Mobile-Menu

IT-BUSINESS Podcast – Folge 23 Podcast „IT ImPuls“: PHP2Shell – Wer hat hier geschlafen?

Von Agnes Panjas 3 min Lesedauer

Anbieter zum Thema

ESET Deutschland GmbH
Check Point Software Technologies GmbH
TREND MICRO Deutschland GmbH
Fortinet Deutschland GmbH

Die Sicherheitslücke PHP2Shell hat Unternehmen Ende Oktober jäh aus dem Sicherheitsschlaf gerissen. Millionen von Webseiten waren plötzlich offline. Was das für den Channel bedeutet und wo die Zuständigkeiten liegen, wird in der neuen Podcastfolge diskutiert.

Die Sicherheitslücken im PHP-Kern sind Anlass, mehr über die Sicherheitsroutine dahinter zu sprechen. Wer kennt alle PHP-Systeme im eigenen Unternehmen? Wer ist für Updates zuständig? Wie schnell lassen sich kritische Patches einspielen? (Bild: Vogel IT-Medien / Carin Boehm)
Die Sicherheitslücken im PHP-Kern sind Anlass, mehr über die Sicherheitsroutine dahinter zu sprechen. Wer kennt alle PHP-Systeme im eigenen Unternehmen? Wer ist für Updates zuständig? Wie schnell lassen sich kritische Patches einspielen?
(Bild: Vogel IT-Medien / Carin Boehm)

Zwei kritische Schwachstellen im PHP-Kern haben Ende Oktober dieses Jahres Betreiber von Websites und IT-Dienstleister in Alarmbereitschaft versetzt. Das BSI stufte die Lage mit Warnstufe 3 ein, und empfahl, die Webserver vorübergehend vom Internet zu trennen, falls sich ein Sicherheitsupdate nicht kurzfristig einspielen ließe. Das Problem: Die Schwachstellen könnten Angreifern ermöglichen, aus der Ferne Schadcode auf betroffenen Webservern auszuführen. Doch was bedeutet das nun für Webseitenbetreiber, Unternehmen und den IT-Channel?

So sichert man PHP-Systeme richtig ab

In der neuen Folge des Podcasts „IT-Impuls“ sprechen die Redakteure Mihriban Dincel und Stefan Riedl darüber, was Unternehmen tun sollten – und warum auch interne Systeme und vernetzte Geräte in den Blick gehören.

Wichtig für Unternehmen ist es, herauszufinden, wo überall PHP im Einsatz ist. Neben Websites können auch Anwendungen, Verwaltungsoberflächen und vernetzte Geräte betroffen sein. Anschließend müssen Betreiber klären, welche Versionen laufen, wer für Updates zuständig ist und ob die Sicherheitsmaßnahmen tatsächlich umgesetzt wurden.

Doch genügt ein installiertes Update allein nicht immer. Thomas Boele von Check Point warnt: „Ein Update wirft keinen Angreifer raus, der schon im System ist.“ Unternehmen sollten daher auch untersuchen, ob es vor dem Patch bereits zu einer Kompromittierung gekommen ist. Das gilt ebenso für interne Systeme, die nicht direkt aus dem Internet erreichbar sind.

Ein Update wirft keinen Angreifer raus, der schon im System ist.

Thomas Boele, Global Director Solutions Engineering AI Security von Check Point Software Technologies

Und bei ausgelagerter IT ist der Betreiber gefordert. Olaf Pursche vom Eco-Verband der Internetwirtschaft bringt es wie folgt auf den Punkt: „Wer IT auslagert, lagert nicht nur die Verantwortung aus.“ Unternehmen sollten mit Hostern und Dienstleistern Zuständigkeiten und den Status der Updates klären.

Hintergrund

PHP gehört seit Jahrzehnten zum Fundament des Webs. Es läuft auf zahllosen Websites, Shops und Unternehmensanwendungen – oft unauffällig im Hintergrund. Genau deshalb sorgt PHP2Shell für Unruhe: Die Bezeichnung steht für zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die den PHP-Kern betreffen. Je nach Konfiguration und Voraussetzungen können sie zur Ausführung von Schadcode führen, ohne dass ein Angreifer zuvor Zugangsdaten benötigt.

Ist die PHP-Lücke eine Chance für den Channel?

Die aktuelle Sicherheitslage bietet dem IT-Channel aber neue Chancen, seine Rolle als Berater unter Beweis zu stellen. Denn für Kunden reicht es nicht, ein Update einzuspielen: Sie müssen wissen, wo PHP im Einsatz ist, welche Versionen laufen, ob diese noch unterstützt werden und ob die Sicherheitsmaßnahmen tatsächlich greifen. Der Channel kann dabei helfen, den Bestand zu erfassen, Risiken einzuordnen und auch für den Fall eines bereits erfolgten Angriffs die nächsten Schritte festzulegen.

Als Statementgeber mit dabei sind:

  • Alexander Opel ist IT-Sicherheitsexperte bei Eset. Er sieht keine breite Welle erfolgreicher Angriffe auf PHP-Lücken. Die Lage müsse seiner Meinung nach aber ernst genommen und betroffene Systeme müssten überwacht und aktualisiert werden.
  • Thomas Boele ist Global Director Solutions Engineering AI Security bei Check Point Software Technologies. Inhaltlich beschäftigt er sich unter anderem mit KI-Sicherheit, Shadow AI, großen Sprachmodellen und KI-Agenten.
  • Olaf Pursche ist IT-Sicherheitsexperte und Journalist. Seit 2025 leitet er die Kompetenzgruppe Sicherheit beim Eco – Verband der Internetwirtschaft.
  • Richard Werner ist Cybersecurity Platform Lead für Europa bei TrendAI, der KI-Sicherheitsmarke von Trend Micro. Er berät Unternehmen und Partner zu Cybersicherheits- und Compliance-Fragen.

Hören sie jetzt in unsere neue Podcastfolge IT ImPuls „PHP2Shell – Wer hat hier geschlafen?“ rein. Auch dieses Mal gibt's einen passenden KI-generierten Song, der einen #Ohrwurm garantiert.

IT ImPuls gibt es auf Spotify,, Apple Podcast, Deezer, Amazon Music, Podimo und neuerdings auch auf Youtube. Abonnieren Sie jetzt den IT-BUSINESS Podcast.

Sie haben Themenvorschläge und Anregungen für kommende Podcast-Folgen? Schreiben Sie uns eine E-Mail an Mihriban Dincel.

(ID:51013361)

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte