PHP2Shell: So haben wir am 21. Oktober 2026 reagiert

Als Unternehmen, dem die Sicherheit seiner Kunden auf hohem Niveau wichtig ist, beobachten wir täglich die gemeldeten Sicherheitslücken. Am 21. Oktober 2026 erfuhren wir gegen Mittag von zwei kritischen Schwachstellen in der Programmiersprache PHP. Wir bewerteten die Bedrohungslage für unsere Kunden und für uns umgehend. Das Ergebnis ist inzwischen weithin bekannt: Es musste noch am selben Tag gehandelt werden.

Kurz darauf bestätigte die Sicherheitsmeldung des BSI unsere Einschätzung. Damit war endgültig klar, dass der pünktliche Feierabend an diesem Tag stark gefährdet war.

Die Zeit bis zum Patch genutzt

Die PHP Entwickler hatten den Patch für etwa 16:00 Uhr angekündigt. Bis dahin blieb Zeit für Vorbereitungen. Wir erfassten alle Systeme mit PHP. Zusätzlich informierten wir alle Kunden über die Schwachstelle.

Die fünf Schritte, nach denen wir bei kritischen Schwachstellen vorgehen.

Patch eingespielt: elf Administratoren, zwei Stunden

Gegen 15:40 Uhr stand der Patch bereit. Elf Administratoren von RebeIT aktualisierten gleichzeitig und systematisch alle Systeme. Innerhalb von nur zwei Stunden waren sämtliche Installationen auf dem aktuellen Stand. Damit waren alle von uns betreuten Systeme gegen diese Schwachstellen abgesichert und wir konnten beruhigt nach Hause gehen.

Dringende Updates sind kein Einzelfall

Solche dringenden Updates sind kein Ausnahmefall. Gerade in letzter Zeit kommen sie immer häufiger vor. Bei PHP war es dennoch etwas Besonderes, weil die Programmiersprache sehr weit verbreitet ist und sich direkt über das Internet angreifen ließ. Aber auch weniger bekannte Sicherheitslücken können gravierende Folgen haben. Deshalb müssen IT-Systeme ständig aktualisiert werden.

Quelle: Cybersicherheitswarnung des BSI, PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit (Version 1.2 vom 22.10.2026).