PHP-Lücke: Monaco nahm Sites offline

Am Abend des Mittwochs, 21. Oktober 2026, landete jeder, der die Website der Fürstlichen Regierung, des Fürstenpalasts, der Agence Monégasque de Sécurité Numérique (AMSN) oder der Mairie de Monaco aufrufen wollte, auf einer Wartungsseite. Gehackt worden war niemand, jedenfalls hat das niemand behauptet. Die Direction des Systèmes d'Information et des Infrastructures (DISI) hatte zusammen mit der AMSN entschieden, den externen Zugriff bewusst zu kappen, weil gerade zwei kritische Schwachstellen in PHP bekannt geworden waren, der Sprache, auf der ein sehr großer Teil aller Websites weltweit läuft.

Wenn Ihre Firmenwebsite auf WordPress, WooCommerce, PrestaShop, Magento, Drupal, Laravel oder individuellem PHP-Code basiert, geht diese Geschichte Sie genauso an wie das Fürstentum. Dieser Artikel erklärt, was passiert ist, was hinter den Lücken steckt, und welche wenigen Schritte Sie noch diese Woche erledigen sollten.

Was in Monaco geschah

Die Abschaltung war eine Vorsichtsmaßnahme. Die Regierung erklärte, ihre Websites blieben von außen unerreichbar, bis Sicherheitsprüfungen und Software-Updates abgeschlossen seien; von internen Arbeitsplätzen aus seien sie weiterhin nutzbar. Die Mairie bestätigte am selben Tag die Abschaltung ihrer eigenen Seiten, womit auch der Jardin Exotique, die Académie Rainier III, der Espace Léo Ferré und das Online-Magazin Monaco Vivre Ma Ville offline gingen. Sie beruhigte die Einwohner: Bereits vereinbarte Termine beim Standesamt blieben gültig, vor der Abschaltung eingereichte Dokumentanträge seien gespeichert.

Monaco stand nicht allein da. Das französische Innenministerium versetzte die Websites der Präfekturen in präventive Wartung, der Flughafen Nice Côte d'Azur und die Stadt Antibes schlossen ihre Online-Dienste, und auch die Niederlande, Finnland und Deutschland nahmen öffentliche Seiten vom Netz. Das französische CERT-FR veröffentlichte am 21. Oktober die Warnung CERTFR-2026-ALE-014 und ergänzte sie am Folgetag um den Hinweis, dass funktionierender Proof-of-Concept-Code bekannt sei.

Am 24. Oktober luden die wichtigsten Seiten von Regierung und Mairie bei unserer Prüfung wieder normal, eine offizielle Mitteilung über die vollständige Wiederherstellung haben wir jedoch nicht gefunden. Werten Sie das als ermutigendes Zeichen, nicht als Ende der Geschichte.

Was PHP2Shell wirklich ist

Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und wurden „PHP2Shell" getauft. Beide sind mit 9,2 von 10 Punkten auf der CVSS-4.0-Skala bewertet, und beide erlauben die Ausführung von Fremdcode ohne Anmeldung. Praktisch heißt das: Wer Web-Anfragen an einen verwundbaren Server schicken kann, kann dort womöglich eigenen Code ausführen, Daten auslesen und den Server als Sprungbrett nutzen.

Drei Details sind für Unternehmer entscheidend:

• Der Fehler steckt in PHP selbst, nicht in einem Plugin oder Theme. Ein Update von WordPress, einem Plugin oder einem Theme bringt nichts, wenn die PHP-Laufzeit darunter alt bleibt. Betroffen sind laut Berichten alle Versionen bis zurück zu PHP 5.4.
• Es gibt Patches, aber nur für unterstützte Zweige. PHP hat am 21. Oktober die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. PHP 8.1 und älter erhalten keine offiziellen Updates mehr; solche Installationen sind auf einen Backport des Anbieters angewiesen oder müssen auf einen aktuellen Zweig umziehen.
• Die Lücke wird ausgenutzt. Der Sicherheitsanbieter Patchstack meldete bereits am Tag der Veröffentlichung aktive Angriffe, die Hosting-Partner gemeldet hatten, und Amazons Honeypot-Netz registrierte einen Versuch vier Tage vor der öffentlichen Bekanntgabe. Das ist keine Theorie.

Entdeckt wurden die Lücken mit Hilfe KI-gestützter Sicherheitsforschung, was teilweise erklärt, warum die Veröffentlichung so kurzfristig kam. PHP hat inzwischen ein weiteres, weniger schweres Problem gemeldet, für das zum Zeitpunkt der Veröffentlichung noch kein Fix vorlag. Rechnen Sie in den kommenden Wochen mit weiteren Updates.

Warum das weit über die Regierung hinausgeht

Gehostete Plattformen wie Shopify, Squarespace oder Wix patchen ihre eigene Infrastruktur; deren Kunden müssen nichts installieren. Fast alles andere ist anders. Eine WordPress-Visitenkarte einer monegassischen Anwaltskanzlei, ein WooCommerce-Shop einer Boutique im Carré d'Or, ein PrestaShop-Store, das Exposé-Portal einer Immobilienagentur, die Buchungsmaschine eines Hotels, ein Intranet, eine vergessene Microsite von einer Veranstaltung 2022, eine online gebliebene Staging-Kopie: Überall läuft irgendwo PHP, und jede dieser Installationen muss einzeln geprüft werden.

Unangenehm ist, dass viele Inhaber weder wissen, welche PHP-Version ihre Website nutzt, noch wer für das Update zuständig ist. Beim Shared Hosting verwaltet in der Regel der Anbieter PHP. Auf einem VPS, einem dedizierten Server oder in einem Container sind Sie oder Ihr Entwickler verantwortlich. Beim Managed-WordPress-Hosting hängt es vom Vertrag ab. Wenn Sie diese Frage nicht in einem Satz beantworten können, ist das der erste Punkt, den Sie klären sollten.

Fünf Schritte für diese Woche

1. Finden Sie Ihre PHP-Version heraus. In WordPress: Werkzeuge, dann Website-Zustand, Reiter Bericht, Abschnitt Server. Andernorts fragen Sie Ihren Hoster oder Entwickler schriftlich. Alles unter 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 ist angreifbar.
2. Aktualisieren, dann neu starten. Wechseln Sie auf die gepatchte Version Ihres Zweigs und starten Sie PHP-FPM oder den Webserver neu, damit die neue Version tatsächlich aktiv ist. Vorher Backup, danach testen.
3. Wenn Sie heute nicht aktualisieren können, verringern Sie die Angriffsfläche. CERT-FR nennt zwei Übergangsmaßnahmen: die Upload-Progress-Funktion in der php.ini deaktivieren (session.upload_progress.enabled = Off), was nur eine der beiden Lücken entschärft, und Multipart-Anfragen an der Firewall blockieren oder eng überwachen. Oder Sie machen es wie Monaco und schalten die Website bis zum Patch in den Wartungsmodus.
4. Verabschieden Sie sich von PHP 8.1 und älter. Bietet Ihr Hoster keinen Backport an, ist der Umzug auf einen unterstützten Zweig der einzige verlässliche Weg. Bei einem alten WordPress oder PrestaShop bedeutet das zunächst eine Kompatibilitätsprüfung.
5. Gehen Sie davon aus, dass vielleicht schon jemand drin ist. Ein Patch wirft niemanden hinaus, der vorher eingedrungen ist. Prüfen Sie Zugriffsprotokolle, suchen Sie nach unbekannten Dateien oder Admin-Konten und tauschen Sie die Passwörter, API-Schlüssel und Tokens aus, die auf dem Server lagen.

Ein guter Vertrag für Website-Wartung hätte die Punkte eins und zwei am 21. oder 22. Oktober ungefragt für Sie erledigt. Falls nicht, fragen Sie nach dem Grund.

Was Monacos Entscheidung kleinen Unternehmen zeigt

Die eigene Website absichtlich abzuschalten fühlt sich wie Scheitern an. Das ist es nicht. Die Regierung hat die Kosten einiger Tage Nichterreichbarkeit gegen die Kosten einer Kompromittierung von Systemen mit Einwohnerdaten abgewogen und sich für die Wartungsseite entschieden. Ein monegassisches Unternehmen, das Kundenakten, Zahlungsdaten oder vertrauliche Korrespondenz hinter einer PHP-Anwendung hält, sollte dieselbe Entscheidung schnell treffen können und wissen, wer sie treffen darf.

Dafür müssen drei Dinge vor dem Notfall existieren: ein Inventar aller Websites und Anwendungen, die Sie betreiben; eine Wartungsseite und eine kurze Nachricht an Kunden, wie sie Sie in der Zwischenzeit telefonisch oder per E-Mail erreichen; und eine benannte Person, intern oder extern, mit der Befugnis und den Zugängen, den Stecker zu ziehen und alles wieder hochzufahren.

Vergessen Sie den Datenschutz nicht. Nach dem monegassischen Gesetz Nr. 1.565 kann eine Verletzung des Schutzes personenbezogener Daten eine Meldung an die APDP erfordern, und die Behörde hat kürzlich darauf hingewiesen, dass verspätete Meldungen zunehmen. Deuten Ihre Protokolle auf einen Einbruch hin, sprechen Sie noch am selben Tag mit Ihrem Berater für APDP-Datenschutz, statt auf Gewissheit zu warten.

Die eigentliche Lehre

PHP2Shell wird irgendwann überall gepatcht sein, und dann kommt die nächste Lücke. Die Unternehmen, die solche Wochen gelassen überstehen, behandeln ihre Website als Infrastruktur und nicht als Projekt, das am Tag des Launchs abgeschlossen war: ein unterstützter PHP-Zweig, automatische Sicherheitsupdates wo möglich, ein Hoster, der kommuniziert, ein moderner Code von einem Team, das noch ans Telefon geht. Wurde Ihre Website vor Jahren gebaut und hat seither niemand den Server angefasst, ist jetzt ein guter Zeitpunkt für ein Gespräch über WordPress-Härtung oder ein neues Fundament in der Webentwicklung.

Wenn Sie nicht wissen, worauf Ihre Website läuft oder ob sie seit Mittwoch jemand gepatcht hat, melden Sie sich: Wir prüfen es gemeinsam mit Ihnen.