Bin ich von PHP2Shell betroffen? Die ehrliche Antwort

Die kurze Antwort lautet: wahrscheinlich ja. Wenn Ihre Firmenwebsite auf WordPress, TYPO3, Joomla oder Drupal läuft, dann läuft sie auf PHP, und damit sind Sie von PHP2Shell grundsätzlich betroffen. Das ist kein Grund zur Panik, aber einer, heute noch zehn Minuten zu investieren. Dieser Beitrag sagt Ihnen, welche zehn Minuten das sind.

Geschrieben für Geschäftsführer und Büroleitungen, die keine Server betreuen – aber wissen müssen, ob ihr Haus in Ordnung ist.

Warum die Frage überhaupt alle betrifft

Die Lücke sitzt nicht in Ihrer Website, sondern eine Ebene darunter – in PHP, der Sprache, in der Seiten zusammengebaut werden, bevor der Server sie ausliefert. Das erklärt, warum es diesmal nicht eine bestimmte Software trifft, sondern die Grundlage, auf der die meisten Firmenwebsites stehen. Wer WordPress nutzt, ist betroffen. Wer TYPO3 nutzt, auch. Wer eine selbst programmierte Seite in PHP betreibt, ebenfalls.

Das BSI führt die Warnung in Stufe 3 (Orange) und nennt zwei Möglichkeiten: sofort aktualisieren oder das System vom Internet trennen. Eine dritte gibt es nicht.

Was diesen Fall von üblichen Sicherheitsmeldungen unterscheidet, ist der Zeitablauf. Die Details wurden einen Tag vor dem Patch öffentlich, und es wurde bereits gesucht, bevor es überhaupt etwas zum Einspielen gab. Deshalb reicht die Frage „haben wir aktualisiert" nicht ganz aus – dazu gehört die zweite: „und hat in der Zwischenzeit jemand angeklopft".

Die technischen Einzelheiten stehen in PHP-Sicherheitslücke PHP2Shell: Was Sie heute tun müssen. Hier geht es nur darum, ob Sie handeln müssen.

Der häufigste Denkfehler

„Wir haben doch einen Dienstleister, der kümmert sich."

Das stimmt in den meisten Fällen auch. Nur ist das keine Antwort auf die Frage, sondern eine Vermutung über die Antwort. Der Unterschied wird in dem Moment wichtig, in dem Ihre Versicherung, ein Kunde oder eine Aufsichtsbehörde fragt, was Sie getan haben. „Ich bin davon ausgegangen" ist dann keine gute Position.

Der zweite Denkfehler ist das Gegenteil: „Bei uns gibt es nichts zu holen." Gesucht wird nicht nach Firmen, sondern automatisiert nach verwundbarer Software. Eine kleine Website ist kein unauffälliges Ziel, sondern meist ein leichteres – weil sich seltener jemand kümmert.

Zehn Minuten, die Klarheit schaffen

Minute 1 bis 2: Sehen, was Ihre Website von sich preisgibt

Beginnen Sie mit dem kostenlosen PHP-Sicherheitscheck. Das Werkzeug ruft Ihre Startseite auf wie ein Browser und zeigt, was sie über sich verrät: ob dort PHP läuft, welches Redaktionssystem, ob Versionen sichtbar sind.

Eins vorweg, damit Sie das Ergebnis richtig lesen: Die genaue PHP-Version ist von außen meistens nicht feststellbar, weil die meisten Hoster diese Angabe unterdrücken. Wo das Werkzeug „nicht feststellbar" schreibt, heißt das genau das – nicht „in Ordnung". Eine Entwarnung aus fehlender Information wäre das Gegenteil von Hilfe.

Minute 3 bis 6: Die Nummer besorgen

Jetzt brauchen Sie eine Zahl, und zwar eine vollständige. Sie steht im Kundenbereich Ihres Hosters; das Vorgehen je nach System beschreibt WordPress-Sicherheit nach PHP2Shell im Einzelnen.

Worauf es beim Ablesen ankommt: Eine Angabe wie „PHP 8.3" sagt nichts aus. Die Korrektur steckt erst in der dritten Stelle – 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Ein 8.3.35 steht offen, obwohl die Hauptversion stimmt. Und alles vor 8.2 bekommt überhaupt keinen Patch mehr, egal wie lange man wartet.

Minute 7 bis 10: Verantwortung festmachen

Betreut jemand anderes Ihre Website, endet Ihre Prüfung hier – und beginnt Ihre Dokumentation. Eine kurze Mail genügt, aber sie sollte nach Zahlen fragen und nicht nach Beruhigung: nach der vollständigen Versionsnummer, nach dem Zeitpunkt der Aktualisierung und danach, ob jemand das Fenster zwischen dem 20. Oktober und dem Update durchgesehen hat.

Der letzte Punkt ist der, den fast alle überspringen. Ein Patch verschließt die Tür; wer vorher hereinkam, steht dadurch nicht wieder draußen.

Legen Sie die Antwort mit Datum ab. Nicht aus Misstrauen gegenüber Ihrem Dienstleister, sondern weil Sie im Schadensfall gefragt werden, was Sie veranlasst haben – und „ich hatte angerufen" ist dann keine Grundlage.

Was die Antworten bedeuten

Aktuelle Version, Update am 21. Oktober, Zeitfenster geprüft. Dann ist Ihr Dienstleister auf der Höhe. Haken dran.

Aktuelle Version, aber niemand hat nachgesehen. Häufigster Fall. Die Lücke ist zu, die Frage nach dem Zeitfenster bleibt offen. Für eine Firmenwebsite ohne Kundendaten ist das vertretbar. Bei einem Shop oder einem Kundenbereich sollte jemand nachsehen.

Keine klare Antwort oder „ist alles gepatcht" ohne Zahlen. Dann wissen Sie, woran Sie sind. Eine zweite Meinung kostet weniger als ein Vorfall.

PHP 7.x oder älter. Hier ist nicht PHP2Shell das eigentliche Problem, sondern der Zustand insgesamt. Für diese Versionen gibt es keine Sicherheitsupdates mehr – auch nicht für die nächste Lücke. Kurzfristig: vom Netz nehmen. Mittelfristig: erneuern.

Wenn Sie nicht weiterkommen

Es gibt einen Punkt, an dem Selbsthilfe endet: Wenn niemand die Frage nach der PHP-Version beantworten kann, wenn Sie gar nicht wissen, wer die Website betreut, oder wenn auf der Seite plötzlich etwas steht, das Sie dort nicht hingeschrieben haben.

Dann sehen wir uns das an. Für den Quick-Check stellen wir die tatsächliche PHP-Fassung fest, gehen das kritische Zeitfenster durch und sagen Ihnen schriftlich, was belegt ist und was offen bleibt – einmalig für 49 Euro, ohne Vertrag und ohne dass Sie Kunde sein müssen.

Steht schon etwas Fremdes auf Ihrer Seite, ist es kein Fall mehr für ein Werkzeug: Nichts löschen, nichts neu starten, anrufen. Was dann gilt, beschreibt PHP2Shell-Angriff erkennen.

Checkliste: erste Schritte

Wie DAVINCI unterstützt

Wir stellen fest, welche PHP-Fassung Ihre Website wirklich nutzt, bringen sie auf einen sicheren Stand und gehen das kritische Zeitfenster durch – als einmaligen Quick-Check für 49 Euro oder als vollständige Aufarbeitung über Incident Response. Akut erreichen Sie uns rund um die Uhr über IT-Notfall, sonst über die Kontaktseite.

Verwandte Themen: Wer hier weiterdenkt, liest bei WordPress-Sicherheit, PHP-Sicherheitslücke und Remote Code Execution weiter.