TL;DR: Am 21. Oktober 2026 gingen weltweit Websites vom Netz, auch in der Schweiz. Grund waren zwei kritische Lücken im Kern von PHP, die seit über zehn Jahren im Code steckten und unter anderem mit Hilfe von KI gefunden wurden. Das ist die gute Nachricht. Die schlechte: Dieselbe Technik steht auch Angreifern zur Verfügung. Wer seine Website nach dem Prinzip «läuft ja» betreibt, wird zum leichtesten Ziel.
Was ist am 21. Oktober 2026 passiert?
An diesem Mittwoch nahmen Universitäten, Gemeinden, Spitäler und Konzerne ihre Websites vorsorglich vom Netz. In der Schweiz traf es unter anderem die Universität Basel (Südostschweiz). Das Bundesamt für Cybersicherheit (BACS) und das deutsche BSI gaben Warnungen heraus.
Der Grund war keine Attacke, sondern die Angst vor einer. Zwei Sicherheitslücken im Herzen von PHP waren bekannt geworden, bevor alle Betreiber die Patches einspielen konnten. Und PHP ist nicht irgendeine Technik. WordPress, TYPO3, Drupal, Joomla und unzählige Shops laufen darauf.
Für mich ist PHP2Shell mehr als ein IT-Notfall. Es ist ein Vorgeschmack darauf, wie Sicherheit im Netz von 2030 funktioniert.
Was ist PHP2Shell?
PHP2Shell ist der Name für zwei Schwachstellen im Kern der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619). Angreifer können damit ohne Anmeldung Code auf einem Webserver ausführen und ihn im schlimmsten Fall komplett übernehmen. Die PHP Foundation bewertet beide mit 9,2 von 10 Punkten (Trending Topics).
Die wichtigsten Fakten:
- Betroffen sind praktisch alle PHP-Versionen bis zurück zu 5.4. Die Fehler steckten laut der Sicherheitsfirma Wiz seit über zehn Jahren im Code.
- Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für ältere Versionen gibt es keine offiziellen Patches.
- Ein CMS-Update reicht nicht. Der Fehler liegt in PHP selbst, nicht in WordPress oder TYPO3. Aktualisieren muss der Hoster oder wer den Server betreibt.
- Angriffsversuche gab es laut Amazon Threat Intelligence schon vier Tage vor den Patches, weil Details vorzeitig durchgesickert waren (Netzwoche).
- In der Schweiz fand der Scanning-Dienst Risikomonitor am 22. Oktober unter rund 690'000 Servern mit Schweizer Bezug noch über 23'000 betroffene. Weltweit laufen laut VirusTotal über 700'000 Server mit PHP-Versionen, für die es gar keine Patches mehr gibt.
Warum ist KI hier Waffe und Schild zugleich?
Weil dieselbe Technik, die die Lücke gefunden hat, sie auch ausnutzen kann.
Wiz entdeckte die erste Schwachstelle im August mit einem eigenen KI-Werkzeug, das auf Modellen von Google und OpenAI aufbaut. Wenige Tage später konnte das Team damit WordPress- und Drupal-Seiten ohne Anmeldung übernehmen. Nach Angaben von Wiz schaffte ein einzelner Forscher in einer Woche, wofür früher ein Team Monate gebraucht hätte. Unabhängig davon meldeten auch OpenAI und das Start-up Calif dieselbe Ursache an das PHP-Team (Trending Topics).
Das Unbequeme daran: Ein erster Hinweis auf das Problem lag dem PHP-Team schon seit 2024 vor. Ohne konkreten Angriffsweg blieb er liegen. Die PHP Foundation nennt das selbst ein strukturelles Versagen, verursacht durch den Entscheidungsprozess und fehlende Ressourcen. Erst die KI-gestützte Suche machte aus einer theoretischen Schwäche eine akute.
Daraus folgen für mich drei Dinge:
- Alter Code wird zur Altlast. KI kann Millionen Zeilen durchsuchen, die seit Jahren niemand mehr angeschaut hat. Was dort schlummert, kommt jetzt ans Licht.
- Das Zeitfenster schrumpft. Wenn Angreifer Exploits in Tagen statt Monaten bauen, reicht «wir patchen beim nächsten Wartungsfenster» nicht mehr.
- Kleine Websites sind nicht zu klein. Automatisierte Angriffe scannen das ganze Netz. Ein vergessener Vereins- oder Kampagnen-Auftritt auf einem alten Server ist genauso ein Ziel wie ein Onlineshop.
Was sollten Websitebetreiber jetzt tun?
Das BACS rät, internetfähige Systeme und Anwendungen mit sensiblen Daten zuerst abzusichern und danach interne Systeme zu prüfen (Netzwoche). Für typische KMU-Websites heisst das:
| Schritt | Wer | Wann |
|---|---|---|
| PHP-Version prüfen (im Hosting-Panel oder per Anfrage beim Hoster) | Websitebetreiber | sofort |
| Auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisieren | Hoster oder Agentur | sofort |
| Bei PHP 8.1 oder älter: Migration auf eine unterstützte Version planen | Agentur oder Entwickler | innert Wochen |
| Vergessene Websites und Microsites suchen (alte Kampagnen, Testumgebungen) | Marketing und IT gemeinsam | innert Wochen |
| Klären, wo PHP sonst steckt (Admin-Oberflächen, interne Tools, Appliances) | IT oder Dienstleister | innert Wochen |
| Wartungsvertrag mit klarer Reaktionszeit für Sicherheitsupdates | Geschäftsleitung | einmalig |
Wer nicht weiss, wer für den Server zuständig ist, hat das eigentliche Problem gefunden.
FAQ
Ist meine WordPress- oder TYPO3-Website von PHP2Shell betroffen? Wahrscheinlich ja, wenn sie auf einer nicht aktualisierten PHP-Version läuft. Entscheidend ist die PHP-Version auf dem Server, nicht die Version des CMS.
Welche PHP-Versionen sind sicher? PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie neuere Versionen. Für ältere Versionen gibt es keine offiziellen Patches.
Reicht ein Update von WordPress oder TYPO3? Nein. Der Fehler liegt in PHP selbst. Das Update muss auf dem Server eingespielt werden, meist durch den Hoster.
Wurde PHP2Shell schon für Angriffe genutzt? Angriffsversuche gab es bereits vor den Patches. Berichte über erfolgreiche Angriffe mit Schaden lagen bis 23. Oktober 2026 nicht vor.
Welche Rolle spielte KI bei PHP2Shell? Mehrere Teams fanden die Lücken mit Hilfe von KI-Werkzeugen. Laut Wiz beschleunigte KI vor allem die Entwicklung funktionierender Angriffe, was zeigt, dass Angreifer denselben Vorteil haben.