Was steckt hinter PHP2Shell?
PHP2Shell steht für zwei Schwachstellen im Kern von PHP selbst, beide als kritisch eingestuft. Der fehlerhafte Code steckt seit über zehn Jahren in PHP und betrifft nahezu alle Versionen. Das PHP-Team hat am 21. Oktober 2026 Notfall-Updates veröffentlicht, nachdem Details vorzeitig an die Öffentlichkeit gelangt waren (The Hacker News).
Die Lücken liegen nicht in Ihrer Website, sondern in der Technik darunter. Auch eine sorgfältig entwickelte Anwendung ist angreifbar, solange die PHP-Basis nicht aktualisiert ist.
Die Risiken für Ihr Unternehmen
Ein erfolgreicher Angriff gibt dem Angreifer die Kontrolle über den Webserver – mit einer einzigen Anfrage und ohne Zugangsdaten. Daraus ergeben sich vier konkrete Risiken:
- Übernahme des Servers: Angreifer können eigenen Code ausführen, Web-Shells hinterlegen und den Server als Ausgangspunkt für weitere Angriffe im Netzwerk nutzen.
- Diebstahl sensibler Daten: Selbst ohne Codeausführung lässt sich Speicher des PHP-Prozesses auslesen. Dort können Passwörter, Session-Tokens, API-Schlüssel und Zertifikate anderer Anfragen liegen.
- Ausfall von Diensten: Mehrere Organisationen haben ihre Services vorsorglich vom Netz genommen, darunter in den Niederlanden Behördenportale wie DigiD sowie der HR-Anbieter BambooHR.
- Folgekosten und Meldepflichten: Ein kompromittierter Server kann Datenschutzvorfälle nach DSGVO und Meldepflichten nach NIS2 auslösen.
Cloudflare und watchTowr berichten von aktiven Angriffsversuchen auf beide Lücken. Cloudflare beobachtete zudem, dass Angreifer ihre Payloads gezielt anpassen, um Filterregeln zu umgehen. Ein bestätigter erfolgreicher Einbruch war bis zum 22.Oktober nicht bekannt (TheHacker News, heiseonline).
Wer ist betroffen?
Betroffen ist grundsätzlich jedes Unternehmen, das PHP-basierte Webanwendungen betreibt – von der Firmenwebsite mit WordPress oder TYPO3 über Webshops bis zu Kundenportalen. Oft steckt PHP auch unbemerkt in eingekaufter Software, Hosting-Oberflächen oder Appliances.
Für die aktuellen PHP-Versionen 8.2 bis 8.5 stehen Updates bereit (8.5.12, 8.4.27, 8.3.36 und 8.2.35), und das Einspielen hat oberste Priorität. In der Praxis ist das aber nicht überall sofort möglich: Ältere Systeme erhalten keine offiziellen Updates mehr, Herstellerlösungen hängen vom Lieferanten ab, und jedes Update braucht Tests und ein Wartungsfenster. Weltweit sind laut einer Auswertung von Mallory rund 884.000 öffentlich erreichbare Server mit veralteten PHP-Versionen im Netz.
Was ist eine Web Application Firewall – und warum ist sie so wichtig?
Eine Web Application Firewall (WAF) ist ein Schutzschild, der vor Ihren Webanwendungen sitzt. Sie prüft jede eingehende Anfrage, bevor diese die Anwendung erreicht, und blockiert alles, was nach einem Angriff aussieht. Eine klassische Netzwerk-Firewall regelt dagegen nur, wer mit wem kommunizieren darf – nicht, was inhaltlich übermittelt wird.
Gerade bei Lücken wie PHP2Shell zeigt sich der Wert einer WAF:
- Zeit gewinnen: Zwischen Bekanntwerden einer Lücke und dem Einspielen des Updates vergehen oft Tage oder Wochen. Eine WAF schützt in dieser kritischen Phase („virtuelles Patching“).
- Altsysteme absichern: Anwendungen, die sich nicht kurzfristig aktualisieren lassen, bleiben trotzdem geschützt.
- Eine Stelle für viele Anwendungen: Statt jede Anwendung einzeln abzusichern, schützt eine zentrale WAF alle dahinterliegenden Systeme.
- Schutz vor dem Unbekannten: Moderne WAFs erkennen Angriffe anhand ihres Verhaltens und können so auch neue, noch nicht dokumentierte Angriffsmuster abwehren.
Wichtig: Eine WAF ersetzt das Update nicht, sondern ergänzt es. Sie ist eine zusätzliche Verteidigungslinie, die das Risiko deutlich senkt, bis alle Systeme aktualisiert sind.
Die Lösung: Check Point WAF
Check Point gehört zu den führenden Anbietern im Bereich Cybersecurity. Die Check Point WAF erkennt Angriffe mithilfe künstlicher Intelligenz am Verhalten, statt sich nur auf bekannte Angriffssignaturen zu verlassen. Das ist bei neuen Lücken wie PHP2Shell entscheidend, weil zu Beginn noch keine fertigen Erkennungsmuster existieren.
In dem Blogbeitrag zu php2shell empfiehlt Check Point unter anderem:
- WAF im Blockiermodus betreiben, damit erkannte Angriffe aktiv gestoppt und nicht nur protokolliert werden.
- Schutz-Updates automatisch beziehen, damit neue Erkennungsregeln für PHP2Shell sofort greifen.
- Angriffsflächen verkleinern, indem nur die Anfragen zugelassen werden, die eine Anwendung tatsächlich benötigt.
- Folgeschäden begrenzen, indem Webserver nur die Verbindungen nach außen aufbauen dürfen, die sie wirklich brauchen.
Kostenlos einsteigen: die Open-Source-WAF open-appsec
Nicht jede Organisation hat Budget für eine kommerzielle WAF – gerade jetzt, wo schnell gehandelt werden muss. Mit open-appsec gibt es eine Open-Source-Variante der Check Point WAF. Sie bietet nicht den vollen Funktionsumfang der Kaufversion, setzt aber auf dieselbe Idee: Angriffe werden anhand ihres Verhaltens erkannt, nicht nur über bekannte Signaturen.
open-appsec arbeitet als Agent an einem NGINX-Server oder Kong Gateway. Dieser sitzt als Reverse Proxy vor Ihren Anwendungen und prüft jede Anfrage, bevor sie an PHP weitergeleitet wird.
Legitime Anfragen gehen an Ihre Anwendungen weiter; präparierte Angriffsanfragen stoppt der Agent, bevor PHP sie verarbeitet.
Die Einrichtung in drei Schritten:
- Account anlegen: Registrieren Sie sich kostenlos auf openappsec.io. Dort finden Sie auch Dokumentation und Tutorials.
- Plugin installieren, wenn NGINX oder Kong bereits im Einsatz ist: Läuft Ihre Website schon hinter NGINX oder einem Kong Gateway, genügt die Installation des open-appsec-Plugins.
- Andernfalls einen Reverse Proxy aufsetzen: Ohne NGINX richten Sie einen Reverse Proxy auf NGINX- oder Kong-Basis ein, verlagern die SSL-Zertifikate dorthin und installieren dort das Plugin. Ihre Anwendung bleibt dabei unverändert.
Unser Tipp: Starten Sie im Lernmodus, prüfen Sie die erkannten Ereignisse und schalten Sie erst dann auf Prevent. So vermeiden Sie, dass legitime Anfragen – etwa Upload-Formulare – blockiert werden.
BrightFlare unterstützt Sie auf Wunsch dabei
Wir helfen Ihnen, Ihre PHP-Anwendungen schnell und sauber abzusichern – vom ersten Überblick bis zur laufenden WAF:
- Live-Demo: Wir zeigen Ihnen eine Installation von open-appsec bzw. der Check Point WAF und die Verwaltungsoberfläche.
- Konzeption: Gemeinsam klären wir, ob ein Plugin auf Ihrem bestehenden NGINX genügt oder ein neuer Reverse Proxy sinnvoll ist, und wie Zertifikate und Routing umziehen.
- Einrichtung und Feinschliff: Wir begleiten die Installation, den Lernmodus und die Umstellung auf Prevent, ohne dass legitime Anfragen blockiert werden.
- Upgrade-Pfad: Wenn Sie mehr Funktionen brauchen, unterstützen wir Sie beim Umstieg auf die kommerzielle Check Point WAF.
Sprechen Sie uns an – wir finden gemeinsam die passende Lösung für Ihre Umgebung.
