpartner, deutsche Rechnungsstellung, Datenschutz ernst genommen.