Wer am Mittwoch, 21. Oktober 2026, regionalupdate.de aufrufen wollte, stand zeitweise vor einer leeren Seite. Unser Hosting-Anbieter hat die Server vorsorglich vom Netz genommen. Grund war eine schwere Sicherheitslücke in der Programmiersprache PHP, auf der weltweit Millionen Websites laufen, auch unsere. Wichtig vorweg: Bei uns gab es keinen Hackerangriff. Die Abschaltung war eine reine Vorsichtsmaßnahme, inzwischen läuft das Portal auf einer abgesicherten PHP-Version.
Was hinter „PHP2Shell“ steckt
Sicherheitsforscher haben zwei Schwachstellen im Kern von PHP gefunden, zusammengefasst unter dem Namen PHP2Shell und geführt als CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 möglichen Punkten als kritisch eingestuft. Über sie können Angreifer aus der Ferne eigenen Programmcode auf einem Webserver ausführen, ohne sich vorher anmelden zu müssen. Im schlimmsten Fall lassen sich so Websites übernehmen und Datenbanken auslesen.
Das Problem steckt nicht in einzelnen Programmen wie WordPress, Joomla, Typo3 oder Shopware, sondern in PHP selbst. Betroffen sind damit fast alle Seiten, die PHP einsetzen, nach Angaben von Fachleuten bis zurück zu Version 5.4. Ein Update nur des Content-Management-Systems oder seiner Erweiterungen reicht deshalb nicht aus.
Warum so viele Seiten abgeschaltet wurden
Details zu den Lücken waren vorzeitig an die Öffentlichkeit gelangt, die PHP-Entwickler zogen ihr Sicherheitsupdate deshalb auf Mittwoch, 16 Uhr, vor. Bis dahin gab es keinen Schutz. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab eine Warnung der Stufe 3 (Orange) heraus und riet Betreibern, Server im Zweifel komplett vom Netz zu nehmen. Ähnlich äußerte sich der Cybersicherheitsdienst der EU-Institutionen. Viele Hoster, Behörden, Hochschulen, Kliniken und Unternehmen folgten dem Rat, darunter etwa die Stadt Mainz mit ihrem Internetportal.
Die Sorge war berechtigt: Schon am Mittwochnachmittag meldeten Sicherheitsfirmen erste Angriffsversuche, die gezielt nach ungeschützten Servern suchten. Erfolgreiche Einbrüche waren nach bisherigem Stand zunächst nicht bestätigt.
Diese Versionen schließen die Lücke
Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die älteren Versionen 7.4, 8.0 und 8.1, die offiziell nicht mehr gepflegt werden, gibt es nur nachträglich angepasste Quelltext-Korrekturen. Linux-Distributionen liefern die Reparatur teilweise unter älter wirkenden Versionsnummern aus. Hier hilft ein Blick in die Änderungsliste, ob die beiden CVE-Nummern genannt sind.
Was Betreiber einer eigenen Website jetzt tun sollten
Wer selbst eine Website, einen Onlineshop oder ein Kundenportal betreibt, sollte beim Hosting-Anbieter oder IT-Dienstleister nachfragen, ob PHP bereits aktualisiert wurde. Bei eigenen Servern gilt: PHP auf die gepatchte Version bringen und den Webserver beziehungsweise PHP-FPM neu starten. Danach lohnt ein Blick in die Protokolle auf ungewöhnliche Zugriffe, neue oder veränderte Dateien und unbekannte Administratorkonten seit dem 20. Oktober. Besteht auch nur ein Verdacht, sollten Passwörter für Datenbank, FTP, SSH und Administratorzugänge gewechselt werden. Außerdem empfehlen Fachleute, Backups getrennt vom Server aufzubewahren und regelmäßig zu prüfen, ob sie sich tatsächlich zurückspielen lassen.
Bei uns wieder alles im Normalbetrieb
regionalupdate.de und unser Schwesterportal el-news.de laufen inzwischen auf den abgesicherten PHP-Versionen. Wir haben keine Hinweise auf unbefugte Zugriffe. Wir danken unseren Leserinnen und Lesern für ihr Verständnis.
