PHP2Shell bezeichnet zwei Sicherheitslücken im PHP-Kern, die eine Codeausführung aus der Ferne ohne Anmeldung ermöglichen können. Bei erfolgreicher Ausnutzung läuft der Code mit den Rechten des Web-Worker-Prozesses. Auch sensible Daten im Prozessspeicher können offengelegt werden. [2]
Ungepatchte PHP-Installationen, die Webanfragen verarbeiten, einschliesslich PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Projekt sieht bei mod_php das höchste Risiko. Die Ausnutzbarkeit hängt von der konkreten Installation ab. [1]
21. Oktober 2026. Betroffene Installationen, korrigierte Versionen, Anbieter-Backports und Empfehlungen zur Behebung.
Technische Auswirkungen, Voraussetzungen für die Ausnutzung und Schweregrade nach CVSS 4.0.
Diese Zusammenfassung gibt den Stand zum angegebenen Datum wieder. Sie ersetzt weder aktuelle Lageinformationen noch eine Sicherheitsprüfung des eigenen Servers. Aktualisierungen finden sich in den verlinkten Sicherheitsmeldungen.
Am 21. Oktober 2026 schränkten Schweizer Behörden, Hochschulen und Dienstleister als Reaktion auf PHP2Shell ihre Webdienste ein. Die folgenden Beispiele dokumentieren vorsorgliche Abschaltungen und Einschränkungen anhand von Mitteilungen der Betreiber und etablierter Schweizer Medien.
Laut einem Bericht von Keystone-SDA auf SWI swissinfo.ch liess der Krisenstab die PHP-basierten Webangebote des Kantons vorsorglich abschalten. Gemäss Präsidialdepartement war bis zu diesem Zeitpunkt kein sicherheitsrelevanter Vorfall im Zusammenhang mit der Lücke registriert worden.
SWI swissinfo.ch / Keystone-SDA DEDie IT-Services stoppten zunächst einzelne Dienste, darunter die Lernplattform ADAM und TYPO3-Logins. Eine spätere Mitteilung kündigte die vorübergehende Sperrung eingehender Webzugriffe an. Ausdrücklich ausgenommen waren unter anderem die Hauptwebsite der Universität, E-Mail und VPN.
MTF meldete um 13:00 Uhr die vorsorgliche Abschaltung einzelner PHP-Dienste bei Kunden. Um 22:50 Uhr berichtete MTF, dass aktualisierte Dienste wieder verfügbar seien. Ausgenommen waren einzelne Kundensysteme mit älteren PHP-Versionen, für die zusätzliche Schutzmassnahmen und teilweise Funktionseinschränkungen bestanden.
MTF-Statusmeldungen DEwatson berichtete in seiner eigenen Berichterstattung, dass die IT-Abteilung die Website bis zur Behebung der Lücke zum Schutz vor möglichen Angriffen eingeschränkt habe. Die Kommentarfunktion könnte dadurch beeinträchtigt gewesen sein. Eine vollständige Abschaltung wird damit nicht belegt.
watson über die eigenen Massnahmen DEEinordnung der Beispiele: Eine vorsorgliche Abschaltung belegt keine Kompromittierung. Die Beispiele geben die zum jeweiligen Zeitpunkt gemeldeten Massnahmen wieder. Sie sind weder eine aktuelle Verfügbarkeitsprüfung noch eine vollständige Liste Schweizer Organisationen. Die Uhrzeiten sind der MTF-Mitteilung entnommen.