PHP2Shell – ein Sprung im Schutzschild

Es gibt Tage, da möchte man seinen Computer ausschalten, das Telefon hinwerfen und eine kleine Gärtnerei eröffnen. Der 21. Oktober 2026 war so einer.

An besagtem Mittwoch war für zwei Stunden das Internet kaputt, nachdem zwei kritische Sicherheitslücken in PHP öffentlich gemacht wurden.
PHP – eine Programmiersprache, die für den Datenaustausch zwischen Server und Browser bei etwa 70% aller Internetseiten zuständig ist. WordPress, TYPO3, Onlineshops, Portale und Unternehmenswebseiten: die ganze digitale Welt, die wir so selbstverständlich nutzen, als würde sie von einer unsichtbaren Macht betrieben, die irgendwo in Hochhäusern sitzt und sich um alles kümmert.

Am Nachmittag wurde die Lage ernst, am frühen Abend waren die Korrekturen veröffentlicht, Hoster:innen sowie Administrator:innen bei der Arbeit und in den späten Stunden die ersten Webanwendungen gepatcht.

Gegen 19 Uhr dann kamen die ersten Anrufe: „Sind wir betroffen?“
Die Antwort des Tages: „Um 14 Uhr? Ja, potenziell. Um 16 Uhr? Da war die Lösung bereits auf dem Weg. Und wenn Sie um 19 Uhr fragen, haben wir das längst bearbeitet.“

Das gilt natürlich nicht automatisch für jeden Server auf diesem Planeten, aber für die von uns betreuten Systeme.

Die Erwartungshaltung

Die meisten Menschen glauben, das Internet wäre ein Naturgesetz.
Die wenigsten wissen, dass PHP Open Source ist. Das bedeutet, dass unzählige Menschen an den unterschiedlichsten Orten einen öffentlich zugänglichen Code stetig weiterentwickeln, Fehler finden, Patches schreiben und dokumentieren.

Manche werden dafür bezahlt, manche engagieren sich freiwillig – die meisten bekommen nicht annähernd die Anerkennung, die ihnen zusteht.
Wir benutzen ihre Arbeit seit Jahrzehnten, verdienen damit Geld, betreiben Unternehmen, verkaufen Produkte, nehmen Buchungen entgegen und wickeln Geschäftsprozesse ab.

Sobald ein Problem auftaucht, lautet die erste Frage: „Wer ist dafür verantwortlich?“
Man möchte Gewissheit, am besten sofort, schriftlich und inklusive einer Garantie, dass nichts passieren kann.
Eine bemerkenswerte Frage, wenn man bedenkt, dass es vorher kaum jemanden interessiert hat, wer diese Infrastruktur überhaupt möglich macht.
Aus dem Werk fleißiger Entwickler:innen ist eine Art digitales Gratisbuffet geworden. Man nimmt sich, was man braucht, vielleicht auch etwas mehr, und beschwert sich anschließend, wenn das Fleisch noch nicht ganz gar war.

Open Source steht aber nicht für kostenlosen Rundumservice mit lebenslanger Garantie, sondern für ein Geben und Nehmen. Dieses Geben kann Mitarbeit an der Entwicklungsarbeit sein oder die finanzielle Unterstützung der Menschen, die ebendiese Software pflegen, auf der ganze Wirtschaftszweige aufbauen.

Schwarmintelligenz

Niemand muss allein das ganze Internet retten, und gerade deshalb kann es funktionieren. Eine tatkräftige Gemeinschaft antwortet auf eine Bedrohung mit koordinierter Arbeit – eigentlich wäre das eine Geschichte, über die man sich freuen könnte.

Der prekäre Tag des Leaks war ein geradezu geniales Beispiel dafür, was das intelligente Kollektiv leisten kann: Forscher:innen entdecken Probleme, Entwickler:innen reagieren, Maintainer:innen koordinieren Korrekturen, Hoster:innen prüfen ihre Infrastruktur, Agenturen und Administrator:innen setzen Maßnahmen in Rekordzeit um.

Eine Community macht es möglich, dass ein großer Teil des Internets bereits am Tag nach einem solchen Vorfall wieder so aussieht wie zuvor. Die Seiten laden, Formulare funktionieren und Shops verkaufen. Schon eine Woche später spricht kaum noch jemand über PHP2Shell – und das ist das eigentliche Problem.

Wir haben hier gesehen, wie gut eine weltweite Gemeinschaft reagieren kann, wenn Menschen Wissen teilen, Verantwortung übernehmen und gemeinsam handeln.
Wir haben aber ebenso gesehen, wie dünn die Schicht der vermeintlichen Selbstverständlichkeit ist, auf der unser digitaler Alltag baut.

Service & Inspektion

„Aber unsere Webseite läuft doch. Wir haben da seit Jahren nichts gemacht“ – wird häufig vorgetragen mit jenem Stolz, mit dem einige Menschen noch immer den Kühlschrank aus dem Jahr 1987 betreiben.

Eine Webseite ist allerdings keine abgeschlossene Anschaffung, sondern eine laufende Softwareumgebung mit Betriebssystem, Webserver, Programmiersprache, Datenbanken, Erweiterungen und Schnittstellen. Weil all das unsichtbar bleibt, gehen viele Menschen davon aus, dass es auch ohne Pflege funktionieren müsse.
Ein Auto bringen wir regelmäßig in die Werkstatt, aber bei der Webseite wird nach sieben Jahren gefragt, ob dieses Update wirklich nötig sei – schließlich ist sie ja bereits bezahlt. Ja, das Auto auch, und trotzdem sollten Sie irgendwann die Bremsen kontrollieren lassen.
Eine ungepflegte Webseite quietscht nicht. Sie funktioniert möglicherweise lange weiter, obwohl längst jemand mitliest.

Die Fassade der Sicherheitsfestung

Kritische Lücken in einer weit verbreiteten IT-Infrastruktur sind keine Kleinigkeit.
Unter bestimmten Voraussetzungen wird es Angreifer:innen möglich, Vorgänge auszulösen, die auf einem sicheren Server niemals ablaufen dürften.
Für einen kurzen Moment stand gefühlt die gesamte digitale Welt mit heruntergelassener Hose da.

Trotzdem sollte man den Satz „Das ganze Internet war gehackt“ nicht wörtlich nehmen: Verwundbarkeit ist nicht dasselbe wie ein nachgewiesener Einbruch. Gleichermaßen ist ein veröffentlichtes Update noch lange kein überall eingespieltes Update.
Gerade weil das Thema ernst ist, muss man diese Unterschiede kennen.

Hier lief es gut: Die gefährliche Schwäche wurde öffentlich gemacht, eine Gemeinschaft reagierte, und die Werkzeuge zur Absicherung standen schnell bereit.
Was aber wäre gewesen, wenn zuerst jemand mit bösen Absichten diese Schwachstelle gefunden hätte? Jemand, der keine Warnung verschickt und kein Interesse an einer verantwortungsvollen Offenlegung hat, sondern unbemerkt Daten abgreift, Systeme manipuliert oder Zugänge verkauft?

Man darf sich also gerne fragen, wie verletzlich wir eigentlich wirklich sind.
Diese Frage ist unangenehmer als jene, ob die eigene Webseite an besagtem Mittwoch betroffen war.

Die unzähligen Softwareschichten, auf denen unser digitaler Alltag steht, ähneln von außen einem Hochsicherheitstrakt.
Von innen erinnert manches eher an ein Schüler:innenprojekt, das mit Panzerband und Eisstielen erstaunlich lange zusammenhält.
Das ist überspitzt ausgedrückt und ungerecht gegenüber den vielen großartigen Entwickler:innen, die über Jahrzehnte hinweg unser virtuelles Ökosystem erweitert, geflickt und Komponenten miteinander verbunden haben – für unsere enorme Abhängigkeit von historisch gewachsenen Systemen hingegen ist dieses Bild erschreckend treffend.

Digitale Allzweckwaffe

Manche Sicherheitslücken schlummern jahrzehntelang in Software – nicht etwa wegen schlampiger Entwickler:innen, sondern weil diese Systeme aus Millionen Zeilen Code und Abhängigkeiten von Abhängigkeiten bestehen.
Früher brauchte jemand, der solche Zusammenhänge ausnutzen wollte, erhebliche Fachkenntnisse, Geduld und Zeit für Analyse, Experimente und immer neue Versuche.

Heute können KI-Systeme Teile davon beschleunigen: Code untersuchen, Muster erkennen, Varianten ausprobieren und große Datenmengen systematisch durchgehen. Das ist eine fantastische Chance für die Verteidiger:innen und gleichzeitig ein Werkzeug für Angreifer:innen. Nicht jeder Fehler wird auf Knopfdruck zum erfolgreichen Angriff, und nicht jede KI findet sofort eine ausnutzbare Schwachstelle. Aber das Tempo verschiebt sich.

Sobald eine Lücke bekannt wird, können automatisierte Prüfungen und Angriffsversuche sehr schnell skalieren. Künstliche Intelligenzen haben weder Feierabend noch Mittagspause – und sie warten schon gar nicht, bis Führungsetagen um 19 Uhr per E-Mail fragen, ob man denn betroffen sei.

Ob Entwicklung oder Angriff, die Pointe bleibt: Während ein ganzes Ökosystem unter Hochdruck reagiert, kommt die Frage, ob etwas passiert ist, oft erst dann, wenn die Arbeit schon erledigt ist.

Aha-Effekt

Vielleicht wäre das ein guter Anlass, sich selbst zu fragen, wann man zuletzt ernsthaft in die eigene IT-Sicherheit investiert hat.
Kontinuierliche Optimierung von Datenstrukturen ist keine Selbstverständlichkeit.
Open Source bedeutet nicht, dass niemand dafür arbeitet. Es bedeutet nur, dass jemand anderes zunächst die Rechnung bezahlt.

Die Frage nach dem Vorfall vom 21. Oktober sollte daher nicht bloß lauten: „Waren wir betroffen?“
Sie sollte lauten: „Was würden wir tun, wenn beim nächsten Mal nicht zuerst die Guten kommen?“