Am Dienstag, 21. Oktober 2026, um 16 Uhr Schweizer Zeit hat das PHP-Projekt Korrekturen für zwei schwerwiegende Sicherheitslücken veröffentlicht. In Fachkreisen hat der Vorfall schnell einen Namen bekommen: PHP2Shell.
Vielleicht haben Sie davon in den Nachrichten gelesen oder unsere Info-Mail erhalten. In diesem Artikel erklären wir ohne Fachchinesisch, worum es geht, wer betroffen ist und was wir bereits für Sie erledigt haben.
Das Wichtigste vorweg: Wenn Ihre Website bei HostBott liegt, müssen Sie nichts tun. Seit dem 21. Oktober 2026, 18:38 Uhr laufen alle von uns betriebenen Dienste mit einer korrigierten PHP-Version: Websites, Nextcloud, Webmail und die von uns betreuten VPS.
Was ist PHP überhaupt?
PHP ist eine Programmiersprache, mit der ein grosser Teil aller Websites weltweit läuft. Wenn Sie eine Seite aufrufen, erzeugt PHP auf dem Server im Hintergrund den Inhalt, den Sie im Browser sehen.
WordPress basiert auf PHP, ebenso viele Online-Shops, Nextcloud und die meisten Webmail-Programme. Sie merken als Besucherin oder Besucher nichts davon, aber ohne PHP würden diese Websites nicht funktionieren.
Was ist passiert?
Fachleute haben in PHP zwei Fehler gefunden. Sie tragen die offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 und wurden mit 9.2 von 10 Punkten als kritisch eingestuft.
Vereinfacht gesagt:
- Die erste Lücke (CVE-2026-109618): Wenn einer Website während einer Anfrage der Arbeitsspeicher ausgeht, bleiben interne Daten halb fertig zurück. PHP arbeitet trotzdem damit weiter, als wären sie vollständig.
- Die zweite Lücke (CVE-2026-109619): Reste einer früheren Anfrage bleiben im Speicher liegen. Eine spätere Anfrage kann diese Reste missbrauchen.
Beides klingt harmlos, ist es aber nicht. Geschickt ausgenutzt, könnten Angreifer eine Website aus der Ferne übernehmen. Ein Login oder ein Passwort brauchen sie dafür nicht.
Wer ist betroffen?
Betroffen ist praktisch jede Website, die mit PHP läuft. Das schliesst WordPress-Websites, Online-Shops, Nextcloud und Webmail ein.
Das PHP-Projekt hat korrigierte Versionen herausgegeben: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer PHP 8.1 oder eine ältere Version einsetzt, erhält offiziell keine Korrektur mehr und sollte auf eine aktuelle Version wechseln.
Wird die Lücke schon ausgenutzt?
Mehrere Sicherheitsfirmen berichten von ersten Angriffen. Eine Sicherheitsfirma hat eine der Lücken zudem bereits nachgebaut. Das zeigt, dass ein Angriff in der Praxis machbar ist.
Offiziell bestätigt ist eine Ausnutzung bisher nicht, weder vom PHP-Projekt noch von der US-Behörde für Cybersicherheit (CISA). Wir behandeln die Lücken trotzdem so, als würden sie bereits aktiv ausgenutzt. Bei Sicherheitslücken dieser Grössenordnung ist Abwarten keine gute Idee.
Was wir für Sie getan haben
Wir haben noch am selben Nachmittag gehandelt. Hier der Ablauf in Schweizer Zeit:
- 16:00 Uhr: Das PHP-Projekt veröffentlicht die Korrekturen.
- 16:20 Uhr: Wir informieren alle Kundinnen und Kunden per Mail.
- 16:25 bis 16:32 Uhr: Wir aktualisieren alle Websites auf die korrigierte Version PHP 8.4.27.
- Ab 16:31 Uhr: Neue Websites entstehen direkt mit der korrigierten Version.
Beim Update war jede Website im Mittel nur 8 Sekunden nicht erreichbar, im längsten Fall 86 Sekunden. Die meisten Besucherinnen und Besucher dürften davon nichts bemerkt haben.
Manche Anbieter haben PHP vorübergehend ganz abgeschaltet, bis die Korrektur eingespielt war. Die betroffenen Websites waren in dieser Zeit offline. Das ist eine nachvollziehbare Vorsichtsmassnahme. Bei uns war sie nicht nötig, weil wir alle Websites innerhalb weniger Minuten aktualisieren konnten.
Nextcloud und Webmail
Für Nextcloud und unser Webmail gab es die offiziell aktualisierten Pakete zunächst noch nicht. Wir haben deshalb sofort die Schutzmassnahmen aktiviert, die das PHP-Projekt für diesen Fall empfiehlt. Bei Nextcloud geschah das ohne jeden Unterbruch. Beim Webmail haben wir zusätzlich die Grösse von Anfragen begrenzt.
Statt auf die Hersteller zu warten, haben wir das endgültige Update selbst gebaut. Dafür haben wir den offiziellen Quellcode von php.net verwendet und vorher geprüft, dass er unverändert ist. Nextcloud und Webmail sind dabei exakt in den Versionen geblieben, die Sie bisher genutzt haben. Geändert hat sich nur PHP im Hintergrund.
Webmail ist fertig: Seit 18:13 Uhr läuft unser Webmail mit der korrigierten PHP-Version. Beim Umstellen war es jeweils etwa 15 Sekunden nicht erreichbar. Wer zwischen etwa 18:11 und 18:14 Uhr im Webmail angemeldet war, musste sich eventuell neu anmelden. Ihre Mails und Daten sind davon nicht betroffen.
Nextcloud ist fertig: Seit 18:38 Uhr laufen alle Nextcloud-Instanzen mit der korrigierten PHP-Version. Jede Nextcloud ist dabei einmal neu gestartet und war dafür etwa 1,5 bis 3 Minuten nicht erreichbar. Fehler gab es keine.
Von uns betreute VPS
Die VPS, die wir für Kundinnen und Kunden betreuen (Managed VPS), laufen seit 18:10 Uhr alle mit einer korrigierten PHP-Version. Die Websites darauf waren dabei jeweils nur 3 bis 6 Sekunden nicht erreichbar.
Prüfung auf Einbruchsspuren
Ein Update schliesst eine Lücke, sagt aber nichts darüber, ob sie vorher schon jemand ausgenutzt hat. Wir haben deshalb alle Websites, alle Nextcloud-Instanzen, das Webmail und die von uns betreuten VPS auf Einbruchsspuren geprüft. Wir haben keine Anzeichen für einen Angriff gefunden.
Was Sie tun müssen
Webhosting, WordPress, Nextcloud, Webmail oder Managed VPS bei HostBott: Nichts. Wir kümmern uns darum.
Eigener VPS, den Sie selbst verwalten: Hier liegt die Verantwortung für die Software bei Ihnen. Bitte aktualisieren Sie PHP so bald wie möglich. Auf Debian und Ubuntu geht das mit diesen Befehlen:
apt update && apt upgradeStarten Sie danach PHP-FPM oder Apache neu, damit die neue Version auch tatsächlich verwendet wird. Falls Sie unsicher sind oder Ihr System noch kein Update anbietet, melden Sie sich bei unserem Support. Wir helfen Ihnen gerne.
Weiterführende Informationen
- Offizielle Mitteilung des PHP-Projekts (Englisch)
- Technische Analyse von SOCRadar (Englisch)
Haben Sie Fragen zu Ihrer Website? Schreiben Sie uns über das Kundenportal oder per Mail an support@hostbott.ch. Wir antworten Ihnen persönlich.
Stand: 21. Oktober 2026, 18:40 Uhr. Alle von HostBott betriebenen Dienste sind aktualisiert, auch unsere internen Werkzeuge.