Warum eine mit KI erstellte Webseite ohne betreute Serverumgebung jetzt zum Risiko für Ihr Unternehmen wird
Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen IT Sicherheitshinweis der Kritikalitätsstufe 3 (Orange) veröffentlicht, welcher sich auf zwei kritische Schwachstellen in der Programmiersprache PHP bezieht und nach Einschätzung des BSI unverzügliches Handeln erfordert. Was zunächst nach einem Thema für Administratoren klingt, betrifft im Grunde jeden Geschäftsführer, dessen Unternehmenswebseite, Onlineshop oder Kundenportal auf PHP basiert, sodass die Frage, wer sich eigentlich um den Server hinter der eigenen Webseite kümmert, plötzlich eine sehr praktische wird.
Stellen Sie sich vor, Sie wurden heute früh von einem Kunden angerufen, weil beim Aufruf Ihrer Webseite eine Warnmeldung des Browsers erscheint, während im Hintergrund Ihr Kontaktformular bereits seit Stunden Anfragen samt personenbezogener Daten an Unbekannte weiterleitet. Genau dieses Szenario ist mit den aktuellen Schwachstellen realistisch geworden.
Was steckt hinter PHP2Shell?
Zwei Schwachstellen, eine Folge: fremder Code auf Ihrem Server
Hinter den Kennungen CVE-2026-109618 und CVE-2026-109619 verbergen sich zwei Schwachstellen in der PHP Laufzeitumgebung selbst, welche jeweils mit 9.2 von 10 Punkten nach CVSS 4.0 bewertet wurden und es Angreifern ermöglichen können, aus der Ferne schadhaften Code auf Webservern auszuführen, wobei weder eine Anmeldung noch eine Interaktion eines Nutzers erforderlich ist. In Anlehnung an die Schwachstelle Log4Shell aus dem Jahr 2021 wird die Lücke in Fachkreisen bereits als „PHP2Shell“ bezeichnet, was die Tragweite durchaus treffend beschreibt.
Wer ist betroffen?
Im Grunde jede Webseite, die PHP einsetzt
Nach aktuellem Kenntnisstand sind alle bekannten PHP Versionen bis mindestens PHP 5 verwundbar, und zwar unabhängig davon, ob PHP über PHP FPM, Apache mit mod_php, php cgi, FrankenPHP oder LiteSpeed betrieben wird. Darüber hinaus basieren zahlreiche verbreitete Systeme auf PHP, beispielsweise WordPress, TYPO3, Joomla, Drupal, Magento oder Nextcloud, sodass ein erheblicher Teil der Unternehmenswebseiten im Mittelstand unmittelbar betroffen ist. Sehr wichtig: Ein Update von WordPress oder dem jeweiligen Plugin reicht nicht aus, da die Schwachstelle in der darunterliegenden PHP Umgebung des Servers liegt, welche separat aktualisiert werden muss.
Des Weiteren hält das BSI eine breite Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Patches für wahrscheinlich, da Angreifer mithilfe KI gestützter Werkzeuge Patches inzwischen sehr schnell analysieren und daraus funktionsfähige Angriffe ableiten können. Einige Betreiber haben ihre Server daher vorsorglich vom Internet getrennt, bis die abgesicherten Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 eingespielt waren.
Was passiert, wenn die Webseite ausschließlich mit ChatGPT und KI erstellt wurde?
Schnell gebaut ist nicht gleich sicher betrieben
Viele Unternehmen haben in den vergangenen Monaten ihre Webseite mithilfe von ChatGPT oder vergleichbaren KI Werkzeugen erstellt, indem Code, Serverbefehle und Konfigurationen Schritt für Schritt aus dem Chat übernommen wurden. Das Ergebnis sieht häufig professionell aus, nichtsdestotrotz fehlt genau das, worauf es im Fall PHP2Shell ankommt, nämlich ein verantwortlicher Betrieb der Serverumgebung. Konkret zeigen sich dabei folgende Schwachstellen:
Niemand weiß, welche PHP Version läuft. Wer seinen Server nach Anleitung eines Chats eingerichtet hat, kennt in der Regel weder die installierte PHP Version noch die Art der Einbindung, sodass sich die Frage, ob die eigene Webseite betroffen ist, gar nicht erst beantworten lässt. Hinzu kommt, dass KI Modelle häufig auf älteren Anleitungen trainiert wurden und daher nicht selten Versionen wie PHP 7.4 oder 8.1 empfehlen, welche bereits ihr Lebensende erreicht haben und nur noch über Notfall Patches abgesichert werden.
Niemand bekommt die Warnung mit. Ein Sicherheitshinweis des BSI erreicht IT Verantwortliche, nicht jedoch den Geschäftsführer, der seine Webseite an einem Wochenende mit KI aufgesetzt hat. Bereits wenige Stunden ohne Patch können ausreichen, damit automatisierte Angriffe den Server finden und übernehmen.
Die KI kennt die Lücke nicht. Ein Sprachmodell weiß ohne aktuelle Recherche nichts von einer Schwachstelle, die gestern veröffentlicht wurde, und kann infolgedessen mit großer Überzeugung bestätigen, dass die eigene Konfiguration sicher sei. Ebenso sind die empfohlenen Übergangsmaßnahmen, etwa Anpassungen an memory_limit, post_max_size oder session.upload_progress.enabled, so komplex, dass eine fehlerhafte Umsetzung nach Chat Anleitung kaum Schutz bietet und im schlechtesten Fall den Betrieb zusätzlich stört.
Kein Prozess, keine Zuständigkeit, keine Sicherung. Es existiert weder ein Patchmanagement noch ein Monitoring, und häufig auch keine geprüfte Datensicherung, sodass im Ernstfall niemand weiß, wie ein sauberer Zustand wiederhergestellt werden kann.
Welche Folgen drohen konkret?
Vom Imageschaden bis zur Meldepflicht nach DSGVO
Gelingt die Übernahme des Servers, erhält der Angreifer im Grunde dieselben Rechte wie die Webseite selbst. Die möglichen Auswirkungen reichen dabei deutlich weiter, als viele vermuten:
- Datenabfluss: Anfragen aus Kontaktformularen, Kundenkonten, Bestellungen sowie Zugangsdaten zu Datenbank und E Mail Postfach, welche in Konfigurationsdateien hinterlegt sind, können ausgelesen werden.
- Missbrauch der Webseite: Über die eigene Domain werden Schadsoftware an Besucher verteilt, Phishing Seiten gehostet oder Spam Inhalte eingeschleust, was regelmäßig zur Sperrung durch Google und Browser Warnungen führt.
- Missbrauch des Servers: Der Server wird für Krypto Mining, Spam Versand oder als Ausgangspunkt weiterer Angriffe genutzt, wobei bei gemeinsam genutzten Netzen auch interne Systeme gefährdet sein können.
- Ausfall und Umsatzverlust: Die Webseite muss vom Netz, Anfragen und Bestellungen bleiben aus, und die Wiederherstellung ohne Sicherung kann Tage dauern.
- Rechtliche Folgen: Sind personenbezogene Daten betroffen, ist der Vorfall nach Art. 33 DSGVO binnen 72 Stunden an die Aufsichtsbehörde zu melden und unter Umständen nach Art. 34 DSGVO den Betroffenen mitzuteilen, wobei Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes möglich sind. Darüber hinaus stellt sich die Frage, ob angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO überhaupt vorhanden waren.
- Vertrauensverlust: Der Imageschaden bei Kunden und Partnern wiegt oft schwerer als jede Geldbuße.
Eine Webseite ist mit KI schnell gebaut, sicher betrieben ist sie damit noch lange nicht.
Was sollten Betreiber jetzt tun?
Zur richtigen Zeit, das Richtige richtig tun!
Das BSI empfiehlt, die abgesicherten PHP Versionen unverzüglich einzuspielen und den Patchstand anschließend zu prüfen, beispielsweise über den Befehl php -v oder den Abgleich mit den Sicherheitsmeldungen der jeweiligen Linux Distribution. Anwendungen, die in Docker Containern laufen, müssen zudem neu gebaut werden. Ist ein Patch nicht sofort möglich, rät das BSI zu einer vorübergehenden Trennung vom Internet, da sämtliche Übergangsmaßnahmen und auch Regeln einer Web Application Firewall lediglich die Angriffsfläche verringern, jedoch keinen vollständigen Schutz bieten.
Darüber hinaus sollten Betreiber, deren Webseite noch auf PHP Versionen vor 8.2 läuft, grundsätzlich auf eine unterstützte Version wechseln, zumal auch PHP 8.2 nur noch bis zum Jahresende mit Sicherheitsupdates versorgt wird. Ergänzend empfiehlt das BSI, Webserver umfassend zu härten und Schutzmechanismen wie SELinux oder AppArmor zu nutzen, um die Folgen solcher Schwachstellen zu begrenzen.
Wie schützt PETZKA Consulting Ihre Webseite?
Sichere Serverumgebungen statt Einzelkampf im Chatfenster
Genau an dieser Stelle setzen unsere sicheren Serverumgebungen an, denn eine Webseite ist für uns kein einmaliges Projekt, sondern ein System, welches dauerhaft betreut, überwacht und abgesichert werden muss. Dabei verbinden wir den technischen Betrieb mit unserer Erfahrung aus Datenschutz, Informationssicherheit und ISMS, sodass Sicherheitswarnungen wie die aktuelle des BSI nicht im Postfach liegen bleiben, sondern zeitnah bewertet und umgesetzt werden.
Im Kern bedeutet das ein geregeltes Patchmanagement für Betriebssystem, PHP und Anwendungen, eine gehärtete Serverkonfiguration, regelmäßige und geprüfte Datensicherungen sowie eine Dokumentation der technischen und organisatorischen Maßnahmen, welche Ihnen im Ernstfall auch gegenüber der Aufsichtsbehörde den Rücken stärkt. Des Weiteren haben Sie mit uns einen festen Ansprechpartner, der weiß, was auf Ihrem Server läuft, und der handelt, bevor ein Angreifer es tut.
Nichtsdestotrotz kann man vorbeugen und versuchen, Fehler von vornherein zu minimieren.
Sie sind unsicher, ob Ihre Webseite von PHP2Shell betroffen ist? Sprechen Sie uns an, wir prüfen Ihre Serverumgebung kurzfristig und zeigen Ihnen, welche Schritte jetzt notwendig sind.
Quelle: BSI IT Sicherheitshinweis BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21.10.2026