PHP2Shell: Was Unternehmen jetzt wissen und tun sollten

Am 20. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt. Unter der Bezeichnung „PHP2Shell“ werden die Schwachstellen CVE-2026-109618 und CVE-2026-109619 derzeit besonders aufmerksam beobachtet.

Die Sicherheitslücken können unter bestimmten Voraussetzungen eine nicht authentifizierte Ausführung von Schadcode ermöglichen. Deshalb sollten Unternehmen prüfen lassen, ob internet-erreichbare Anwendungen betroffen sind und ob die verfügbaren Sicherheitsupdates bereits installiert wurden.

Welche Systeme können betroffen sein?

PHP wird von zahlreichen Webanwendungen und webbasierten Administrationsoberflächen eingesetzt. Dazu gehören unter anderem:

• Nextcloud- und ownCloud-Installationen
• Kunden- und Serviceportale
• individuell entwickelte Webanwendungen
• Weboberflächen von Firewalls
• Administrationsoberflächen von Telefonanlagen

Ob ein System tatsächlich betroffen ist, hängt von der eingesetzten PHP-Version, der jeweiligen Anwendung und ihrer Konfiguration ab. Die Sicherheitsupdates wurden am 21. Oktober 2026 veröffentlicht.

Warum internet-erreichbare Systeme besonders kritisch sind

Anwendungen, die aus dem Internet erreichbar sind, stehen grundsätzlich stärker im Fokus automatisierter Angriffe. Angreifer können solche Systeme gezielt nach verwundbaren Versionen durchsuchen und versuchen, Schadcode einzuschleusen.

Eine Sicherheitslücke allein bedeutet nicht automatisch, dass ein Unternehmen angegriffen wurde. Sie erhöht jedoch das Risiko, wenn Updates fehlen oder betroffene Anwendungen unzureichend abgesichert sind. Neben dem Patchstand sollten deshalb auch Protokolle und Systeme auf mögliche Angriffszeichen geprüft werden.

So gehen wir bei betreuten Systemen vor

Unsere Taskforce prüft seit dem 21. Oktober 2026 alle von uns betreuten Systeme. Ein besonderer Schwerpunkt liegt auf internet-erreichbaren Anwendungen und Diensten.

Betroffene Systeme werden je nach Situation vorsorglich abgeschottet oder vorübergehend vom Netz genommen. Anschließend werden die Sicherheitsupdates kontrolliert eingespielt. Vor der Wiederinbetriebnahme prüfen wir die Systeme auf mögliche Hinweise auf einen Angriff und dokumentieren sämtliche Maßnahmen.

Kunden mit direkt betroffenen Systemen werden von uns gesondert informiert oder persönlich kontaktiert. Für Systeme, die durch IQ Solutions betreut werden, müssen Sie daher grundsätzlich nichts veranlassen.

Eigene Webseiten und Anwendungen prüfen lassen

Betreiben Sie Webseiten oder Anwendungen außerhalb unserer Betreuung, sollte der aktuelle Patchstand zeitnah geprüft werden. Wenden Sie sich dafür an Ihren Webhoster, Ihre betreuende Agentur oder den zuständigen IT-Dienstleister.

Besonders wichtig ist die Prüfung, wenn Ihre Umgebung beispielsweise folgende Komponenten enthält:

• selbst gehostete Cloud- oder Filesharing-Lösungen
• Kundenportale oder interne Webanwendungen
• ältere PHP-Anwendungen
• Administrationsoberflächen, die aus dem Internet erreichbar sind
• individuell entwickelte Anwendungen mit externem Zugriff

Neben dem Einspielen der Updates sollte geprüft werden, ob verdächtige Aktivitäten in den Protokollen erkennbar sind. Ein einfaches Update ohne anschließende Kontrolle reicht bei einem möglichen Sicherheitsvorfall nicht immer aus.

Vorsicht vor Phishing und gefälschten Support-Anfragen

Sicherheitsvorfälle werden häufig für Betrugsversuche ausgenutzt. Kriminelle können die aktuelle Berichterstattung nutzen, um gefälschte Sicherheitsupdates, Anmeldeseiten oder Support-Anfragen zu versenden.

Achten Sie insbesondere auf:

• E-Mails mit angeblich dringenden Sicherheitsupdates
• Links oder Anhänge mit Programmen und Patch-Dateien
• gefälschte Anmeldeseiten für Nextcloud, Microsoft 365 oder Kundenportale
• Anrufe angeblicher IT-Mitarbeitender mit der Bitte um Fernzugriff
• Rechnungen für angebliche Notfall-Patches oder Sicherheitsprüfungen

IQ Solutions fragt Sie niemals nach Passwörtern, Zwei-Faktor-Codes oder TANs. Wir versenden keine Programme oder Updates zur eigenständigen Installation per E-Mail und fordern keinen unaufgeforderten Fernzugriff an.

Was Sie bei einer verdächtigen Nachricht tun sollten

Klicken Sie keine Links an und öffnen Sie keine Anhänge, wenn Ihnen eine Nachricht ungewöhnlich oder dringlich erscheint. Antworten Sie nicht direkt auf die verdächtige Nachricht, sondern nutzen Sie die Ihnen bekannte Telefonnummer von IQ Solutions.

Verdächtige Nachrichten können Sie an service@iq-solutions.de weiterleiten. Bei Fragen erreichen Sie unser Team unter 069 857 000 00.

Falls Sie bereits einen Link geöffnet oder Zugangsdaten eingegeben haben, melden Sie sich bitte umgehend bei uns. Je schneller der Vorfall gemeldet wird, desto früher können Zugangsdaten gesperrt, Sitzungen beendet und weitere Schutzmaßnahmen eingeleitet werden.

Geben Sie diese Hinweise bitte auch an Ihre Mitarbeitenden weiter. Gerade in angespannten Sicherheitslagen wirken gefälschte Nachrichten oft besonders glaubwürdig, wenn sie konkrete Namen, Anwendungen oder aktuelle Schwachstellen nennen.

Sicherheit braucht klare Zuständigkeiten

Die PHP-Sicherheitslücken zeigen, wie wichtig ein aktueller Überblick über alle internet-erreichbaren Systeme ist. Dazu gehören ein dokumentierter Patchstand, klare Zuständigkeiten und feste Abläufe für die Bewertung von Schwachstellen.

Unternehmen im Rhein-Main-Gebiet und in der Region Offenbach profitieren dabei von einem strukturierten IT-Betrieb, der Sicherheitsupdates nicht nur einspielt, sondern deren Auswirkungen prüft und die Systeme anschließend kontrolliert wieder in Betrieb nimmt.

Wenn Sie unsicher sind, ob Ihre Webseiten oder Anwendungen betroffen sein könnten, wenden Sie sich an Ihren zuständigen IT-Dienstleister oder direkt an IQ Solutions. Wir unterstützen Sie bei der Prüfung, Absicherung und Dokumentation Ihrer Systeme.