Eine Unternehmenswebsite ist längst keine bloße digitale Visitenkarte mehr: Kontaktformulare, Kundenbereiche, Online-Shops und Webanwendungen machen sie zu einem zentralen Bestandteil der gesamten IT-Infrastruktur. Wer Sicherheit nur auf das eigene Büro-Netzwerk bezieht, übersieht leicht Schwachstellen auf dem Webserver. Wir bei COMPECO erleben häufig, dass die Sicherheit der Web-Infrastruktur erst hinterfragt wird, wenn es zu Auffälligkeiten oder Vorfällen kommt. Die bekannt gewordenen kritischen Sicherheitslücken in PHP zeigen eindringlich, warum Cyber Security zur Chefsache gehört und jedes Unternehmen eine klare Abwehrstrategie benötigt.
Die PHP2Shell-Sicherheitslücke: Das Fundament des Web-Risikos
Unter der Bezeichnung PHP2Shell wurden zwei gravierende Schwachstellen (CVE-2026-109618 und CVE-2026-109619) veröffentlicht, die mit einem kritischen Schweregrad von 9,2 von 10 bewertet wurden. Beide Lücken ermöglichen eine sogenannte Remote Code Execution. Das bedeutet: Unter bestimmten Voraussetzungen können Angreifer bösartigen Schadcode direkt auf einem betroffenen Server ausführen – ohne sich zuvor anmelden zu müssen.
Das Problem liegt dabei nicht in einzelnen Content-Management-Systemen, sondern direkt in PHP als serverseitiger Programmiersprache. Betroffen sind weit verbreitete Webserver-Installationen wie PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Für diese Lücken wurden umgehend Sicherheitsupdates bereitgestellt (PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35). Das CERT-EU empfiehlt dringend eine unverzügliche Aktualisierung – oder im Notfall die vorübergehende Isolierung öffentlich erreichbarer Systeme.
CMS oder Server? Wo die echten Sicherheitslücken liegen
Warum WordPress-Updates allein nicht ausreichen
In vielen Betrieben läuft eine Website jahrelang problemlos und wird technisch kaum angerührt. Viele Unternehmensinhaber wiegen sich in Sicherheit, solange ihr Content-Management-System (wie WordPress, Joomla oder Drupal) sowie dessen Plugins auf dem neuesten Stand gehalten werden. Doch das greift zu kurz: PHP läuft unterhalb der eigentlichen Webanwendung auf dem Server. Ein Plugin-Update schließt keine Lücke im darunterliegenden PHP-System.
Wann offene Schwachstellen zur Gefahr werden
Offene Sicherheitslücken durch veraltete Server-Software zählen zu den häufigsten Einfallstoren für Angreifer. Laut Studien war bereits jedes dritte österreichische Unternehmen von einem Cyberangriff betroffen. Ein ungepatchter Webserver gefährdet dabei nicht nur die eigene Website, sondern kann als Sprungbrett in weitere Unternehmensnetzwerke genutzt werden.
Wann eine ganzheitliche Abwehrstrategie notwendig ist
Ein nachhaltiges Schutzkonzept muss Webanwendung, Server-Umgebung und Netzwerk gleichermaßen einbeziehen. Nur das Zusammenspiel aus aktuellen CMS-Komponenten und gepatchter Server-Software stellt sicher, dass digitale Angriffsflächen wirksam minimiert werden.
Der 7-Punkte-Sicherheitscheck für Ihre Website
Ein effektiver Schutz vor Cyberangriffen basiert nie auf Zufall, sondern auf einer strukturierten Abwehrstrategie. Unternehmen sollten ihre Web-Umgebung anhand folgender Schritte prüfen:
- PHP-Version identifizieren: Prüfen Sie, ob eine der korrigierten Versionen (8.2.35, 8.3.36, 8.4.27 oder 8.5.12) im Einsatz ist.
- Hosting- & Serverkonfiguration analysieren: Kontrollieren Sie, wie PHP eingebunden ist und ob Ihr Hosting-Anbieter die notwendigen Patches eingespielt hat.
- CMS & Plugins aktualisieren: Halten Sie Content-Management-Systeme, Plugins und Themes lückenlos aktuell.
- Wiederherstellbare Backups sichern: Überprüfen Sie das Alter der Sicherungen, die Trennung vom Webserver sowie die tatsächliche Wiederherstellbarkeit von Datenbank und Dateien.
- Systeme auf Auffälligkeiten prüfen: Untersuchen Sie Protokolldateien auf unerwartete Veränderungen, da technische Details zur Ausnutzung der Lücken im Umlauf sind.
- Rechtevergabe & Zugänge kontrollieren: Überprüfen Sie alle Admin-Konten für Server, FTP, Datenbanken sowie Domain-Verwaltungen und deaktivieren Sie veraltete Zugänge.
- Eindeutige Zuständigkeiten festlegen: Klären Sie verbindlich, wer im Unternehmen oder bei Dienstleistern für die Einspielung von Sicherheitsupdates verantwortlich ist.
Die COMPECO-Lösung: Vorbeugen statt Reagieren
Ein nachhaltiges Schutzkonzept erfordert den Blick aufs große Ganze – von den Serverkonfigurationen über Endpoint-Schutz bis hin zur lückenlosen Sicherung der Unternehmensinfrastruktur. Als erfahrener IT-Partner betreut COMPECO kleine und mittlere Unternehmen mit maßgeschneiderten Sicherheitsstrukturen statt Flickschusterei.
Sind Sie unsicher, ob Ihre Systeme geschützt sind? Sobald die notwendigen Zugangsdaten vorliegen, überprüft das Expertenteam von COMPECO Ihre Hosting-Umgebung, analysiert die installierte PHP-Version und stellt fest, ob akuter Handlungsbedarf besteht. Auf Wunsch analysieren wir den gesamten technischen Sicherheitszustand Ihrer IT-Systeme.