Zwei kritische Sicherheitslücken, Millionen potenziell betroffene Webserver und die Gefahr, dass Angreifer aus der Ferne Schadcode ausführen können. Als am 21. Oktober 2026 die sogenannten php2shell-Sicherheitslücken bekannt wurden, war schnelles Handeln gefragt. EGOTEC konnte noch am selben Nachmittag ein Sicherheitsupdate bereitstellen und die Aktualisierung seiner Kundeninstallationen einleiten.
Zwei kritische Sicherheitslücken in PHP
Am 21. Oktober 2026 wurden die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Beide wurden mit einem CVSS-Wert von 9,2 als kritisch eingestuft.
Besonders problematisch: Unter bestimmten Voraussetzungen können Angreifer die Schwachstellen ohne vorherige Anmeldung ausnutzen und Schadcode auf betroffenen Webservern ausführen.
Sicherheitsforscher demonstrierten einen erfolgreichen Angriff auf einen PHP-basierten Webserver innerhalb von nur 38 Sekunden. Dafür waren zahlreiche automatisierte HTTP-Anfragen erforderlich.
Betroffen waren PHP-Versionen aus den vergangenen rund 20 Jahren. Damit stellte sich für Betreiber PHP-basierter Anwendungen weltweit die Frage, wie schnell sie ihre Systeme absichern konnten.
Innerhalb weniger Stunden zum Sicherheitsupdate
Für uns bei der EGOTEC AG hatte die Sicherheit unserer Kundeninstallationen sofort höchste Priorität.
Noch während die technischen Informationen zu den Schwachstellen veröffentlicht wurden, haben wir die Auswirkungen auf EGOCMS analysiert und mögliche Schutzmaßnahmen geprüft.
Unser zeitlicher Ablauf am 21. Oktober 2026:
-
14:15 Uhr: Wir informieren über die Sicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI).
-
15:38 Uhr: Die korrigierten PHP-Versionen sind verfügbar. Wir prüfen die Integration in unsere EGOCMS-Umgebung.
-
16:09 Uhr: Wir dokumentieren zusätzliche PHP-Konfigurationsmaßnahmen zur vorübergehenden Risikoreduzierung.
-
16:31 Uhr: Mit EGOCMS V26.3.4.2 steht bereits ein aktualisiertes Docker-Image mit den PHP-Sicherheitsupdates bereit.
-
Noch am selben Tag: Wir aktualisieren mit höchster Priorität unsere gehosteten Kundeninstallationen und informieren unsere Kunden über die notwendigen Maßnahmen.
-
17:52 Uhr: Wir schalten vorsorglich die von uns gehosteten Matomo-Instanzen ab, bis auch deren PHP-Laufzeitumgebungen aktualisiert werden können.
Bereits am nächsten Morgen, dem 22. Oktober um 07:05 Uhr, konnten wir melden:
Alle von uns gehosteten Kundenauftritte laufen einwandfrei.
Zusätzlicher Schutz war bereits vorhanden
Sicherheit beginnt für uns nicht erst dann, wenn eine neue Schwachstelle bekannt wird.
Unsere EGOCMS-Installationen werden in einer Container-Architektur mit nginx und PHP-FPM betrieben. Dabei setzen wir auf mehrere Schutzmechanismen, die mögliche Angriffe erschweren sollen.
Dazu verfügt das Image bereits seit Langem über ein Rate-Limiting. Im Standard werden die davon erfassten Webseitenzugriffe auf durchschnittlich fünf Anfragen pro Sekunde und IP-Adresse begrenzt.
Da die demonstrierten Angriffe Tausende bis Zehntausende HTTP-Anfragen benötigen, kann diese Schutzmaßnahme automatisierte Angriffe erheblich erschweren. Einen vollständigen Schutz bietet sie jedoch nicht.
Achtung: Das Rate-Limiting ist eine zusätzliche Schutzmaßnahme, aber niemals ein Ersatz für aktuelle Sicherheitsupdates.
Deshalb hatte die unmittelbare Installation der PHP-Sicherheitsupdates und die Bereitstellung eines aktualisierten Docker-Images für uns oberste Priorität.
Vorsorgliche Abschaltung von Matomo
Neben EGOCMS betreiben wir für unsere Kunden auch Matomo-Instanzen zur Webanalyse. Da Matomo ebenfalls auf PHP basiert, mussten wir diese Systeme in unsere Sicherheitsmaßnahmen einbeziehen.
Wir haben uns deshalb am 21. Oktober um 17:52 Uhr entschieden, alle von uns gehosteten Matomo-Instanzen vorsorglich abzuschalten, bis die erforderlichen PHP-Sicherheitsupdates eingespielt werden konnten.
Während dieser Abschaltung konnten keine neuen Tracking-Daten erfasst werden. Bereits vorhandene Statistikdaten blieben erhalten.
Für uns gilt: Im Zweifelsfall hat die Sicherheit unserer Kunden Vorrang vor der vorübergehenden Verfügbarkeit eines ergänzenden Dienstes.
Auch ältere Kundeninstallationen mussten berücksichtigt werden
Eine besondere Herausforderung waren einige wenige Kundeninstallationen, die noch mit älteren, nicht mehr regulär unterstützten PHP-Versionen betrieben wurden.
Für diese veralteten PHP-Versionen standen keine regulären Sicherheitsupdates mehr zur Verfügung. Deshalb war eine Migration auf eine aktuelle Systemumgebung erforderlich.
Glücklicherweise hatten wir bei den meisten betroffenen Kunden bereits mit der Migration auf aktuelle Systeme begonnen.
Durch zusätzlichen Einsatz unseres Teams konnten wir auch diese Umstellungen kurzfristig vorantreiben. Dafür waren teilweise Arbeiten außerhalb der regulären Arbeitszeiten erforderlich.
Welche besonderen Herausforderungen damit verbunden waren und warum regelmäßige Softwareupdates so wichtig sind, berichten wir in einem eigenen Beitrag.
Schnelle und transparente Kundeninformation
Neben der technischen Absicherung war uns die Kommunikation besonders wichtig.
Bereits während der laufenden Arbeiten haben wir unsere Kunden über die Sicherheitslage, verfügbare Schutzmaßnahmen und den Fortschritt der Updates informiert.
Dazu haben wir unseren Blogartikel fortlaufend aktualisiert und zusätzlich Newsletter mit konkreten Handlungsempfehlungen versendet.
Besonders wichtig war uns dabei die Unterscheidung zwischen Kunden, die unsere aktuellen EGOCMS-Docker-Images einsetzen, und Kunden, die ihre PHP-Laufzeitumgebung selbst betreiben.
Denn bei selbst verwalteten PHP-Installationen müssen die PHP-Sicherheitsupdates unabhängig von EGOCMS eingespielt werden.
Sicherheit bedeutet für uns nicht nur, technische Probleme schnell zu lösen. Unsere Kunden sollen auch wissen, was passiert, welche Maßnahmen wir ergreifen und ob sie selbst handeln müssen.
Unser Fazit: Vorbereitung und schnelle Reaktion zahlen sich aus
Kritische Sicherheitslücken lassen sich auch bei etablierten Technologien nicht vollständig ausschließen.
Entscheidend ist, wie ein Softwareanbieter damit umgeht.
Am 21. Oktober konnten wir innerhalb weniger Stunden die neuen PHP-Sicherheitsupdates in EGOCMS integrieren, ein aktualisiertes Docker-Image bereitstellen, die Aktualisierung unserer Kundeninstallationen einleiten und zusätzliche Vorsichtsmaßnahmen treffen.
Der stabile Betrieb unserer Kundenauftritte am folgenden Morgen war das Ergebnis einer guten technischen Vorbereitung und des schnellen Einsatzes unseres Teams.
Ein großes Dankeschön an alle Mitarbeiterinnen und Mitarbeiter, die dazu beigetragen haben – auch über die regulären Arbeitszeiten hinaus.
Wir werden auch künftig sicherheitsrelevante Entwicklungen aufmerksam verfolgen, notwendige Maßnahmen schnell umsetzen und unsere Kunden transparent informieren.
Weitere technische Informationen und den vollständigen Verlauf der Sicherheitsmaßnahmen finden Sie in unserem Blogartikel:
Kritische PHP-Sicherheitslücken – Informationen und Sicherheitsupdates