PHP2Shell: Warum einige Websites auf geek.ch offline waren
Zwei kritische Lücken in PHP, ein Patch mit Ansage — und warum wir die betroffenen Websites vorsorglich vom Internet getrennt haben.
Am 20. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken angekündigt: CVE‑2026‑109618 und CVE‑2026‑109619, beide mit CVSS 4.0 9.2 bewertet. Laut öffentlichen Berichten lassen sie Angreifer ohne Anmeldung Code auf dem Server ausführen. Technische Details waren zu dem Zeitpunkt noch nicht veröffentlicht, die Updates für den 21. Oktober um 16:00 Uhr angekündigt.
Was wir getan haben
Auf geek.ch laufen mehrere öffentlich erreichbare PHP-Anwendungen, eigene und solche, die wir für andere hosten. Am 21. Oktober um 14:00 Uhr haben wir sie vorsorglich nur noch aus dem internen Netz ausgeliefert, bis die Updates eingespielt und geprüft waren. Das Nationale Zentrum für Cybersicherheit (NCSC) empfiehlt genau das als Übergangsmassnahme, wenn nicht sofort gepatcht werden kann.
Die Sperre hat nichts gelöscht: Inhalte und Daten blieben auf den Servern, nur der Zugriff von aussen war unterbrochen. E-Mails wurden weiterhin zugestellt und liessen sich mit einem Mailprogramm abrufen; gesperrt war nur das Webmail.
Wer eine der betroffenen Websites aufrief, landete auf der Statusseite von geek.ch mit einer Erklärung statt vor einer Fehlermeldung.
Wie es ausging
Die Updates waren in der Nacht auf den 22. Oktober um Mitternacht für alle öffentlichen Dienste eingespielt. Zur selben Zeit gingen die Websites wieder online.
Die Server sind durchgehend überwacht. In den Logs gab es weder vor noch nach der Sperre Auffälligkeiten: nur das übliche Grundrauschen automatischer Scanner, die nach bekannten älteren PHP-Lücken suchen. Alle diese Anfragen liefen ins Leere.
Quellen
- NCSC · Cyber Security HubPHP: Critical Security Updates AnnouncedAdvisory des Bundes vom 21. Oktober 2026: zwei kritische Lücken mit gemeldeter Codeausführung, Updates am 21. Oktober um 16:00 Uhr. Nachtrag: Cloudflare meldet erste Angriffsversuche. Empfiehlt, PHP-Anwendungen bis zum Patch vom Internet zu trennen.
BleepingComputerPHP warns admins of two critical flaws, emergency patches coming tomorrow20. Oktober 2026: PHP stuft beide Lücken mit CVSS 9.2 ein, watchTowr mit 10 und hat eine davon nachgestellt. Betroffen sind laut watchTowr PHP 5 bis 8.
HuntressRapid Response: php2shell, Leaked Critical PHP Vulnerabilities21. Oktober 2026: Huntress rät, alle PHP-Installationen zu erfassen, öffentlich erreichbare Systeme zuerst zu patchen und auf Shells zu achten, die von PHP-Prozessen gestartet werden.