Lesezeit: ca. 6 Minuten
Jan-Henrik Zimmer ist Inhaber von vanAchibald in Leipzig und begleitet Unternehmen in Webdesign, Programmierung und Online-Marketing.
Amazon Threat Intelligence dokumentiert in seinem zur Angriffserkennung betriebenen Testnetz MadPot einen PHP2Shell-Angriffsversuch vom 17. Oktober, vier Tage vor der Veröffentlichung der Sicherheitsupdates. (12) Auch Cloudflare meldet Angriffsverkehr gegen Kundensysteme und passt seine Schutzregeln fortlaufend an. (13)
Für Website-Betreiber:innen bleibt deshalb neben dem Update eine Prüfung auf verdächtige Zugriffe und unerwartete Dateiänderungen sinnvoll. Amazon empfiehlt, bei Untersuchungen mindestens den Zeitraum ab dem 17. Oktober einzubeziehen. (12)
IONOS meldet um 10:02 Uhr wieder normalen Betrieb aller betroffenen Dienste. Der verlinkte Newsroom bestätigt zusätzlich das offizielle PHP-Update auf allen von IONOS selbst betriebenen Plattformen. (14)
Hoster-Überblick mit Informationsstand 22. Oktober 2026, 12:30 Uhr. Die Zeitangaben nennen jeweils die letzte berücksichtigte Meldung oder Supportauskunft. Alle Uhrzeiten sind MESZ.
| Anbieter | Letzte Meldung, jeweils MESZ | Mitgeteilter beziehungsweise geprüfter Stand |
|---|---|---|
| All-Inkl | 22.10., 08:44 Uhr | Laut Support ist ein Großteil der Kundenserver aktualisiert; KAS, Members Area und eigene Website sind wieder erreichbar. Eine Bestätigung des vollständigen Abschlusses liegt uns weiterhin nicht vor. (5) |
| IONOS | 22.10., 10:02 Uhr | Dienste wieder im Normalbetrieb. Das offizielle PHP-Update ist laut Anbieter auf allen selbst betriebenen Plattformen eingespielt, darunter Webhosting und Managed WordPress. (14) |
| STRATO | Keine verifizierte Meldung | Uns liegt weiterhin keine öffentlich verifizierbare PHP2Shell-Patchbestätigung vor. Den konkreten Stand beim Support erfragen. (7) |
| Hetzner | 22.10., 06:32 Uhr | Auch PHP 5.6 und 7.3 sind aktualisiert. Damit sind laut Anbieter sämtliche Webhosting- und Managed-Server gepatcht. (8) |
| netcup | 22.10., 04:09 Uhr | Webhosting Control Panel wieder freigegeben. Webhosting einschließlich Reseller-Webhosting und Managed-Server sind laut Update vom 21.10., 23:45 Uhr gepatcht. (9) |
| mittwald | 22.10., 00:28 Uhr | Störung als gelöst markiert. Nahezu alle betroffenen PHP-Versionen sind abgesichert; Versionen unterhalb von PHP 5.6 bleiben ausgenommen. (10) |
Die Tabelle zeigt den belegten Informationsstand. Fehlende öffentliche Angaben erlauben keinen Rückschluss auf den tatsächlichen Patchstand. Bei selbstverwalteten Servern müssen die zuständigen Administrator:innen das PHP-Update übernehmen.
IONOS meldet, dass Website-Builder und Control Panel wieder stabil laufen. Auch andere Anbieter melden aktualisierte Systeme und wieder erreichbare Dienste. Für den konkreten PHP-Patchstand bleiben die jeweiligen Produkte und Server entscheidend. (6)
Sechs bekannte Anbieter im deutschen Markt im Überblick. Die Uhrzeiten beziehen sich auf Anbieter-Mitteilungen, bei STRATO auf unseren Recherchezeitpunkt:
| Anbieter | Zeitpunkt, jeweils MESZ | Mitgeteilter beziehungsweise geprüfter Stand |
|---|---|---|
| All-Inkl | 22.10., 08:44 Uhr | Laut Support ein Großteil der Kundenserver gepatcht; weitere Arbeiten laufen. KAS, Members Area und eigene Webseite sind laut Support wieder erreichbar (5). |
| IONOS | 22.10., 09:15 Uhr | Website-Builder und Control Panel wieder stabil. Die Meldung bestätigt keinen individuellen PHP-Patchstand. (6) |
| STRATO | 22.10., 09:30 Uhr, Recherche | Uns liegt keine öffentlich verifizierte PHP2Shell-Patchbestätigung vor. Den konkreten Stand beim Support erfragen. (7) |
| Hetzner | 22.10., 06:32 Uhr | Webhosting- und Managed-Server auch für PHP 5.6 und 7.3 gepatcht. Die Meldung vom 21.10., 19:50 Uhr bestätigt bereits Patches für PHP 7.4 sowie 8.0 bis 8.5. (8) |
| netcup | 22.10., 04:09 Uhr | Verwaltungsportal wieder freigegeben; Webhosting und Managed-Server bereits laut Update vom 21.10., 23:45 Uhr gepatcht und online. (9) |
| mittwald | 22.10., 00:28 Uhr | Nahezu alle betroffenen PHP-Versionen abgesichert. Versionen unterhalb von PHP 5.6 sind weiterhin ausgenommen. (10) |
Bei selbstverwalteten Servern müssen die zuständigen Administrator:innen die Aktualisierung übernehmen.
All-Inkl bestätigt uns auf Anfrage, dass ein Großteil der Kundenserver bereits mit den notwendigen Updates gegen beide Lücken versorgt ist. Die übrigen Server werden weiter bearbeitet. Die Rückmeldung beschreibt einen fortgeschrittenen Rollout, dessen vollständiger Abschluss noch aussteht (5).
Auch wir beobachten nicht erreichbare Verwaltungszugänge und Beeinträchtigungen bei Kundenwebsites beziehungsweise Formularen.
Zum angekündigten Release-Termin stehen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 mit den Korrekturen bereit. Die offizielle Ankündigung für PHP 8.3.36 wird um 16:00:57 Uhr MESZ versendet. Das PHP-Projekt betont: Vorübergehende Schutzmaßnahmen ersetzen das Update nicht vollständig. (3) (4)
PHP arbeitet auf Webservern und ermöglicht dynamische Websites, Onlineshops und Funktionen wie Kontaktformulare. Laut W3Techs wird PHP auf 69,3 Prozent der Websites eingesetzt, deren serverseitige Programmiersprache bekannt ist. Damit liegt das Problem in einer weit verbreiteten technischen Grundlage. (2)
Die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden jeweils mit 9,2 von 10 Punkten als kritisch bewertet. Angreifer können darüber unter bestimmten Bedingungen ohne Anmeldung eigenen Programmcode ausführen. Bei besonders gefährdeten Serverkonfigurationen kann ein Angriff bereits greifen, bevor der eigentliche Website-Code ausgeführt wird. (3) (11)
Die Ursache liegt in der Speicherverwaltung: Bei der einen Lücke kann ein Abbruch wegen Speichermangels fehlerhafte interne Daten hinterlassen. Bei der anderen kann eine spätere Anfrage auf internen Zustand zugreifen, dessen Speicher bereits freigegeben ist. (11)
Das betrifft die PHP-Laufzeit selbst. Deshalb können auch gepflegte WordPress-Installationen, Shops und individuell programmierte Websites gefährdet sein.
Um das Zeitfenster für mögliche Angriffe zu schließen, nehmen Betreiber Angebote vorsorglich vom Netz. Zu den dokumentierten Abschaltungen gehören öffentliche Dienste in Deutschland, Frankreich, den Niederlanden und Finnland. CERT-EU empfiehlt, öffentlich erreichbare Anwendungen vorübergehend zu isolieren, wenn eine zeitnahe Aktualisierung nicht möglich ist. (1) (11)
Die Abschaltungen sind damit in vielen Fällen eine Schutzmaßnahme. Ein Ausfall allein belegt keinen erfolgreichen Angriff. Auch Websites ohne eigene PHP-Funktionen können durch Abschaltungen ihrer Hosting-Umgebung beeinträchtigt werden.
Entscheidend ist, ob dein Hosting PHP einsetzt und die betroffene Installation nachweislich abgesichert ist. Auch eine überwiegend statische Website kann PHP für ihr Kontaktformular verwenden.
Du bist unsicher, ob bei deiner Website noch Handlungsbedarf besteht? Melde dich für eine unverbindliche Ersteinschätzung bei uns. Im Rahmen bestehender Betreuung stimmen wir die notwendigen Maßnahmen mit dir ab. Zusätzliche technische Prüfungen und Arbeiten vereinbaren wir vorab.
Kontakt mit vanAchibald aufnehmen
Share:
