PHP2Shell: Warum EDIS die Notabschaltung vornehmen musste

Die unter dem Namen „PHP2Shell“ bekannt gewordenen Sicherheitslücken sind möglicherweise die schwerwiegendste Bedrohung, mit der wir in unserer fast 30-jährigen Unternehmensgeschichte konfrontiert waren. Sie haben uns zu einer Maßnahme gezwungen, die bei EDIS noch nie zuvor notwendig war: der vorsorglichen Abschaltung unserer Webhosting-Dienste einschließlich der gehosteten Webseiten.

Dieser Entscheidung gingen intensive technische Bewertungen und kurzfristig organisierte Telefongespräche mit anderen Hostinganbietern voraus. Wir wollten verstehen, wie Providerkollegen die Situation einschätzten und ob auch bei ihnen eine Notabschaltung im Raum stand. Dabei wurde deutlich, dass auch andere Unternehmen eine solche außergewöhnliche Schutzmaßnahme ernsthaft erwogen.

Gleichzeitig nahm die mediale Aufmerksamkeit innerhalb weniger Stunden sprunghaft zu. Die Verunsicherung war auch bei unseren Kunden deutlich spürbar: Vereinzelt löschten Kunden sogar selbst DNS-Einträge ihrer Domains, um ihre Webseiten vor möglichen Angriffen zu schützen. Wir verstehen diese Sorge. Das Entfernen von DNS-Einträgen ersetzt allerdings weder ein Sicherheitsupdate noch die wirksame Abschottung eines gefährdeten Servers.

Ausschlaggebend für unsere Entscheidung war die technische Risikobewertung: Die möglichen Folgen eines erfolgreichen Angriffs waren gravierend, während unmittelbar einsetzbare Sicherheitsupdates für sämtliche betroffenen Systeme noch nicht vorlagen. Wir entschieden uns deshalb für die Sicherheit der uns anvertrauten Systeme und Daten und folgten den Empfehlungen von CERT-EU und weiteren nationalen Cybersicherheitsstellen, gefährdete Dienste bis zur Absicherung vom öffentlichen Netz zu isolieren.

Uns ist bewusst, was eine solche Unterbrechung bedeutet. Webseiten sind nicht erreichbar, Onlineshops können keine Bestellungen entgegennehmen, und Unternehmen verlieren einen wichtigen Kontaktpunkt zu ihren Kunden. Die Entscheidung vom 21. Oktober 2026 war deshalb eine der schwierigsten der vergangenen Jahre. Nach unserer damaligen Einschätzung gab es jedoch keine verantwortbare Alternative zur sofortigen, vorsorglichen Abschaltung.

Was hinter PHP2Shell steckt

Hinter PHP2Shell stehen die beiden kritischen Sicherheitslücken CVE-2026-109618 und CVE-2026-109619. Sie betreffen PHP selbst – die technische Grundlage zahlreicher Webseiten, Shops und Content-Management-Systeme. Unter bestimmten Bedingungen können Angreifer ohne vorherige Anmeldung eigenen Programmcode auf einem betroffenen Server ausführen. Auch das Auslesen sensibler Informationen aus dem Arbeitsspeicher wurde demonstriert. Selbst eine aktuell gehaltene Website kann betroffen sein, wenn die darunterliegenden PHP binaries verwundbar sind. Ein Update von WordPress, Joomla oder einzelnen Erweiterungen allein behebt diese Schwachstellen daher nicht.

Sicherheitsupdates: Warum ältere PHP-Versionen so aufwendig waren

Für den 21. Oktober um 16:00 Uhr österreichischer Zeit waren Sicherheitsupdates angekündigt. Zum Zeitpunkt unserer Entscheidung konnten wir uns jedoch nicht darauf verlassen, dass dann für sämtliche bei uns eingesetzten PHP-Versionen sofort verwendbare und geprüfte Updates zur Verfügung stehen würden. Eine angekündigte Veröffentlichung ist noch keine abgeschlossene Absicherung der betroffenen Systeme.

Nach Veröffentlichung der Korrekturen konnten wir mit der Aktualisierung beginnen. Für die unterstützten PHP-Zweige 8.2, 8.3, 8.4 und 8.5 standen neue Sicherheitsversionen bereit. Wesentlich schwieriger war die Situation bei älteren PHP-Versionen. Für PHP 7.4, 8.0 und 8.1 wurden zwar auch Korrekturen am Quellcode bereitgestellt; daraus ergaben sich aber nicht automatisch installierbare Pakete für jede bestehende Serverumgebung.

Insbesondere bei PHP 7 und den sehr alten PHP-5-Umgebungen mussten Sicherheitskorrekturen auf ältere Quellcode-Stände übertragen, angepasst, selbst kompiliert und anschließend geprüft werden. Bei der Prüfung und Absicherung von Systemen mit PHP 5.3, 5.4, 5.5 und 5.6 waren wir mit enormen technischen Schwierigkeiten konfrontiert. Hier ging es um unterschiedliche, teilweise seit vielen Jahren nicht mehr regulär unterstützte Softwarestände und deren Abhängigkeiten.

Wir arbeiteten deshalb nach klaren Prioritäten: Zuerst aktualisierten wir unsere aktuelle Plattform Hosting NG mit den „Kaffee Hosting“-Produkten. Anschließend folgten die LTS-Hostingpakete, die bis Juni 2019 verkauft wurden. Auf diesen älteren Plattformen laufen Projekte mit PHP-Versionen bis einschließlich 7.3.

Die Chronologie der Abschaltung und Wiederherstellung

Alle Zeiten in österreichischer Sommerzeit (MESZ).

• 21. Oktober, 14:44 Uhr: Vorsorgliche Abschaltung von Webhosting-Control-Panel und Webmail.
• 21. Oktober, 15:04 Uhr: Ausweitung der Schutzmaßnahme auf alle gehosteten Webseiten.
• 21. Oktober, ab 16:00 Uhr: Prüfung verfügbarer Sicherheitsupdates und Vorbereitung der Installation.
• 21. Oktober, 21:40 Uhr: Webseiten mit PHP 8.2 bis 8.5 wieder erreichbar.
• In der Nacht auf den 22. Oktober: Weitere Arbeiten an PHP 8.0, 8.1 und den älteren PHP-7-Versionen.
• 22. Oktober, ab 08:00 Uhr: Schrittweise Aktivierung der aktualisierten Versionen PHP 7.4, 8.0 und 8.1.
• 22. Oktober, 13:30 Uhr: Beginn des Rollouts für PHP 7.3 als letzter ausstehender Versionszweig auf Hosting NG; parallel Arbeiten an den LTS-Paketen.
• 23. Oktober, 08:00 Uhr: Alle LTS-Webhostingpakete gepatcht und reaktiviert. Damit waren sämtliche Webseiten auf unseren Webhostingplattformen wieder aktiv.
• 23. Oktober, 08:25 Uhr: Auch das Hosting-Control-Panel unter manage.edis.at wieder vollständig erreichbar.

Die vollständige Chronologie unserer Maßnahmen finden Sie in der Meldung auf unserer Statusseite.

Information und Erreichbarkeit während der Unterbrechung

Während unser technisches Team an den Sicherheitsupdates arbeitete, liefen unsere Telefonleitungen heiß. Gleichzeitig erreichten uns zahlreiche Nachrichten über WhatsApp, Messenger, E-Mail, SMS und weitere Kontaktwege. Uns war wichtig, die Fragen und Sorgen unserer Kunden auch unter diesem außergewöhnlichen Aufkommen so schnell wie möglich zu beantworten.

Unsere Statusseite wurde deshalb zur zentralen Informationsquelle. Dort dokumentierten wir fortlaufend, was geschehen war, welche Arbeiten bereits abgeschlossen waren und welche Schritte als Nächstes anstanden. Parallel aktualisierten wir automatische Antworten für eingehende Anfragen. Unser Ziel war, Kunden unabhängig vom gewählten Kontaktweg möglichst unmittelbar eine verständliche Erklärung und die aktuelle chronologische Übersicht zur Verfügung zu stellen.

Nicht auf jede Frage konnten wir sofort eine verbindliche Antwort geben. Gerade bei den ältesten PHP-Versionen ließ sich der Aufwand für eine funktionierende Sicherheitskorrektur zunächst nicht zuverlässig abschätzen. Auch diese Unsicherheit haben wir offen kommuniziert und unsere Informationen mit jedem belastbaren Fortschritt ergänzt.

Alte PHP-Versionen: Patches sind nur eine Übergangslösung

Die für PHP 5 und PHP 7 bereitgestellten Sicherheitskorrekturen sind ausdrücklich eine Übergangslösung. Sie beheben konkrete Schwachstellen, ersetzen aber weder eine regulär unterstützte PHP-Version noch die laufende Wartung Ihrer Website. Ein veraltetes Shopsystem, ein nicht mehr gepflegtes CMS oder eine unsichere Erweiterung wird durch einen Patch der PHP binaries nicht automatisch sicher.

PHP2Shell zeigt außerdem, wie sich die Bedrohungslage verändert. Nach Angaben der beteiligten Sicherheitsforscher half künstliche Intelligenz dabei, lange vorhandene Schwachstellen aufzudecken und praktisch ausnutzbar zu machen. Wir müssen damit rechnen, dass KI künftig sowohl die Suche nach weiteren Sicherheitslücken als auch die Entwicklung von Angriffen beschleunigt. Darauf, dass alte Software über Jahre unauffällig funktioniert hat, können wir uns als Sicherheitsargument nicht mehr verlassen.

Wir bitten deshalb alle Kunden mit veralteten Webseiten, Shops und Projekten eindringlich, jetzt die Modernisierung vorzubereiten. Dazu gehören aktuelle Anwendungssoftware, gepflegte Erweiterungen, eine offiziell unterstützte PHP-Version und bei älteren Hostingprodukten der Wechsel auf ein aktuelles Hostingpaket. Bitte beziehen Sie Ihre Webagentur oder Ihre Entwickler frühzeitig ein. Häufig reicht es nicht aus, lediglich die PHP-Version im Control Panel umzustellen; die Anwendung muss dafür geeignet und getestet sein.

In den kommenden Wochen werden wir Kunden, deren Projekte noch PHP 5 oder PHP 7 benötigen, gezielt kontaktieren. Dabei werden wir einen verbindlichen Zeitplan bekannt geben, bis wann die betroffenen Webseiten, Shops und Anwendungen auf eine unterstützte technische Grundlage umgestellt werden müssen.

Wir haben ältere Plattformen lange weiterbetrieben, um bestehenden Projekten Kontinuität zu ermöglichen. Der Aufwand und das Risiko, teilweise rund 15 Jahre alte Software dauerhaft über individuelle Sicherheitskorrekturen am Leben zu halten, sind jedoch nicht mehr verantwortbar. Als Hostinganbieter müssen wir eine Grenze ziehen, wenn ein verlässlicher und sicher wartbarer Betrieb nicht mehr gewährleistet werden kann. Bekannte Sicherheitsrisiken auf Dauer hinzunehmen, wäre aus unserer Sicht grob fahrlässig.

Für die Unterbrechungen und die damit verbundenen Schwierigkeiten entschuldigen wir uns aufrichtig. Unser Team hat unter erheblichem Zeitdruck an der Absicherung und schrittweisen Wiederherstellung gearbeitet. Wir danken Ihnen für Ihre Geduld und Ihr Vertrauen – und bitten Sie, die jetzt notwendige Modernisierung gemeinsam mit uns anzugehen.

Weiterführende Informationen

Zur Einordnung der übergreifenden Sicherheitslage finden Sie weitere Informationen bei ORF, Reuters und im Wikipedia-Artikel zu PHP2Shell.

Technische Hintergründe und Empfehlungen bieten die Sicherheitswarnung von CERT-EU, die Veröffentlichungen des PHP-Projekts und die Analyse von Wiz Research.