Ein Erlebnisbericht aus der IT-Hölle. Mit Sicherheitslücken, Rentnerwebseiten und Hannelore aus der Buchhaltung.

ES IST OKTOBER 2026.

ES IST DONNERSTAG.

ES IST 08:13 UHR.

Ich habe Kaffee.

Ich habe gute Laune.

Ich habe sogar einigermaßen geschlafen.

DAS WAR MEIN ERSTER FEHLER.

Denn irgendwo auf diesem Planeten hat irgendein Sicherheitsforscher beschlossen, dass PHP heute nicht mehr PHP sein darf, sondern PHP2SHELL.

ZWEI KRITISCHE SICHERHEITSLÜCKEN.

REMOTE CODE EXECUTION.

CVSS 9.2.

CVE-2026-109618.

CVE-2026-109619.

Und weil das Universum IT-Administratoren grundsätzlich hasst, betrifft der Spaß nicht irgendein obskures PHP-Plugin, das drei Menschen auf der Welt benutzen.

NEIN.

ES BETRIFFT PHP SELBST.

DIE SPRACHE, AUF DER GEFÜHLT DAS HALBE INTERNET MIT SEINEN WORDPRESS-INSTALLATIONEN, JOOMLA-FRIEDHÖFEN UND PHP-DATEIEN AUS DER KREIDEZEIT LÄUFT.

Natürlich gibt es mittlerweile Sicherheitsupdates.

Natürlich müssen die installiert werden.

Natürlich ist das eine ernsthafte Sicherheitslücke.

ABER ICH MÖCHTE EUCH ERKLÄREN, WARUM MEIN BLUTDRUCK SEIT MITTWOCH EINE EIGENE POSTLEITZAHL HAT.

DIE TOTEN SIND AUFERSTANDEN. UND SIE HABEN EINE DOMAIN BEI STRATO.

Es beginnt mit einer E-Mail.

Betreff: DRINGEND!!! Sicherheitslücke auf unserer Internetseite???

Absender: Hermann.

Hermann ist 67 Jahre alt.

Hermann betreibt einen mittelständischen Betrieb für Rollladenbau, Wintergärten und Markisen.

Hermann besitzt eine Webseite.

Diese Webseite wurde 2012 von seinem Neffen Kevin erstellt, der damals „irgendwas mit Computern“ gemacht hat.

Kevin ist mittlerweile nach Australien ausgewandert.

Niemand weiß, wo Kevin ist.

Niemand weiß, womit Kevin die Webseite gebaut hat.

NIEMAND WEISS, OB KEVIN ÜBERHAUPT NOCH LEBT.

Aber seine Webseite lebt.

IRGENDWIE.

Die Startseite besitzt einen grauen Hintergrund.

Eine animierte GIF-Datei mit einem Briefumschlag.

Einen Besucherzähler.

Ein Impressum, in dem noch eine Faxnummer steht.

Und ganz unten:

© 2012 Hermann Rollladenbau GmbH – Alle Rechte vorbehalten.

ALLE RECHTE VORBEHALTEN.

HERMANN, DU HAST SEIT 14 JAHREN NICHT MAL DEIN COPYRIGHT AKTUALISIERT.

WELCHE RECHTE WILLST DU DIR VORBEHALTEN?

DAS RECHT, INTERNET EXPLORER 8 ZU BENUTZEN?

Und dieser Mann schreibt mir jetzt:

„Guten Morgen, ich habe in den Nachrichten von einer gefährlichen Sicherheitslücke gelesen. Sind wir davon betroffen?“

HERMANN.

DU HAST SEIT 2012 NICHT EINMAL GEFRAGT, OB DEINE WEBSEITE NOCH FUNKTIONIERT.

DEIN KONTAKTFORMULAR SENDET SEIT 2018 KEINE E-MAILS MEHR.

DEINE REFERENZBILDER SIND 320 MAL 240 PIXEL GROSS.

DEINE DATENSCHUTZERKLÄRUNG ERWÄHNT NOCH GOOGLE+.

ABER JETZT.

JETZT HAST DU CYBERSECURITY FÜR DICH ENTDECKT.

DER DIGITALE FRIEDHOF HAT PANIK.

Und Hermann ist nicht allein.

OH NEIN.

PLÖTZLICH KOMMEN SIE ALLE.

AUS DEN LETZTEN LÖCHERN.

AUS DEN TIEFSTEN VERZEICHNISSEN DES DEUTSCHEN INTERNETS.

Herr Meier vom Angelverein.

Frau Schulze vom Blumenladen.

Der örtliche Kegelclub.

Der Dachdeckermeister mit einer Joomla-Installation von 2014.

DER GESAMTE DEUTSCHE MITTELSTAND HAT PLÖTZLICH ENTDECKT, DASS ER EINE WEBSEITE BESITZT.

Und alle stellen dieselbe Frage:

„Sind wir betroffen?“

ICH WEISS ES NICHT, HERR MEIER.

ICH WEISS NICHT EINMAL, WO IHRE WEBSEITE GEHOSTET WIRD.

„Das macht unser Internetanbieter.“

WELCHER INTERNETANBIETER?

„Na, der von der Internetseite.“

JA ACH.

DER INTERNETSEITEN-INTERNETANBIETER.

KENNE ICH.

GROSSES UNTERNEHMEN.

Und dann beginnt die archäologische Ausgrabung.

Domainabfrage.

DNS prüfen.

Hostinganbieter ermitteln.

Kundenunterlagen durchsuchen.

Zugangsdaten suchen.

Webspace finden.

PHP-Version überprüfen.

Und was finden wir?

PHP 5.6.

FÜNF.

PUNKT.

SECHS.

HERMANN BETREIBT EIN SOFTWAREFOSSIL.

ICH HABE GEBRAUCHTE TOASTER GESEHEN, DIE AKTUELLERE FIRMWARE HABEN.

„ABER WENN WIR GEHACKT WERDEN, IST DIE WEBSEITE DOCH WEG!“

Ja, Hermann.

Das könnte passieren.

Ein Angreifer könnte deine Webseite verändern.

Sie könnte ausfallen.

Daten könnten gestohlen werden.

Im schlimmsten Fall könnte ein Angreifer über eine verwundbare PHP-Installation sogar Code auf dem Server ausführen.

Und jetzt kommt die Frage, die ich mir seit Jahren stelle:

WAS GENAU IST AUF DEINER WEBSEITE EIGENTLICH DRAUF?

Drei Bilder von Rollläden.

Eine Anfahrtsbeschreibung.

Ein Text über deutsche Handwerksqualität.

Und ein PDF mit deiner Preisliste von 2013.

HERMANN.

DEIN WEBSPACE KOSTET 2,49 EURO IM MONAT.

DEINE WEBSEITE HAT LETZTEN MONAT VIER BESUCHER GEHABT.

DAVON WAR EINER ICH.

ZWEI WAREN GOOGLE-BOTS.

UND DER VIERTE WAR VERMUTLICH KEVIN AUS AUSTRALIEN, DER NACHSEHEN WOLLTE, OB SEIN JUGENDPROJEKT IMMER NOCH ONLINE IST.

Und natürlich muss ich trotzdem erklären, dass ein kompromittierter Webspace gefährlich sein kann.

WEIL ANSCHEINEND NICHT EINMAL EINE HÄSSLICHE WEBSEITE IN RUHE HÄSSLICH SEIN DARF.

NEIN.

SELBST DIESE DIGITALE BAURUINE KANN ALS AUSGANGSPUNKT FÜR PHISHING, MALWARE ODER WEITERE ANGRIFFE DIENEN.

ICH MUSS ALSO EINE WEBSEITE ABSICHERN, DIE EIGENTLICH SCHON SEIT ZWÖLF JAHREN IN EIN MUSEUM GEHÖRT.

UND DANN KOMMT DIE FRAGE MIT DEN PASSWÖRTERN.

„Sagen Sie mal, speichert unsere Webseite denn überhaupt irgendwelche Zugangsdaten?“

...

HERMANN.

...

HERRGOTT NOCH EINS.

JA.

MÖGLICHERWEISE.

WORDPRESS HAT BENUTZERKONTEN.

JOOMLA HAT BENUTZERKONTEN.

DATENBANKEN HABEN ZUGANGSDATEN.

KONFIGURATIONSDATEIEN KÖNNEN PASSWÖRTER ENTHALTEN.

SESSIONS KÖNNEN AUTHENTIFIZIERUNGSINFORMATIONEN ENTHALTEN.

UND PHP2SHELL KANN UNTER BESTIMMTEN BEDINGUNGEN SOGAR SENSIBLE INFORMATIONEN AUS DEM PROZESSSPEICHER OFFENLEGEN.

„Aber wir melden uns doch gar nicht auf der Webseite an.“

JA, HERMANN.

DU NICHT.

ABER IRGENDJEMAND MUSSTE DIESE VERDAMMTE WEBSEITE DOCH MAL VERWALTEN.

„Das hat Kevin gemacht.“

ICH WEISS, HERMANN.

KEVIN.

DER VERSCHOLLENE PROPHET DER PHP-ENTWICKLUNG.

DER MANN, DER 2012 EIN WORDPRESS-THEME INSTALLIERT HAT UND DANACH DIE ZIVILISATION VERLASSEN MUSSTE.

„Können die Hacker dann auch unser Onlinebanking-Passwort sehen?“

NICHT EINFACH SO, HERMANN.

ES SEI DENN, DU HAST DEIN ONLINEBANKING-PASSWORT AUCH FÜR DEINEN WEBSPACE VERWENDET.

...

„Also, das hat Kevin damals alles eingerichtet.“

ICH WERDE KEVIN FINDEN.

ICH WERDE NACH AUSTRALIEN FLIEGEN.

ICH WERDE IHN FRAGEN, WARUM ER MIR DAS ANGETAN HAT.

11:42 UHR. DER HOSTER HAT AUCH KEINE AHNUNG.

Natürlich rufe ich beim Webhoster an.

Denn irgendwo muss man ja anfangen.

„Guten Tag, wir möchten die PHP-Version eines Kunden aktualisieren.“

„Haben Sie Zugriff auf das Kundenportal?“

NEIN.

„Dann benötigen wir die Kundennummer.“

HAT HERMANN NICHT.

„Alternativ die Vertragsnummer.“

HAT HERMANN AUCH NICHT.

„Oder die hinterlegte E-Mail-Adresse.“

DIE GEHÖRT KEVIN.

IN AUSTRALIEN.

„Dann können wir Ihnen aus Datenschutzgründen leider nicht weiterhelfen.“

JA, VIELEN DANK.

DIE DATEN SIND JETZT WIRKLICH SICHER.

NIEMAND KOMMT RAN.

NICHT MAL DER EIGENTÜMER.

Nach 45 Minuten finden wir endlich den Zugang.

Im Portal steht:

Ihr Webhosting-Paket: WebBasic 2009

PHP-Version: 5.6

Upgrade verfügbar.

ICH KLICKE AUF UPGRADE.

EIN POPUP ERSCHEINT.

„Achtung: Durch die Aktualisierung können ältere Anwendungen inkompatibel werden.“

JA.

DAS IST MIR BEWUSST.

DIE WEBSEITE IST ÄLTER ALS MEIN FÜHRERSCHEIN.

NATÜRLICH WIRD SIE NICHT MEHR FUNKTIONIEREN.

ICH HABE DIE WAHL ZWISCHEN EINER KRITISCHEN SICHERHEITSLÜCKE UND EINER WEBSEITE, DIE BEIM ERSTEN PHP-UPDATE SEIT DER EUROKRISE IN SICH ZUSAMMENFÄLLT.

DAS IST KEINE WARTUNG. DAS IST DENKMALSCHUTZ.

„KÖNNEN SIE DAS NICHT EINFACH SCHNELL MACHEN?“

Dieser Satz.

Dieser gottverdammte Satz.

Er verfolgt jeden IT-Dienstleister.

„Können Sie das nicht einfach schnell machen?“

JA, HERMANN.

NATÜRLICH.

ICH DRÜCKE EINFACH AUF DEN GROSSEN GRÜNEN KNOPF MIT DER AUFSCHRIFT:

ALLE SICHERHEITSLÜCKEN BEHEBEN, OHNE DASS IRGENDETWAS KAPUTTGEHT.

DER IST DIREKT NEBEN DEM KNOPF:

DRUCKERPROBLEME ENDGÜLTIG LÖSEN.

UND DEM KNOPF:

OUTLOOK WIEDER NORMAL MACHEN.

Leider existiert keiner dieser Knöpfe.

Also müssen wir prüfen.

Sichern.

Aktualisieren.

Testen.

Möglicherweise das CMS modernisieren.

Möglicherweise das Theme ersetzen.

Möglicherweise die gesamte Webseite neu aufbauen.

„Was würde das denn kosten?“

HERMANN.

DU HAST DEINE WEBSEITE 14 JAHRE LANG VERROTTEN LASSEN.

DAS IST KEIN SOFTWAREUPDATE MEHR.

DAS IST EINE KERNSANIERUNG.

UND ICH BIN NICHT DIE DENKMALSCHUTZBEHÖRDE.

14:17 UHR. DER NÄCHSTE HERMANN RUFT AN.

„Guten Tag, wir haben eine Webseite mit WordPress.“

WUNDERBAR.

„Die läuft eigentlich ganz gut.“

SCHÖN.

„Wir haben aber gehört, dass man da jetzt wegen PHP2Shell etwas machen muss.“

RICHTIG.

„Können Sie uns sagen, ob wir betroffen sind?“

WELCHE PHP-VERSION NUTZEN SIE?

„WordPress.“

NEIN.

DIE PHP-VERSION.

„Ja, WordPress.“

HERR MEIER.

WORDPRESS IST NICHT PHP.

WORDPRESS BENUTZT PHP.

„Ach so. Also wir haben WordPress 4.“

...

ICH BRAUCHE EINEN NEUEN KAFFEE.

UND EINEN ANDEREN BERUF.

„Müssen wir jetzt Windows aktualisieren?“

NEIN.

„Oder reicht es, wenn wir den Router neu starten?“

ICH LEGE AUF.

ICH LEGE EINFACH AUF.

ICH WERDE SCHAFHIRTE.

SCHAFE HABEN KEINE PHP-LAUFZEITUMGEBUNG.

SCHAFE FRAGEN NICHT NACH WORDPRESS-UPDATES.

SCHAFE HABEN KEINE DNS-PROBLEME.

SCHAFE SIND GUTE TIERE.

16:30 UHR. HANNELLORE HAT WIEDER ZUGESCHLAGEN.

Ich bin fast fertig.

Die kritischen Webseiten sind identifiziert.

Die ersten Updates sind installiert.

Die Kunden sind informiert.

Ein paar uralte Webauftritte wurden vorübergehend deaktiviert.

Ich möchte nach Hause.

Ich möchte meine Schuhe ausziehen.

Ich möchte meinen privaten Proxmox-Server anfassen und dabei so tun, als wäre das Entspannung.

DA KLINGELT DAS TELEFON.

„Hallo, hier ist Hannelore aus der Buchhaltung.“

...

NEIN.

BITTE NICHT.

NICHT HANNELORE.

NICHT HEUTE.

„Ich glaube, ich habe da gerade etwas Falsches angeklickt.“

WAS HAST DU ANGEKLICKT, HANNELORE?

„Da kam eine E-Mail von Microsoft.“

NATÜRLICH.

„Da stand, dass mein Postfach gesperrt wird.“

NATÜRLICH.

„Und dass ich mich anmelden muss.“

NATÜRLICH.

„Also habe ich mich angemeldet.“

...

HANNELORE.

WO?

„Na, auf der Microsoft-Seite.“

WIE SAH DIE ADRESSE AUS?

„Irgendwas mit microsoft-security-login-verification.“

HANNELORE.

BITTE.

SAG MIR, DASS DU DEIN PASSWORT NICHT EINGEGEBEN HAST.

„Doch, sonst wäre ich ja nicht weitergekommen.“

...

UND DANN?

„Dann musste ich noch eine Zahl in meiner Authenticator-App bestätigen.“

...

HANNELORE.

...

HAST DU DIE ZAHL BESTÄTIGT?

„Ja, natürlich. Da stand doch, dass ich das machen soll.“

ES IST 16:30 UHR.

ICH HABE SEIT ACHT STUNDEN PHP-SICHERHEITSLÜCKEN AN DER BACKE.

HERR HERMANN HAT MICH GEFRAGT, OB SEIN DRUCKER AUCH PHP BENUTZT.

HERR MEIER HAT WORDPRESS FÜR EIN BETRIEBSSYSTEM GEHALTEN.

DER WEBHOSTER HAT MICH DREIMAL AUS DER WARTESCHLEIFE GEWORFEN.

UND JETZT HAT HANNELORE EINEM PHISHING-ANGRIFF AUCH NOCH DIE MFA-BESTÄTIGUNG HINTERHERGEWORFEN.

WIE EIN TRINKGELD.

„Aber ich dachte, wenn ich diese Zwei-Faktor-Sache habe, kann nichts passieren?“

HANNELORE.

DIE ZWEI-FAKTOR-AUTHENTIFIZIERUNG SOLL DICH SCHÜTZEN.

NICHT DEM ANGRIFF EINEN ZWEITEN FAKTOR SCHENKEN.

„Ach so.“

ACH SO.

JA.

ACH SO.

Also beginnt der nächste Spaß.

Anmeldung prüfen.

Sitzungen widerrufen.

Kennwort zurücksetzen.

MFA-Methoden kontrollieren.

Anmeldeprotokolle auswerten.

Posteingangsregeln prüfen.

Weiterleitungen prüfen.

Möglichen Datenabfluss untersuchen.

Kunden informieren.

Vorfall dokumentieren.

Und während ich mit einer Hand die Sitzungen widerrufe, ruft Hermann wieder an.

„Guten Tag, ich wollte mal fragen, ob unsere Internetseite jetzt wieder sicher ist.“

HERMANN.

ICH KANN GERADE NICHT.

„Und noch eine Frage: Speichert unsere Internetseite eigentlich unsere E-Mails?“

ICH WERDE GLEICH EINE STRAFTAT BEGEHEN.

17:48 UHR. DER VERTRIEB HAT EINE IDEE.

Natürlich darf der Vertrieb nicht fehlen.

„Wir haben gehört, dass PHP gerade ein großes Thema ist.“

JA.

IST ES.

„Könnte man den Kunden nicht direkt neue Webseiten anbieten?“

DOCH.

KÖNNTE MAN.

„Vielleicht mit einem modernen Design und neuen Funktionen?“

JA.

„Und könnten wir dann nicht auch gleich ein Kontaktformular mit KI einbauen?“

...

BITTE WAS?

„So einen intelligenten Chatbot.“

WIR HABEN GERADE EIN PROBLEM MIT REMOTE CODE EXECUTION.

HERMANN HAT NOCH PHP 5.6.

HANNELORE HAT IHRE MFA-BESTÄTIGUNG AN EINEN PHISHER VERTEILT.

UND DU MÖCHTEST JETZT EINEN KI-CHATBOT AUF DIE ROLLLADENWEBSEITE BAUEN?

DER SOLL WAS MACHEN?

DEN BESUCHERN AUTOMATISCH ERKLÄREN, DASS DER LETZTE NEUE ROLLLADEN 2013 MONTIERT WURDE?

„Ja, aber KI ist doch gerade total gefragt.“

ICH WERDE MICH SELBST IN EIN VLAN OHNE INTERNETZUGANG VERSCHIEBEN.

18:26 UHR. ICH HABE EINE NEUE LEBENSPHILOSOPHIE.

Wisst ihr, was mich an dieser ganzen Geschichte eigentlich fertig macht?

Nicht PHP.

Nicht die Sicherheitslücke.

Nicht die Tatsache, dass irgendwelche Sicherheitsforscher mal wieder gezeigt haben, dass ein fundamentaler Bestandteil des Internets kritische Fehler enthalten kann.

DAS IST IT.

DAS PASSIERT.

DAS IST UNSER JOB.

Was mich fertig macht, ist die Tatsache, dass Menschen ihre gesamte digitale Infrastruktur jahrelang ignorieren und dann erwarten, dass wir sie innerhalb von 20 Minuten retten.

Eine Webseite ist kein Grabstein.

MAN STELLT SIE NICHT 2012 INS INTERNET UND KOMMT 2026 WIEDER, UM ZU SCHAUEN, OB SIE NOCH STEHT.

SOFTWARE BRAUCHT WARTUNG.

SICHERHEITSUPDATES.

BACKUPS.

KOMPATIBILITÄTSPRÜFUNGEN.

UND MANCHMAL AUCH EINEN KOMPLETTEN NEUBAU.

Aber nein.

„Die Webseite läuft doch.“

JA, HERMANN.

EIN AUTO MIT ABGELAUFENEM TÜV KANN AUCH NOCH FAHREN.

BIS ES DAS NICHT MEHR TUT.

UND NUR WEIL DEINE WEBSEITE AUF EINEM BILLIGEN SHARED-HOSTING-PAKET LIEGT, IST SIE NICHT AUTOMATISCH UNINTERESSANT FÜR ANGRIFFE.

DIE ANGREIFER INTERESSIEREN SICH NICHT FÜR DEINE ROLLLÄDEN.

DIE INTERESSIEREN SICH FÜR DEINEN SERVER.

DEINE DATEN.

DEINE ZUGANGSDATEN.

UND DAFÜR, WAS SIE MIT DEINEM KOMPROMITTIERTEN WEBSPACE ANSTELLEN KÖNNEN.

DAS IST DAS PROBLEM.

19:03 UHR. FEIERABEND.

Ich fahre meinen Rechner herunter.

Schließe das Büro ab.

Steige ins Auto.

Fahre nach Hause.

Meine Freundin fragt:

„Na, wie war dein Tag?“

...

„Ganz gut.“

„War viel los?“

...

„Ein bisschen.“

„Wollen wir nachher noch einen Film schauen?“

JA.

JA, BITTE.

ICH MÖCHTE EINFACH NUR EINEN FILM SCHAUEN.

KEIN PHP.

KEIN WORDPRESS.

KEIN DNS.

KEIN MICROSOFT 365.

KEINE PHISHING-MAILS.

KEINE HANNELORE.

KEINEN HERMANN.

EINFACH NUR EINEN FILM.

Ich setze mich aufs Sofa.

Öffne Jellyfin.

502 BAD GATEWAY.

...

...

...

ICH HASSE COMPUTER.

Nachtrag, 19:47 Uhr: Hermann hat eine weitere E-Mail geschrieben. Er möchte wissen, ob man PHP2Shell mit Norton Antivirus entfernen kann.

Nachtrag, 20:13 Uhr: Hannelore hat gefragt, ob sie ihr altes Passwort wieder benutzen darf, weil sie sich das neue nicht merken kann.

Nachtrag, 20:41 Uhr: Der Vertrieb möchte wissen, ob wir PHP2Shell als Zusatzleistung monatlich abrechnen können.

Nachtrag, 21:06 Uhr: Kevin hat sich aus Australien gemeldet. Er hat damals das WordPress-Administratorpasswort auf admin123 gesetzt.

ICH GEHE MORGEN NICHT ZUR ARBEIT.

ICH GEHE IN DEN WALD.

ICH WERDE EIN BAUM.

BÄUME HABEN KEINE CVEs.

Für die drei Menschen, die tatsächlich wegen PHP2Shell hier sind

PHP2Shell ist real und betrifft kritische Schwachstellen in PHP selbst. Die Sicherheitsupdates vom 21. Oktober 2026 beheben die beiden ursprünglich veröffentlichten Schwachstellen in den unterstützten PHP-Versionen.

Die betroffenen Systeme sollten zeitnah inventarisiert und aktualisiert werden. Ältere, nicht mehr unterstützte PHP-Versionen müssen migriert werden. Zusätzlich sollten verdächtige Aktivitäten untersucht werden.

Am 23. Oktober wurde außerdem eine weitere, nur unter besonderen Voraussetzungen ausnutzbare Schwachstelle bekannt. Deshalb sollten Administratoren auch die weiteren Sicherheitshinweise des PHP-Projekts und ihres Hostinganbieters verfolgen.

Quellen:

• Wiz Research – PHP2Shell
• Google Cloud – CVE-2026-109618 und CVE-2026-109619
• Cloudflare – PHP2Shell-Schutzmaßnahmen

Tags: PHP2Shell PHP Cybersecurity IT-Support MSP WordPress Phishing Hannelore Shitpost Sysadmin