php2shell erklärt: Warum im Oktober 2026 reihenweise Webseiten offline gingen

Eine Sicherheitslücke, die man sehen kann

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt zwei Sicherheitsupdates. Dahinter standen zwei Fehler im Kern der Programmiersprache PHP, auf der ein großer Teil des Internets läuft. Fachleute nennen sie php2shell. Behörden rieten dazu, Webseiten notfalls abzuschalten, bis das Update eingespielt ist. In den Tagen darauf waren Seiten von Städten, Kliniken und Hochschulen vorübergehend offline - nicht, weil sie angegriffen worden wären, sondern weil Abschalten schneller ging als Aktualisieren.

Wir haben daraus ein Erklärvideo gemacht. Nicht für Fachleute, sondern für alle, die wissen wollen, was da eigentlich passiert ist.

Zum Erklärvideo: PHP2Shell einfach erklärt (8 Minuten)

Lieber auf YouTube? Dort liegt dasselbe Video - zum Ansehen, Teilen und Kommentieren.

Für Nerds: Dasselbe Thema gibt es auch als Sci-Fi-Thriller - Wie man einen Raumfrachter entführt (8 Minuten, mit Musik und Action). Ein Frachter der Föderation, ein Zettel, der hängen bleibt, und Piraten, die darauf warten.

Worum es geht, in einem Bild

Stell dir eine Restaurantküche vor. Vorne nimmt der Kellner Bestellungen an, hinten stehen ein paar Köche. Jeder Koch hat eine Werkbank, auf der alles liegt, was zu einer Bestellung gehört. An der Wand hängt ein Notizbrett mit Zetteln, die länger gelten sollen als eine einzelne Bestellung.

Entscheidend ist: Die Köche gehen nach einer Bestellung nicht nach Hause. Derselbe Koch kocht die nächste, und die übernächste. Genau so arbeiten Webserver. Sie halten eine Handvoll Arbeitsprozesse bereit und geben ihnen eine Anfrage nach der anderen.

Am Ende einer Bestellung wird der Platz auf der Werkbank freigegeben. Freigegeben heißt aber nur: Er darf neu vergeben werden. Damit das gutgeht, muss zuerst der Zettel von der Wand, dann der Platz geräumt werden. Diese Reihenfolge ist die ganze Sicherheit.

Ein schwerer Fehler in PHP ist nun kein höfliches Rückmelden, sondern ein Sprung nach draußen. Das Programm springt mitten aus der Arbeit heraus - und überspringt dabei den Schritt „Zettel abhängen". Der Platz wird trotzdem freigegeben. Der Zettel hängt weiter und zeigt auf eine Stelle, die inzwischen jemand anderem gehört. In der Fachsprache heißt das use-after-free, wörtlich: Benutzung nach dem Freigeben.

Die Frage, die bei jeder Sicherheitslücke zählt

Beim Lesen solcher Meldungen entsteht leicht der Eindruck, eine Lücke sei ein Schalter: entweder angreifbar oder nicht. So ist es selten. Damit ein Angriff wirklich gelingt, müssen mehrere Dinge gleichzeitig zusammenkommen - ein Zettel, der hängen bleibt; ein Fehler, der genau im Aufräumen zuschlägt; ein Prozess, der danach weiterlebt; eine nächste Anfrage, die ausgerechnet bei diesem Prozess landet; und Daten, die genau auf dem frei gewordenen Platz liegen.

Jede dieser Bedingungen ist eine Hürde. Deshalb gilt der Angriff offiziell als schwierig. Nur: Schwierig ist nicht dasselbe wie unmöglich. Ein Angreifer darf es zehntausend Mal versuchen, und ein Fehlversuch kostet ihn nichts. Genau deshalb ist „schwer auszunutzen" kein Grund zu warten.

Zwei verbreitete Irrtümer

„Mein Code ist sauber, mich betrifft das nicht." Der Fehler muss nicht aus dem eigenen Programm kommen. Er lässt sich über die Anfrage selbst auslösen, teils bevor die erste Zeile des eigenen Programms läuft.

„Wir zeigen keine Fehlermeldungen, das reicht." Die Einstellung, die Fehler auf dem Bildschirm unterdrückt, entscheidet nur darüber, was der Besucher liest. Im Speicher des Servers ändert sich dadurch nichts.

Was hilft

Eine Sache: das Update. Behoben ist das Problem in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Alles andere - einzelne Funktionen abschalten, einen Filter davorsetzen - verkleinert nur die Trefferfläche. Wer eine eigene Webseite betreibt und sie nicht selbst verwaltet, fragt am besten beim Anbieter nach, welche PHP-Version dort läuft.

Warum wir das Video gemacht haben

Wir vermitteln Nachhilfe. Dabei geht es selten darum, etwas auswendig zu lernen, und fast immer darum, ein Bild im Kopf zu bekommen, an dem man weiterdenken kann. Genau das haben wir hier versucht: eine Sache, die normalerweise nur in Fachtexten vorkommt, so zu erzählen, dass man sie ohne Vorwissen versteht.

Das Video ist kostenlos und darf für Unterricht, Ausbildung und Schulungen frei verwendet werden - herunterladen, zeigen, weitergeben. Es enthält bewusst keine Angriffsanleitung, sondern erklärt die Ursache und ihre Folgen.

PHP2Shell einfach erklärt - Video ansehen (8 Minuten, mit Untertiteln, Kapiteln und Abschrift zum Nachlesen)

Oder auf YouTube ansehen, wenn du es von dort aus teilen möchtest.

Und wer die Geschichte lieber als Weltraum-Abenteuer hört: die Nerd-Version „Wie man einen Raumfrachter entführt“.

Wer Informatik, Mathematik oder Physik so erklärt bekommen möchte: Dafür sind wir da.