PHP-Sicherheitslücke: Manuel Diwosch erklärt in der Tiroler Tageszeitung, was jetzt zu tun ist

Seit wenigen Tagen beschäftigt eine kritische Sicherheitslücke in PHP Website-Betreiber auf der ganzen Welt. Auch in Tirol haben Betriebe ihre Websites vom Netz genommen. Ebenso mussten die Universität Innsbruck und die IKB gewisse Dienste abstellen. Die Tiroler Tageszeitung hat dazu unseren Geschäftsführer Manuel Diwosch befragt. Das Interview lesen Sie in der heutigen Ausgabe und online auf tt.com: https://www.tt.com/artikel/30945186/nach-gefaehrlicher-sicherheitsluecke-im-internet-tiroler-experte-klaert-auf 

Worum es bei „PHP2Shell“ geht

PHP ist die Programmiersprache, auf der rund 70 Prozent aller Websites laufen. WordPress, Joomla und TYPO3 bauen darauf auf, genauso Shopsysteme wie WooCommerce und Shopware. Die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619) erlauben es Angreifern, ohne Passwort aus der Ferne eigenen Code auf einem Webserver auszuführen. Im schlimmsten Fall übernehmen sie die Website, greifen Daten ab oder schleusen Schadsoftware ein.

Der Fehler liegt in der Speicherverwaltung von PHP selbst und steckt seit 2012 im Code. Entdeckt haben ihn Sicherheitsforscher mit Unterstützung von KI. Für Manuel ist das die eigentliche Lehre aus dem Vorfall: „KI macht es deutlich leichter, solche alten Fehler aufzuspüren. Wir werden solche Meldungen künftig öfter sehen.“

Warum so viele Websites offline gingen

Die Details zur Lücke sind einen Tag vor dem geplanten Update durchgesickert. Angreifer hatten die Informationen also, bevor es einen Schutz gab, und erste Angriffsversuche wurden beobachtet. Das EU-Computernotfallteam CERT-EU empfahl daher, Websites vorübergehend abzuschalten, wenn sie nicht sofort aktualisiert werden können. Ein österreichischer Hoster hat sogar alle PHP-Dienste eine Viertelstunde vor dem Update abgedreht. Manuel hält das für richtig: „Das war nicht übertrieben, sondern vernünftig.“

Das größte Risiko: alte PHP-Versionen

Die meisten Hoster haben das Update inzwischen eingespielt. Für PHP 8.1 und ältere Versionen gibt es allerdings keinen offiziellen Patch mehr. Laut Manuel betrifft das etwa die Hälfte aller PHP-Websites. Gerade kleinere Betriebe haben oft eine ältere Seite, etwa die Hotelwebsite mit Buchungsanfrage oder den Onlineshop eines Handwerksbetriebs. „Hier sehe ich in Tirol das größte Risiko“, sagt Manuel.

Fünf Schritte, die Manuel Unternehmen jetzt empfiehlt

1. Nachfragen statt hoffen. Lassen Sie sich von Ihrem Hoster oder Ihrer Agentur schriftlich bestätigen, dass das Update installiert ist. Ein geplantes Update reicht nicht.
2. PHP-Version prüfen. Läuft Ihre Seite auf PHP 8.1 oder älter, ist das ein Notfall. Die Seite muss auf eine aktuelle Version umgestellt oder vorübergehend vom Netz genommen werden.
3. Sauberes Backup sichern. Es sollte von vor dem 20. Oktober stammen und außerhalb des Servers liegen. Wer Zugriff auf den Server hat, kann auch die Backups löschen, die dort liegen.
4. Passwörter und Schlüssel erneuern. Bei Shops und Seiten mit Kundenlogins sollten Datenbank-Passwörter, Admin-Zugänge und Schnittstellen-Schlüssel, zum Beispiel zu Zahlungsanbietern, neu gesetzt werden.
5. Auf Spuren prüfen lassen. Ein Malware-Scan zeigt, ob in der Zwischenzeit etwas eingeschleust wurde.

Warum ein Backup allein nicht reicht

Ein Backup stellt die Website wieder her. Gestohlene Daten holt es aber nicht zurück, und ein abgegriffenes Passwort bleibt abgegriffen. Bei Webshops kommt dazu, dass beim Einspielen eines älteren Stands alle Bestellungen seit dem Sicherungszeitpunkt verloren gehen. Im Interview nennt Manuel das Backup deshalb den letzten Schritt.

Auch beim Datenschutz räumt er mit einem Missverständnis auf. Die 72-Stunden-Frist der DSGVO gilt für die Meldung an die Datenschutzbehörde und läuft ab dem Moment, in dem man von der Datenpanne erfährt. Betroffene Kundinnen und Kunden müssen unverzüglich informiert werden, wenn für sie ein hohes Risiko besteht. Die Sicherheitslücke allein ist noch keine Datenpanne. Meldepflichtig wird es, wenn tatsächlich auf Daten zugegriffen wurde oder sich das nicht ausschließen lässt. Im Zweifel sollten Sie sich rechtlich beraten lassen.

Wer eine Website nur besucht, muss in der Regel nichts tun, denn die Lücke sitzt auf dem Server. Vorsicht ist bei E-Mails oder SMS angebracht, die den Vorfall als Vorwand nehmen und zum Passwortändern über einen Link auffordern. Das ist Phishing.

Was wir für unsere Kundinnen und Kunden getan haben

Noch am Tag, an dem die Updates erschienen sind, hat Manuel alle aktiven und ehemaligen Kunden, Interessenten und Freunde von klickbeben per E-Mail informiert. Darin stand auch klar, wo unsere Möglichkeiten enden: Das Sicherheitsupdate auf dem Server kann nur der Hosting-Anbieter einspielen.

Für alle Websites mit Wartungspaket haben wir aktuelle Backups gesichert. Wird eine dieser Seiten infiziert, spielen wir innerhalb von zwei Tagen einen sauberen Stand ein. Wenn die Umstellung auf PHP 8.2 oder neuer Anpassungen an einer Website nötig macht, übernehmen wir das. Shops mit Kundendaten nehmen wir auf Wunsch vorübergehend offline, bis der Hoster das Update eingespielt hat.

Die größte Gefahr ist die vergessene Website

Am meisten Sorgen machen Manuel die Websites, um die sich niemand mehr kümmert. Die Seite wurde vor sieben Jahren gebaut, die Agentur von damals gibt es nicht mehr, und seither hat niemand nachgesehen. „Eine Website ist kein einmaliges Projekt“, sagt er. Sie braucht laufende Pflege, so wie ein Firmenauto regelmäßig zum Service muss.

Mit einem Wartungspaket ist Ihre Website nicht allein

Mit einem Wartungspaket von klickbeben kümmern wir uns laufend um Ihre Website. Wir halten CMS und Plugins aktuell, sichern regelmäßig Backups außerhalb des Servers und behalten die PHP-Version im Blick. Und wenn doch etwas passiert, stellen wir Ihre Website wieder her. Eine Lücke im Server selbst kann auch das beste Wartungspaket nicht verhindern. Es sorgt aber dafür, dass im Ernstfall ein sauberer Stand bereitliegt und jemand da ist, der sofort handelt.

Sie wissen nicht, auf welcher PHP-Version Ihre Website läuft, oder haben noch kein Backup? Melden Sie sich bei uns unter hallo@klickbeben.com oder +43 512 327 880.