Kurz gesagt: Wenn Sie vermuten, dass Ihr Server über PHP2Shell gehackt wurde, melden Sie sich jetzt. Sind Sie betroffen? Rufen Sie an. Wir helfen. Wir übernehmen ab der ersten Nachricht die Eindämmung, sichern die Spuren, schließen die Lücke, entfernen Schadcode und dokumentieren den Vorfall, bis er abgeschlossen ist.
Jetzt nichts löschen und nichts neu aufsetzen. Gelöschte Dateien und überschriebene Logs sind die Spuren, an denen sich zeigt, ob und wie jemand eingedrungen ist. Nehmen Sie den Server bei Bedarf vom Netz, lassen Sie ihn aber unverändert. Notfall melden, wir sagen Ihnen den nächsten Schritt.
Sind Sie betroffen? Anzeichen, dass PHP2Shell schon genutzt wurde
PHP2Shell ist der Name für zwei kritische Lücken in PHP selbst, mit denen Angreifer ohne Anmeldung Schadcode aus der Ferne ausführen können. Einen eindeutigen Fingerabdruck gibt es bisher nicht. Deshalb zählt, was der Server tut, nicht, was ein Scanner findet. Hinweise auf einen Einbruch sind:
- Webserver- oder PHP-FPM-Prozesse, die eine Shell wie
shoderbashstarten. Das ist ein starkes Warnsignal. - Neue oder veränderte PHP-Dateien in Upload-, Cache- oder Temp-Ordnern, die niemand angelegt hat.
- Cronjobs, Dienste oder SSH-Schlüssel, die Sie nicht kennen.
- Ausgehende Verbindungen zu unbekannten Zielen, plötzlich hohe Last oder ungewöhnlicher Datenverkehr.
- Anfragen in den Logs ab dem 17.10.2026, besonders auffällige Uploads und Sitzungsanfragen vor dem Einspielen des Patches.
- Meldungen von Hoster, Browser oder Suchmaschine über Spam, Malware oder Weiterleitungen.
Mehr dazu finden Sie unter Bin ich schon kompromittiert?. Fehlt jedes Anzeichen, ist das kein Beweis für einen sauberen Server. Es heißt nur, dass bisher nichts aufgefallen ist.
Was Sie jetzt sofort tun
- Nichts verändern. Keine Dateien löschen, kein Backup zurückspielen, keine Neuinstallation, bevor gesichert wurde.
- Logs sichern. Bitten Sie Ihren Hoster oder Ihre IT, Zugriffs-, Fehler- und Systemprotokolle nicht zu überschreiben. Die Fachpresse rät, Logs ab dem 20.10.2026 aufzubewahren.
- Erreichbarkeit entscheiden. Wenn Daten abfließen oder Besucher gefährdet sein könnten, nehmen Sie die Seite vom Netz oder in den Wartungsmodus.
- Zugänge sammeln. Notieren Sie, wer Zugriff auf Server, Panel, CMS und Datenbank hat. Passwörter ändern Sie erst nach Absprache und von einem sauberen Gerät aus.
- Menschen informieren. Geschäftsführung, Datenschutzbeauftragte, bei bestehender Police den Versicherer.
- Uns anrufen oder schreiben. Je früher wir die Lage kennen, desto mehr bleibt belegbar.
Wie hilft PHP SOS konkret?
Wir arbeiten remote, ohne Anfahrt, in ganz Deutschland und Europa.
- Lage aufnehmen: Wir klären, welche Systeme laufen, welche PHP-Betriebsart im Einsatz ist, was aufgefallen ist und welche Daten betroffen sein könnten.
- Sichern und schließen: Wir sichern Dateien, Datenbank und Logs und stellen den Zustand vor jeder Änderung fest. Danach schließen wir die Lücke durch den Patch oder, wenn der noch nicht möglich ist, durch Übergangsmaßnahmen, und starten alle PHP-Prozesse neu.
- Prüfen und bereinigen: Wir suchen nach Webshells, Hintertüren, Cronjobs und fremden Zugängen und entfernen sie oder bauen den Stand aus vertrauenswürdigen Quellen neu auf. Das Vorgehen beschreibt Malware und Webshells entfernen lassen.
- Härten und berichten: Wir ändern die betroffenen Geheimnisse, ziehen Schutzmaßnahmen nach und liefern einen Bericht, der belegt, wahrscheinlich und unbekannt trennt.
Wächst der Vorfall über einen Server hinaus, gehen wir in die strukturierte Incident Response über. Braucht es Beweise, die vor Gericht tragen, ziehen wir IT-Forensik hinzu.
Warum ein Patch allein nach einem Angriff nicht reicht
Die Lücken liegen im PHP-Interpreter, nicht im CMS. Das PHP-Projekt hat am 21.10.2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Wer danach aktualisiert und alle Worker neu gestartet hat, ist gegen neue Angriffe über diesen Weg geschützt. Was ein Angreifer vorher abgelegt hat, bleibt aber liegen: eine Webshell, ein zusätzliches Konto, ein geplanter Auftrag. Genau deshalb sind die Tage zwischen dem 17. und dem 21.10. besonders wichtig.
Dazu kommt ein zweiter Punkt: Eine Webshell ist oft nur der erste Schritt. Wer auf dem Webserver Code ausführen konnte, konnte auch Konfigurationsdateien lesen und daraus Datenbank-, Mail- und API-Zugänge übernehmen. Diese Geheimnisse müssen ersetzt werden, sonst bleibt die Tür offen, obwohl PHP gepatcht ist. Wie Sie Dateien und Zeitpunkte sinnvoll prüfen, beschreibt der Ratgeber zum Erkennen von Webshells.
Meldepflicht und Dokumentation
Konnten personenbezogene Daten betroffen sein, kann eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig werden. Die Uhr läuft ab Kenntnis, nicht ab Abschluss der Untersuchung. Ob Ihr Fall meldepflichtig ist, entscheiden Datenschutzbeauftragte oder Anwalt, Rechtsberatung leisten wir nicht. Unsere Dokumentation liefert dafür die Grundlage. Mehr zur Frist steht unter DSGVO-Meldepflicht in 72 Stunden, die Schritte danach in der Checkliste nach einem Hack.
Was Sie uns schicken sollten
- Beschreibung, was seit wann auffällt, und wer es bemerkt hat
- Art des Servers: eigener Server, Managed Server oder Hosting-Paket, dazu Hoster
- Ergebnis von
php -vund, wenn bekannt, die Betriebsart (PHP-FPM, mod_php, LiteSpeed) - Zeitpunkt des PHP-Updates, falls schon eingespielt
- Zugang zum Server oder die Erlaubnis, mit Ihrem Hoster zu sprechen
- Ansprechperson mit Entscheidungsbefugnis für Abschalten und Neustarts
Warum PHP SOS
Wir arbeiten Made in Germany und sind seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie haben einen Ansprechpartner, der Sie von der ersten Nachricht bis zum Abschluss begleitet. Alles, was wir tun, wird dokumentiert, damit Sie es gegenüber Geschäftsleitung, Versicherer und Behörden belegen können. Wir versprechen nichts, was niemand halten kann: Wenn Logs fehlen, sagen wir das offen, und wir benennen, was belegt ist und was Vermutung bleibt.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Warten Sie nicht, bis der Verdacht Gewissheit wird. Rufen Sie an oder schreiben Sie per WhatsApp. Wir übernehmen ab der ersten Nachricht und bleiben dabei, bis der Vorfall abgeschlossen und dokumentiert ist. Jetzt Notfall melden.
Häufige Fragen
Reicht es, PHP zu aktualisieren, wenn mein Server vielleicht schon gehackt wurde?
Nein. Das Update schließt die Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware und beweist nicht, dass vorher nichts passiert ist. Nach dem Patch muss der Server auf Spuren eines Einbruchs geprüft werden.
Woran erkenne ich einen erfolgreichen PHP2Shell-Angriff?
Es gibt keine veröffentlichten, bestätigten Indicators of Compromise. Die Erkennung beruht auf Verhalten: Webserver-Prozesse, die eine Shell starten, neue PHP-Dateien in Upload- oder Cache-Ordnern, unbekannte Cronjobs oder SSH-Schlüssel und auffällige ausgehende Verbindungen.
Soll ich den Server vom Netz nehmen, wenn ich einen Einbruch vermute?
Das ist oft richtig, denn das BSI rät sogar bei nicht sofort möglichem Update, Webserver vorübergehend vom Netz zu nehmen. Wichtig ist, dabei nichts zu löschen und Logs sowie Dateien zu erhalten, damit der Vorfall aufgeklärt werden kann.
Muss ich nach einem PHP2Shell-Angriff die Datenschutzbehörde informieren?
Wenn personenbezogene Daten betroffen sein könnten, kann eine Meldung innerhalb von 72 Stunden nötig sein. Die Entscheidung treffen Sie mit Ihrer oder Ihrem Datenschutzbeauftragten oder einem Anwalt; wir liefern die technischen Fakten dafür.
Sind wirklich schon Server über PHP2Shell gehackt worden?
Laut Medienberichten gab es ab dem 17.10.2026 erste beobachtete Angriffsversuche, und Cloudflare berichtete von beobachteten Angriffsversuchen. Das BSI meldete zunächst keine bestätigten erfolgreichen Angriffe in der Breite. Im Einzelfall lässt sich das nur am Server selbst klären.