Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Notfall-Updates für zwei der gravierendsten Sicherheitslücken seiner Geschichte. Behörden warnten, Angreifer scannten bereits, viele Organisationen nahmen ihre Websites vom Netz. aaroon hat noch am selben Abend alle betreuten WoodWing-Studio-Systeme abgesichert – ohne dass bei unseren Kunden die Produktion stillstand.
Was ist php2shell?
Unter dem Namen „php2shell“ werden die Schwachstellen CVE-2026–109618 und CVE-2026–109619 zusammengefasst. Beide stecken im Kern von PHP selbst und sind mit 9,2 von 10 Punkten (CVSS v4.0) als kritisch eingestuft. Über sie können Angreifer ohne Anmeldung, allein mit einer präparierten Webanfrage, eigenen Code auf dem Server ausführen. Betroffen sind PHP-Versionen der vergangenen rund zwei Jahrzehnte und praktisch alle Betriebsarten, darunter PHP-FPM und Apache mit mod\_php.
Eigentlich sollten die Details erst später öffentlich werden. Weil Informationen am 20. Oktober vorzeitig durchsickerten, zog das PHP-Team die Veröffentlichung vor: Am 21. Oktober gegen 16 Uhr erschienen die abgesicherten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Das PHP-Projekt stellte klar, dass es keine vollständige Abhilfe durch Konfiguration gibt – nur das Update schließt die Lücken. Für PHP 8.1 und älter liefert das Projekt keine Korrekturen mehr.
Warum die Lage so ernst war
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab einen Sicherheitshinweis mit Warnstufe 3/Orange heraus und rechnete mit einer schnellen Ausnutzung, sobald die Patches öffentlich sind. Auch CERT-EU warnte und riet, Anwendungen im Zweifel vom Internet zu trennen.
heise online verglich die Verunsicherung mit Heartbleed oder Shellshock. Laut heise nahmen viele Organisationen ihre Webauftritte vorsorglich vom Netz, weil aktualisierte PHP-Pakete der Linux-Distributionen zunächst fehlten – ein bislang beispielloser Vorgang. Cloudflare meldete laut Reuters Millionen Angriffsversuche, die bereits Stunden vor der Veröffentlichung der Details begonnen hatten. Die korrigierten Pakete der Distributionen trafen erst im Lauf des Abends nach und nach ein.
Für Redaktionen und Verlage ist das besonders heikel: WoodWing Studio Server und viele angebundene Umsysteme laufen auf PHP. Ein kompromittierter Server kann den Zugriff auf Layouts, Artikel, Bilder und Zugangsdaten bedeuten – und im schlimmsten Fall den Stillstand der Produktion.
Unser Vorgehen am 21. Oktober
Von der Sicherheitslücke erfuhren wir um 10:31 Uhr per Mail und telefonisch von WoodWing – Stunden bevor die Patches erschienen. Diesen Vorsprung haben wir genutzt und unsere Kunden in jeder Phase informiert:
- 10:31 Uhr: Hinweis von WoodWing, Beginn der Lagebewertung
- 15:36 Uhr: Lagebild an alle Kunden, verlängerte Geschäftszeiten bis 19 Uhr
- 16 Uhr – Patch verfügbar, Test im eigenen Haus: Sobald das PHP-Projekt den Sicherheits-Patch zum Download bereitstellte, haben wir ihn zuerst auf unserem eigenen WoodWing-Studio-System eingespielt und geprüft, bevor es auf Kundensysteme ging.
- 17:30 bis 20:00 Uhr: Rollout auf allen betreuten Systemen – über die Paketquellen oder manuell, wo diese noch fehlten; Kunden mit laufender Produktion erhielten auf Wunsch einen eigenen Termin
- 22. Oktober: Patchstand auf jedem System technisch bestätigt
Das Ergebnis: Alle betreuten Systeme waren noch am Abend des 21. Oktober auf einem abgesicherten Stand – und keiner unserer Kunden musste dafür seine Produktion unterbrechen.
Was Kunden jetzt noch tun sollten
Technisch ist der Patch bestätigt. Individuelle Arbeitsabläufe können wir jedoch nicht vollständig selbst prüfen. Wir empfehlen daher einen kurzen Funktionstest: Anmeldung in Studio (Web), InDesign und InCopy, Layouts und Artikel öffnen, bearbeiten, ein- und auschecken, Vorschauen und PDF-Erzeugung sowie Automatisierungen über InDesign Server und angebundene Systeme. Auffälligkeiten melden Sie bitte mit kurzer Beschreibung des Arbeitsschritts an ticket@aaroon.de oder Ihren bekannten Systembetreuer.
Wer PHP-Anwendungen außerhalb unserer Betreuung betreibt, sollte die eingesetzte PHP-Version prüfen. Systeme auf PHP 8.1 oder älter erhalten keinen offiziellen Fix mehr und gehören auf eine unterstützte Version gehoben.
Fazit
php2shell hat gezeigt, wie schnell aus einer Sicherheitsmeldung ein Betriebsrisiko wird – und wie wichtig ein eingespieltes Vorgehen ist: frühzeitig informieren, im eigenen System testen, einen Plan B für fehlende Pakete haben und die Produktion der Kunden mitdenken. Genau so haben wir am 21. Oktober gearbeitet. Ebenso entscheidend ist ein aktueller Systemstand: Nur wenn Komponenten wie WoodWing Studio und die zugrunde liegende PHP-Version auf einem unterstützten Stand sind, lassen sich Sicherheitsupdates im Ernstfall schnell und ohne Umwege einspielen. Für PHP 8.1 und älter gab es diesmal gar keinen Patch – wer hier noch nicht aktualisiert hat, sollte das jetzt angehen.
Unser Dank gilt allen Kunden für die schnelle und konstruktive Abstimmung an diesem Tag.
—
Quellen
- php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen, heise online, 22.10.2026: https://www.heise.de/news/php2shell-Updates-trudeln-ein-viele-Webseiten-offline-Angriffe-laufen-11496366.html
- php2shell: Critical flaws allow code injection in PHP, heise online, 21.10.2026: https://www.heise.de/en/news/php2shell-Critical-flaws-allow-code-injection-in-PHP-11494897.html
- Release PHP 8.5.12, PHP-Projekt (php/php-src, GitHub), 21.10.2026: https://github.com/php/php-src/releases/tag/php‑8.5.12
