Am 22. Oktober 2026 waren mehr als 23'000 Server mit Bezug zur Schweiz weiterhin für PHP2Shell anfällig, eine kritische doppelte PHP-Sicherheitslücke, obwohl am Vortag Notfall-Patches veröffentlicht worden waren. Das Unternehmen Risikomonitor hat diese Erhebung durchgeführt, wie ICTjournal berichtet. Ausnutzungsversuche wurden beobachtet, Schäden sind bisher keine gemeldet. Für die Cybersicherheit von KMU liegt das Risiko vor allem bei der Website und beim Onlineshop.
Wie viele Server sind in der Schweiz noch exponiert?
Risikomonitor, spezialisiert auf die automatisierte Analyse von Websites, hat knapp 690'000 Server mit Bezug zur Schweiz untersucht. Etwas mehr als 23'000 davon sind noch von PHP2Shell betroffen, also rund 3,5 %.
Diese Zahl ist vermutlich ein Minimum. Laut ICTjournal könnte die tatsächliche Zahl höher liegen, da sich die installierte PHP-Version von aussen nicht immer erkennen lässt.
Die weltweiten Daten von VirusTotal weisen in dieselbe Richtung. Am 21. Oktober 2026 erfasste dessen Scanner mehr als 5 Millionen PHP-Server, konnte die Version aber nur bei einem Viertel davon bestimmen.
| Erhebung | Umfang | Untersuchte Server | Ergebnis |
|---|---|---|---|
| Risikomonitor, 22. Oktober 2026 | Server mit Bezug zur Schweiz | Knapp 690'000 | Etwas mehr als 23'000 noch anfällig (rund 3,5 %) |
| VirusTotal, 21. Oktober 2026 | Weltweit | Mehr als 5 Millionen | Version bei einem Viertel bestimmt; mehr als 700'000 am Ende ihres Lebenszyklus, ohne Patch |
Am besorgniserregendsten sind diese Versionen am Ende ihres Lebenszyklus. Unter den Servern mit bekannter Version sind sie am weitesten verbreitet. Sie erhalten keinen offiziellen Notfall-Patch.
Haben die Angriffe bereits begonnen?
Es gab tatsächlich Ausnutzungsversuche, doch wurde kein Angriff gemeldet, der Schäden verursacht hätte. Laut Bleeping Computer, das sich auf Amazon Threat Intelligence beruft, begannen sie vier Tage vor der Veröffentlichung der Patches. Mehrere Gruppen von Cyberkriminellen sollen verschiedene Methoden getestet haben, ohne Erfolg.
Cloudflare beschreibt denselben Druck. Der CEO Matthew Prince gab auf X an, vor der öffentlichen Bekanntgabe Tausende von Versuchen gesehen zu haben, in den 45 Minuten danach dann Zehntausende. Ihre Zahl stieg anschliessend auf mehrere Millionen.
Ein Versuch ist kein Eindringen. ICTjournal betont, dass diese Zahlen keinen erfolgreichen Angriffen entsprechen, deren Ausmass sich nur schwer messen lässt.
Wer ist in der Schweiz betroffen?
Jede Organisation, die PHP betreibt, ist potenziell betroffen, von der Gemeinde-Website bis zum Onlineshop eines KMU. PHP betreibt rund drei von vier Websites, darunter sämtliche WordPress-Sites, wie unser Artikel über die PHP-Sicherheitslücke PHP2Shell in Erinnerung rief.
Auch Websites in der Romandie wurden vom Netz genommen. Die Redaktion von ICTjournal stellte fest, dass die Websites der Universität Genf und der EPFL vorübergehend abgeschaltet worden waren. Es handelt sich um vorsorgliche Massnahmen und nicht um nachgewiesene Kompromittierungen.
Nicht nur der Webserver steht im Fokus. Das Bundesamt für Cybersicherheit (BACS) weist darauf hin, dass das Risiko auch interne Anwendungen, Administrationsoberflächen und Geräte betrifft, in denen PHP integriert ist.
Wie prüft man die eigene PHP-Version?
Der erste Schritt besteht darin, zu wissen, welche Version wo läuft. Bei einer gehosteten Website verwaltet in der Regel der Hoster PHP: Es genügt, ihn nach der installierten Version zu fragen und ob der PHP2Shell-Patch eingespielt ist.
Die Antwort wird dann mit den korrigierten Versionen verglichen, die die PHP-Entwickler veröffentlicht haben:
- PHP 8.5: Version 8.5.12;
- PHP 8.4: Version 8.4.27;
- PHP 8.3: Version 8.3.36;
- PHP 8.2: Version 8.2.35;
- PHP 8.1 und älter: keine neue offizielle Version; Schutz bieten nur minimale Patches, die Pakete der Linux-Distributoren oder eine Migration.
Die PHP-Entwickler sind deutlich: Keine Schutzmassnahme ersetzt das Update des PHP-Servers vollständig. Die in unserem ersten Artikel beschriebenen vorübergehenden Einstellungen verringern lediglich bestimmte Angriffswege.
Die Bestandsaufnahme zählt ebenso viel wie das Update. Sämtliche PHP-Installationen müssen erfasst werden, auch eine alte, vergessene Website, ein Forum oder ein von Dritten bereitgestelltes Statistik-Tool.
Was das Bundesamt für Cybersicherheit empfiehlt
Das BACS empfahl bereits am 21. Oktober 2026, die Patches sofort zu installieren. Es warnte, dass die beiden Schwachstellen es ermöglichen könnten, ohne Authentifizierung Schadcode auf einem Server auszuführen. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind mit 9,2 von 10 bewertet.
Die Ratschläge des Bundesamts lassen sich in drei Schritten zusammenfassen:
- betroffene Systeme ohne Verzug aktualisieren;
- über den Webserver hinaus auch Anwendungen und Geräte prüfen, in die PHP integriert ist;
- im Zweifelsfall einen Vorfall melden: Das BACS nimmt freiwillige Meldungen entgegen und betreibt eine Pikett-Hotline, die 24h/24 erreichbar ist.
Diese Schritte decken sich mit den grundlegenden Massnahmen der IT-Sicherheit, die das Bundesamt Unternehmen empfiehlt: rasche Updates, geschützte Zugänge und ein Reaktionsplan.
Was PHP2Shell für ein KMU ändert
Unsere Analyse: PHP2Shell stellt eine bekannte Schwachstelle der Schweizer KMU auf die Probe, die Bestandsaufnahme. Laut der am 22. Oktober 2026 veröffentlichten Studie zur Cybersicherheit von KMU installieren mehr als 80 % der KMU die Updates. Doch nur rund ein Drittel führt ein Inventar seiner IT-Systeme.
Ein Update schützt jedoch nur die bekannten Geräte. Die einer Agentur anvertraute Firmenwebsite, der Onlineshop oder das bei einem Dienstleister gehostete interne Tool fallen leicht durch das Raster.
Ein KMU, das seinen Stand einschätzen möchte, kann mit einem Cybersicherheitstest für KMU beginnen, etwa dem Cybersecurity-Check. Diese kostenlose Bestandsaufnahme erkennt unter anderem veraltete Software, eine der häufigen Ursachen erfolgreicher Angriffe.
Warum wurde die Lücke so spät behoben?
Die PHP Foundation räumt ein, dass ein Problem, das der ersten Lücke zugrunde liegt, bereits 2024 erkannt worden war. Sein Ausnutzungspotenzial sei damals nicht vollständig verstanden worden, schreibt sie in einem am 21. Oktober 2026 veröffentlichten Beitrag.
Die Organisation führt die Verzögerung auf Schwierigkeiten bei der Entscheidungsfindung und auf fehlende Ressourcen ihres Sicherheitsteams zurück.
Künstliche Intelligenz (KI) spielte bei der Entdeckung eine wichtige Rolle. Das Unternehmen Wiz gibt an, mehrere Modelle eingesetzt zu haben, darunter Gemini 4 Argon von Google und GPT-5.6 Sol von OpenAI, um die Lücken zu finden, Ausnutzungsszenarien zu entwickeln und die Patches zu überprüfen. Der Forscher Calif hat ebenfalls eine kritische Schwachstelle mit GPT-5.6 Sol identifiziert, im Rahmen der Initiative «Patch the Planet» von OpenAI.
Was noch nicht bekannt ist
Die tatsächliche Zahl anfälliger Server in der Schweiz bleibt unbekannt, da die PHP-Version nicht immer erkennbar ist. Die Erhebung von Risikomonitor gibt zudem nicht an, wie viele Schweizer Server mit einer Version am Ende ihres Lebenszyklus laufen.
Keine der konsultierten Quellen berichtet von einem erfolgreichen Eindringen in der Schweiz. Unklar ist auch, wann die vorsorglich abgeschalteten Websites alle wieder online gingen.
