php2shell: Angriffe laufen, was Shop-Betreiber nach dem PHP-Update prüfen sollten

Die beiden kritischen PHP-Lücken mit dem Spitznamen „php2shell“ werden bereits breit angegriffen. Wer sein PHP am 21. Oktober aktualisiert hat, ist damit nicht automatisch fertig. Die ersten Angriffsversuche liefen schon Tage vor dem Update. Dieser Beitrag ergänzt unseren Artikel zu den PHP-Updates 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Stand ist der 22. Oktober 2026.

Die Angriffe begannen vor der Veröffentlichung

Laut heise online meldet Cloudflare über Reuters Millionen Angriffsversuche. Sie setzten etwa zehn Stunden vor der Veröffentlichung der Details ein. Amazon berichtet sogar von Versuchen vier Tage vor der Veröffentlichung und spricht von breiter Ausnutzung. Wie der Angreifer vorab an Informationen kam, ist unklar. Berichte über erfolgreiche Angriffe lagen heise zum Zeitpunkt der Meldung noch nicht vor.

Die IT-Recht Kanzlei nennt den 17. Oktober 2026 als Tag, an dem Amazon Web Services den ersten Versuch beobachtet hat. Das BSI geht in seiner Pressemitteilung vom 21. Oktober davon aus, dass alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar sind.

Viele Organisationen haben ihre Seiten vorsorglich abgeschaltet, solange aktualisierte Pakete fehlten. heise nennt unter anderem die Charité, Teile von berlin.de sowie Regierungsseiten in Dänemark, Finnland, Frankreich und den Niederlanden.

Erst das Update, dann der Neustart

Die Grundlage bleibt das PHP-Update. Laut heise liegen inzwischen Pakete für Debian, Ubuntu, Fedora, Red Hat, SUSE, Gentoo und Slackware vor. Auf einem Server mit apt prüfen Sie die Version mit php -v und spielen das Update mit sudo apt update und sudo apt upgrade ein. Danach müssen alle PHP-Dienste neu starten, sonst läuft weiter der alte Code.

Läuft Ihr Shop in Docker-Containern, braucht er aktualisierte Images, etwa per docker compose pull && docker compose up -d. Bei Managed Hosting oder einem gemanagten Shop spielt der Anbieter das Update ein. heise rät, dort trotzdem nachzufragen.

Ein Update von Shopware, WooCommerce oder JTL-Shop allein reicht nicht. Die IT-Recht Kanzlei weist ausdrücklich darauf hin, dass PHP selbst aktualisiert werden muss.

Prüfen Sie Ihren Server ab dem 17. Oktober

Weil Angriffe schon vor dem Update liefen, empfiehlt die IT-Recht Kanzlei, Systeme für den Zeitraum ab dem 17. Oktober 2026 auf Kompromittierung untersuchen zu lassen. Am besten übernehmen das der Hoster oder IT-Fachleute. Auch das BSI rät, exponierte PHP-Webserver verstärkt auf Auffälligkeiten zu beobachten.

Onlinehändler News zählt mögliche Folgen eines erfolgreichen Angriffs auf: manipulierte Checkouts, gestohlene Kreditkartendaten und Ransomware. Der Händlerbund rät, Logs zu sichern und Auffälliges zu dokumentieren. Löschen Sie also keine Server-Logs aus diesen Tagen, bevor jemand sie angesehen hat.

Bei Datenabfluss läuft eine 72-Stunden-Frist

Findet die Prüfung Hinweise auf einen Zugriff auf personenbezogene Daten, greifen die Meldepflichten der DSGVO. Wir geben hier wieder, wie die IT-Recht Kanzlei die Lage einordnet. Für Ihren konkreten Fall ersetzt das keine Rechtsberatung.

• Nach Art. 33 DSGVO melden Sie eine Datenschutzverletzung binnen 72 Stunden an die Aufsichtsbehörde, wenn sie voraussichtlich ein Risiko für Betroffene bedeutet.
• Die Frist beginnt laut Kanzlei nicht erst, wenn die technische Untersuchung abgeschlossen ist. Fehlende Angaben dürfen Sie nachreichen.
• Ist Ihr Hoster Auftragsverarbeiter, muss er Sie unverzüglich informieren.
• Bei voraussichtlich hohem Risiko kommen nach Art. 34 DSGVO die Betroffenen hinzu, also etwa Ihre Kunden.

Eine kontrollierte Abschaltung des Shops ist für sich genommen keine meldepflichtige Datenschutzverletzung. Die Kanzlei rät außerdem, die Entscheidung für oder gegen eine Meldung samt Begründung zu dokumentieren. Wer eine Cyberversicherung hat, sollte den Schaden dort unverzüglich anzeigen und deren Vorgaben beachten.

Der Wartungsmodus des Shops schützt nicht

Kann ein Server nicht sofort aktualisiert werden, rät CERT-EU, ihn vom öffentlichen Netz zu trennen, bis der Fix eingespielt und geprüft ist. Den Wartungsmodus der Shopsoftware hält Onlinehändler News dafür nicht für ausreichend, weil dabei weiterhin PHP läuft.

Für die Google-Suche kommt es in dieser Zeit auf den HTTP-Statuscode an. Google Search Central hat am 21. Oktober empfohlen, während einer solchen Abschaltung den Code 503 auszuliefern, wie PPC Land berichtet. Die Google-Dokumentation zu Statuscodes erklärt die Unterschiede:

• Bei 5xx-Fehlern wie 503 bleiben bereits indexierte URLs zunächst im Index, und Google crawlt vorübergehend langsamer.
• Liefert eine URL dauerhaft Serverfehler, entfernt Google sie irgendwann doch.
• Seiten mit 404 nimmt Google aus dem Index.
• Eine Wartungsseite mit Code 200 meldet die Search Console als Soft 404.

Wie lange 503 unschädlich bleibt, steht auf der Statuscode-Seite nicht. Laut PPC Land warnt eine andere Google-Dokumentation davor, Fehler länger als ein bis zwei Tage auszuliefern.

Updates und Prüfung übernehmen wir für Sie

Bei unseren Managed Servern gehören Sicherheitsupdates wie dieses dazu. Für Shopware-Shops gehört das zum Shopware-Management.

Wenn Sie unsicher sind, ob Ihr Server schon gepatcht ist oder ob Sie die Tage ab dem 17. Oktober prüfen lassen sollten, schreiben Sie uns.