Wie ihr sicher schon mitbekommen habt, gab es gestern, 22.10.2026, eine kritische Lücke in der Programmiersprache PHP, welche auch wir für unsere Projekte verwenden. Metanet, unser Hosting-Anbieter, konnte diese in der Zwischenzeit schliessen. Gestern Mittag wurden erste Schutzmassnahmen gegen die Ausnützung der Lücke ausgerollt. Diese hatten teilweise auch Einschränkungen von einzelnen Seiten zur Folge. Ein Teil der Server konnte noch gestern Nacht aktualisiert werden und die restlichen Server wurden heute morgen aktualisiert.
Bin ich betroffen?
Ja, alle unsere Kund:innen sind von der Lücke betroffen – wie ca 50% des gesamten Internets. Bis jetzt gibt es keine Anzeichen für Angriffe auf Seiten unserer Kund:innen. Die frühzeitig getroffenen Massnahmen haben grössere Schäden verhindern können.
Was muss ich tun?
Metanet kümmert sich bei den Hostings um das Ausrollen der Patches und Anbringen von Sicherheitsmassnahmen. Der aktuelle Stand der Arbeiten kann hier eingesehen werden:
https://status.metanet.ch/issues/6ad8783ee64ea03d76aabbb3
Was kommt da noch?
Aktuell ist schwer abzuschätzen was als nächstes passiert. Hacks häufen sich, AI-Agents handeln autonom, es sind wilde Zeiten. Die Lücke dürfte wohl eher ein Vorgeschmack auf die Zukunft sein, als ein einmaliger Schock.
Hype? Marketing?
Die Lücke ist gravierend, keine Frage – die Berichte also kein Hype. Ein Schwergrade 9.2 von 10 in einer Technologie, die ca. 60% des Internets antreibt, bedeutet nichts Gutes. Dass die Lücke durchgesickert ist, hat zu einer Kaskade von Problemen geführt und machte eine koordinierte Reaktion unmöglich.
Mitverantwortlich ist sicherlich auch die Firma Chainguard, die das Veröffentlichungsembargo gebrochen hat und so das Problem potenzierten. Auch Calif hat frühzeitig den Hype befeuert. Dies sollte auch vor dem Hintergrund verstanden werden, dass solches Chaos bestes Marketing für ihre Produkte ist und sie nun im Mittelpunkt der Aufmerksamkeit stehen.
Weitere Infos zum Thema:
Mitteilung des Bundesamts für Cybersicherheit BACS: https://www.bacs.admin.ch/de/warnung-php-de
Artikel auf derbund.ch: https://www.derbund.ch/php-sicherheitsluecke-php2shell-alle-fragen-und-antworten-739375009497
Timeline:
- 01.08. – Lücke wurde durch Calif gefunden und verantwortungsvoll ans php-Projekt gemeldet. Der Prozess beinhaltet ein 90 tägiges Embargo die Lücke nicht zu veröffentlichen. So haben Hersteller genügend Zeit, Fixes bereitzustellen https://calif.io/php2shell/#patch-the-planet
- 20.10., ~16:00 – Gerüchte über die Lücke kursieren auf Social Media
- 20.10. – Die geplante Veröffentlichung von Fixes wurde vom 22.10. auf den 21.10. verschoben
- 21.10., ~09:00 – Chainguard bricht das Embargo und veröffentlich gefixte Versionen. Dies ermöglichte es für alle, den Fehler nachzuvollziehen
- 21.10., ~12:00 – Erste Proof-of-Concept Exploits (Angriffswerkzeuge) tauchen auf. Viele funktionieren jedoch nur unter sehr spezifischen Bedingungen
- 21.10., 14:00 – Mitigations werden öffentlich geteilt. Metanet spielt diese auf den Servern ein
- 21.10., abends – Distribution bereiten neue Packete mit dem Patch vor
- 21.10., Nacht – Redhat veröffentlich rpm mit Patches. Diese können auf Teilen unserer Infrastruktur eingespielt werden https://access.redhat.com/errata/RHSA-2026:87072
- 22.10. – Cloudlinux veröffentlich Patches. Diese wurden im Verlauf des Morgens auf unseren Reseller Hostings eingespielt. https://blog.cloudlinux.com/php-cve-2026-109618-and-cve-2026-109619
- 22.10., 11:00 – Metanet hat all seine Systeme gepatched https://status.metanet.ch/issues/6ad8783ee64ea03d76aabbb3
- 22.10. – Hintergrundartikel auf golem.de