Kritische PHP-Lücke: für mich ein ganz normaler Arbeitstag

Diese Woche wurde eine schwere Sicherheitslücke in PHP veröffentlicht, der Programmiersprache, in der fast alle meine Programme und Webseiten geschrieben sind. Für viele Betreiber von Webseiten war das eine unruhige Woche. Für mich war es ein normaler Arbeitstag. Hier erkläre ich, warum.

Was passiert ist

Am 21. Oktober 2026 wurden zwei Lücken im Kern von PHP öffentlich, bekannt unter dem Namen "php2shell". Sie sind als kritisch eingestuft: Ein Angreifer hätte über eine präparierte Anfrage an eine Webseite unter Umständen eigenen Code auf dem Server ausführen können, ohne ein Konto oder Passwort zu brauchen.

Die Informationen waren schon vor dem geplanten Termin durchgesickert, und es gab bereits Angriffsversuche. Am selben Tag erschienen die reparierten PHP-Versionen.

Früh informiert, sofort gehandelt

Ich wusste von der Lücke, bevor die ersten Medien darüber berichtet haben. Damit blieb Zeit, in Ruhe und der Reihe nach zu arbeiten.

Auf meinen eigenen Servern, auf denen meine Programme wie die Zeiterfassung, das Rechnungs-Programm, das Ticketsystem oder die Kundendatenbank laufen, habe ich das Sicherheitsupdate eingespielt. Die Lücke ist dort geschlossen.

Einige meiner Webseiten liegen bei einem Hosting-Anbieter. Dort kann ich PHP nicht selbst aktualisieren. Darauf zu warten, kam für mich nicht in Frage. Ich habe diese Webseiten selbst zusätzlich abgesichert, sodass die Art von Anfrage, über die die Lücke ausgenutzt wird, gar nicht erst bei PHP ankommt. Danach habe ich alle Formulare durchgesehen und die wichtigsten live getestet.

Für meine Programme, meine Webseiten und damit für meine Kunden ist die Gefahr gebannt.

Für viele andere ist das ernst

PHP läuft auf Millionen Webseiten weltweit. Viele davon liegen bei Anbietern, die ihre Server erst nach Tagen oder Wochen aktualisieren. Und oft gibt es niemanden, der weiß, welche PHP-Version die eigene Seite überhaupt nutzt, geschweige denn, wie man sie in der Zwischenzeit schützt.

Der Unterschied liegt nicht im Glück. Er liegt darin, ob jemand seine Systeme genau kennt, früh informiert ist und sofort handeln kann. Genau das ist mein Anspruch an meine Arbeit.

Wie ein Koch und die Erdnussallergie

Für mich fühlt sich so ein Tag an wie für einen Koch, dem der Service sagt: "Das Schnitzel für Tisch 4 bitte ohne Erdnüsse, der Gast ist allergisch."

Der Koch gerät nicht in Panik. Er weiß, was in seiner Küche steht, welche Zutaten er verwendet und wo er aufpassen muss. Er nimmt die Information ernst, arbeitet sorgfältig, und der Gast bekommt ein sicheres Essen.

Etwas, mit dem man sich sofort und gewissenhaft beschäftigen muss. Aber völlig normale Arbeit.

Was das für Sie heißt

Wenn Sie eines meiner Programme nutzen oder mir über meine Webseite schreiben, müssen Sie nichts tun. Ihre Zugangsdaten bleiben, wie sie sind, und alles funktioniert wie gewohnt.

Sicherheitslücken gibt es in jeder Software. Entscheidend ist, wie schnell sie jemand bemerkt und schließt.

Tobias Völzke