php2shell und KI-Angriffe: Was Sie jetzt von Ihrer Software-Agentur erwarten sollten
Kurz gesagt: php2shell ist der Name zweier kritischer Sicherheitslücken in PHP, die am 20. Oktober 2026 bekannt wurden und jede Website und App auf PHP 5.4 oder neuer betreffen. Der Fall zeigt, dass Angriffe auf Websites und Apps heute automatisiert laufen und mit KI schneller werden. Wer Ihre Software entwickelt und betreibt, muss sie deshalb häufiger auf Schwachstellen prüfen und Sicherheitsupdates in Stunden statt in Tagen einspielen. Fünf Fragen zeigen Ihnen, ob Ihre Agentur dafür aufgestellt ist.
php2shell: Was ist passiert, und sind Sie betroffen?
Am 20. Oktober 2026 wurden zwei schwere Sicherheitslücken in PHP bekannt, unter dem Namen php2shell. PHP ist die Programmiersprache, auf der ein großer Teil aller Websites läuft, darunter jede WordPress-Seite. Über die Lücken konnten Angreifer fremde Server übernehmen, ganz ohne Passwort.
Am 21. Oktober kamen die Updates. Noch am selben Tag wurden Angriffsversuche beobachtet, nach Angaben des Netzwerkdienstleisters Cloudflare schon Stunden, bevor es überhaupt ein Update gab. Laut Amazon liefen erste Versuche gegen Ködersysteme schon am 17. Oktober, drei Tage bevor die Lücke bekannt wurde. Das CERT-EU, das IT-Sicherheitsteam der EU-Institutionen, riet, betroffene Seiten notfalls vom Netz zu nehmen. Einige nahmen ihre Seiten vom Netz.
An dem Tag zählte vor allem Organisation: Wer wusste, welche Systeme betroffen sind und wer das Update einspielt, war am selben Tag fertig. Wer erst suchen musste, nicht.
Sind Sie betroffen? Wenn Ihre Website oder App auf PHP 5.4 oder neuer läuft, ja. Sicher ist sie nur mit einem aktuellen Update der Versionen 8.2 bis 8.5. Für ältere Versionen gibt es kein offizielles Update. Dort hilft ein Umstieg auf eine unterstützte Version oder eine Korrektur, die Ihr Hoster selbst auf die alte Version überträgt. Wenn Sie das nicht selbst beantworten können, fragen Sie Ihre Agentur oder Ihren Hoster, welche Version bei Ihnen läuft und ob das Update eingespielt ist.
Läuft Ihre Software nicht auf PHP, trifft Sie diese Lücke nicht. Die nächste kann jeden anderen Baustein treffen, aus dem Ihre Software besteht. Darum geht es in diesem Text.
Warum automatisierte Angriffe jeden treffen und KI sie schneller macht
Die meisten Angriffe im Netz haben kein bestimmtes Ziel. Programme, sogenannte Bots, klopfen automatisch jede erreichbare Website ab und bleiben dort hängen, wo etwas offen ist. Laut Imperva stammt inzwischen rund die Hälfte des gesamten Web-Traffics von Bots, gut ein Drittel des gesamten Traffics von bösartigen Bots. „Wir sind zu klein, um interessant zu sein“ gilt deshalb nicht. Die Bots kennen Sie nicht, sie kennen nur Ihre Lücke.
Neu ist, dass KI-Sprachmodelle diese Bots anpassungsfähiger machen. Der KI-Anbieter Anthropic hat Konten ausgewertet, die er wegen Missbrauchs gesperrt hat: Zwei Drittel davon nutzten die KI, um Schadsoftware zu entwickeln. Derselbe Anbieter sagte im April 2026 über sein neues Modell, es finde Sicherheitslücken besser als fast alle Menschen, und gab es zunächst nur einem kleinen Kreis frei.
Was ein Modell für Verteidiger findet, kann ein anderes für Angreifer finden. Einen belegten Fall, in dem eine KI allein eine unbekannte Lücke fand und ausnutzte, kenne ich bisher nicht. Ich rechne trotzdem damit, dass bald auch Angreifer ohne tiefes Fachwissen ein fähiges Sprachmodell einsetzen können und dass das Zeitfenster zwischen Bekanntwerden einer Lücke und den ersten Angriffen weiter schrumpft. Bei php2shell liefen Angriffe, bevor es ein Update gab. Das Tempo gilt ebenso für den Code, der individuell für Sie entwickelt wurde: Modelle, die Lücken in PHP finden, können sie auch dort finden.
Was das für Ihre Software bedeutet
Zwei Dinge müssen sich ändern: Software muss häufiger auf Schwachstellen geprüft werden, und Sicherheitsupdates müssen deutlich schneller live gehen. Beides sind Daueraufgaben im laufenden Betrieb, die mit dem Launch erst beginnen.
Dabei hilft eine Unterscheidung: Bei Managed Hosting hält der Hoster die Grundlage aktuell, etwa PHP oder das Betriebssystem des Servers. Die Bausteine Ihrer Anwendung selbst kennt nur, wer sie entwickelt hat. Bei einer einfachen Website reicht deshalb ein solcher Hoster plus regelmäßige Updates durch die Agentur. Bei einem Portal, einer Plattform oder einer App mit eigenem Code braucht es den Prozess, den ich unten beschreibe.
Sicherheitstest vor jedem Release statt einmal im Jahr
Bei einem Penetrationstest (kurz Pen-Test) wird ein Angriff auf Ihr System simuliert, um Lücken zu finden, bevor es echte Angreifer tun. Externe Pen-Tests kosten nach unserer Erfahrung 20.000 Euro aufwärts. Deshalb finden sie selten statt, obwohl zwischen zwei Tests laufend neuer Code live geht.
KI verändert das. Ein KI-Agent ist ein KI-Programm, das selbstständig Aufgaben abarbeitet. Es kann vor jedem Release, also vor jeder neuen Version, gezielt nach typischen Schwachstellen suchen und sie gegen die laufende Anwendung ausprobieren. Das ersetzt keinen externen Pen-Test, in regulierten Branchen bleibt er Pflicht. Der KI-Test schließt aber die Lücke zwischen zwei externen Tests.
Sicherheitsupdates in Stunden statt Tagen
Jede Software besteht zum größten Teil aus fertigen Bausteinen anderer Hersteller. Jeder davon kann morgen die nächste php2shell sein. Wenn das passiert, zählen zwei Fragen: Sind wir betroffen? Und wann ist das Update live?
Die erste Frage sollte in unter einer Stunde beantwortet sein, die zweite in wenigen Stunden erledigt. Das klappt nur, wenn die Prüfung automatisiert läuft, das System dokumentiert ist und feste Kapazität für Wartung eingeplant ist. Eine Software-Agentur, die Ihr Projekt nach dem Launch abgegeben hat und im Ernstfall erst „jemanden sucht“, schafft das nicht.
Fünf Fragen an Ihre Software-Agentur
Sie müssen kein Technikprofi sein, um zu prüfen, ob eine Agentur vorbereitet ist. Die Fragen gelten für die Agentur, die Ihr System heute betreut, genauso wie für jede, die sich um Ihr nächstes Projekt bewirbt. Ich würde sie jeder Agentur stellen, auch unserer eigenen:
- Wie oft wird meine Software auf Sicherheitslücken getestet? Nur vor dem Launch oder bei jedem Update?
- Wie schnell wissen Sie, ob mein System von einer neuen Lücke betroffen ist? Gibt es eine automatische Übersicht, oder sucht jemand von Hand?
- Wie schnell ist ein Sicherheitsupdate live, und wer kümmert sich auch kurzfristig darum? Gibt es dafür feste Kapazität oder nur ein Angebot auf Anfrage?
- Gibt es eine aktuelle Dokumentation meines Systems, mit der jedes Team sofort arbeiten kann? Und liegt sie bei mir?
- Welche Daten sehen KI-Werkzeuge, die an meinem System arbeiten, und wo werden sie verarbeitet?
Bleibt eine Frage offen, wissen Sie, wo es im Betrieb heute hakt. Dann haben Sie zwei Optionen: den Prozess mit Ihrer Agentur aufbauen oder das nächste Projekt an ein Team geben, das ihn schon hat. Dasselbe gilt, wenn Ihre Software intern betreut wird.
So setzen wir das bei Sprylab um
Wir entwickeln Plattformen, Portale und Apps und betreiben sie danach selbst. Die wöchentliche Prüfung aller Bausteine läuft für die Systeme, die wir mit Wartungsvertrag betreuen, den Pen-Test vor jedem Release führen wir gerade schrittweise ein. Unsere Zielwerte für diese Systeme:
| Was | Wie | Zielwert |
|---|---|---|
| Sicherheitstest | Pen-Test per KI-Agent vor jedem Release; schwere Befunde stoppen das Release | unter 4 Stunden je Test |
| Betroffenheit klären | Wöchentliche automatische Prüfung aller Bausteine in allen Systemen, bei Notfällen wie php2shell sofort | unter 1 Stunde Arbeitsaufwand |
| Update live | KI-Agent bewertet die Dringlichkeit und bereitet das Update vor, ein:e Entwickler:in prüft und gibt es frei | innerhalb 4 Stunden |
Gibt es für eine Lücke noch kein Update, informieren wir Sie bei kritischen Befunden und zeigen Ihnen die Optionen auf: abwarten, System vorübergehend abschalten oder eine manuelle Umgehung beauftragen.
Grundlage dafür ist unser Spec-Driven Development: Jedes neue Projekt bekommt eine Spec, eine strukturierte Dokumentation direkt im Code, die Menschen und KI-Agenten gleichermaßen lesen können, inklusive Betriebshandbuch und Sicherheitsstandards. Auch für ein bestehendes System entsteht ein erster Stand in etwa einer Woche. Die Spec liegt in Ihrem Code und geht bei einem Wechsel mit. Mehr dazu in meiner Kolumne zur Dokumentation im Code.
Wenn Sie eine Plattform oder App mit uns entwickeln, bauen und betreiben wir Ihr System selbst, mit den Prozessen oben. Wo dagegen Ihr Bestandssystem heute steht, gehe ich in einem kostenlosen Gespräch gern mit Ihnen durch, Frage für Frage:
Häufige Fragen
WordPress läuft auf PHP, deshalb ja, sofern die PHP-Version 5.4 oder neuer ist und noch kein Update eingespielt wurde. Geschützt sind aktualisierte Versionen 8.2 bis 8.5. Für ältere Versionen gibt es kein offizielles Update, dort hilft ein Umstieg oder eine Korrektur, die der Hoster selbst auf die alte Version überträgt. Fragen Sie Ihren Hoster, ob er das PHP-Update einspielt oder Sie das selbst veranlassen müssen.
Ein externer Pen-Test durch eine spezialisierte Firma kostet 20.000 Euro aufwärts. Für den Pen-Test per KI-Agent, den wir gerade einführen, liegt unser Zielwert bei unter vier Stunden je Test, deshalb lässt er sich vor jedem Release wiederholen.
Sprylab betreut Systeme mit einem Wartungsvertrag mit festen Kapazitäten. Die Größenordnung für Ihr System steht nach dem ersten Gespräch fest.
Nein, nicht im Klartext. Der Pen-Test-Agent von Sprylab arbeitet mit Code, Dokumentation, einer Testumgebung und Protokolldaten (Logs). Logs mit personenbezogenen Daten werden vor der Analyse pseudonymisiert, also von Namen getrennt. Welche KI-Anbieter und Serverstandorte infrage kommen, regeln wir je Projekt vertraglich, inklusive des gesetzlich vorgeschriebenen Vertrags zur Auftragsverarbeitung.
Bei Sprylab bekommt jedes neue Projekt eine Spec: eine strukturierte Prozesslandschaft und Dokumentation direkt im Code, inklusive Betriebshandbuch und Sicherheitsstandards. Sie ist für Menschen und KI-Agenten lesbar, liegt in Ihrem Code und geht bei einem Agenturwechsel mit. Für Sie heißt das: Jedes Team kann sofort mit Ihrem System arbeiten, und die Prozesse oben laufen auf dieser Grundlage.
Sprylab übernimmt bestehende Systeme. Sie brauchen dafür von Ihrer bisherigen Agentur den Quellcode und die Zugänge zu Hosting und Diensten. Zuerst entsteht in etwa einer Woche ein erster Stand der Spec, den wir danach laufend verfeinern. Mit festem Wartungsumfang gelten dann dieselben Zielwerte wie für unsere eigenen Projekte: Betroffenheit in unter einer Stunde geklärt, Sicherheitsupdate in unter vier Stunden live.
Tech-Newsletter
Erhalten Sie zusammen mit unseren 2.000+ Abonnent:innen einmal im Monat Updates zu Fachartikeln, Case Studies, Webinaren, Veranstaltungen und Neuigkeiten von uns und aus der Branche.
