Stellen Sie sich vor, eine Ihrer wichtigsten Unternehmensanwendungen ist seit mehr als zehn Jahren im Einsatz. Sie verwaltet Bestellungen, verbindet Abteilungen, verarbeitet Kundendaten und unterstützt zentrale Geschäftsprozesse. Alles funktioniert, doch es gibt ein Problem: Die Anwendung basiert auf veralteter Technologie, ist kaum dokumentiert und jede Aktualisierung birgt Risiken, die niemand gerne eingehen möchte.

Nun wird eine kritische Sicherheitslücke in genau dieser Technologie bekannt und die Sicherheitsbehörden empfehlen, umgehend ein Update einzuspielen. Was passiert, wenn Sie eine geschäftskritische Anwendung dringend absichern müssen, ein Update aber gleichzeitig wichtige Geschäftsprozesse gefährden könnte?

Genau diese Herausforderung macht PHP2Shell deutlich – eine der bedeutendsten Sicherheitswarnungen im Oktober 2026.

PHP2Shell: Was ist passiert und warum sollten Unternehmen handeln?

Am 21. Oktober 2026 veröffentlichte das PHP-Sicherheitsteam Updates für zwei kritische Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619. Beide wurden nach dem Bewertungssystem CVSS 4.0 mit einem Schweregrad von 9,2 von 10 eingestuft. Unter bestimmten Voraussetzungen können diese Schwachstellen es Angreifern ermöglichen, aus der Ferne Code auf betroffenen Servern auszuführen, ohne sich zuvor anmelden zu müssen.

Am 26. Oktober verschärfte sich die Situation: Die US-amerikanische Cybersicherheitsbehörde CISA nahm beide Schwachstellen in ihren Katalog nachweislich ausgenutzter Sicherheitslücken auf. Damit war klar, dass es sich nicht mehr nur um ein theoretisches Risiko handelte. Das bedeutet nicht, dass jede PHP-Anwendung bereits kompromittiert wurde. Unternehmen, die betroffene Versionen einsetzen, sollten jedoch ihre Gefährdung prüfen und schnell handeln.

PHP wird in zahlreichen Webanwendungen und digitalen Unternehmenssystemen eingesetzt. Die Technologie kann beispielsweise hinter Kundenportalen, E-Commerce-Plattformen, Verwaltungssystemen und individuell entwickelter Software stehen, die Unternehmen seit Jahren im täglichen Betrieb nutzen. Eine erfolgreiche Ausnutzung der Schwachstellen kann – abhängig von der Konfiguration und den Berechtigungen des betroffenen Systems – zu unbefugtem Datenzugriff, Betriebsunterbrechungen oder weiteren Angriffsmöglichkeiten führen.

Für Unternehmen kann das bedeuten, dass Kundenportale nicht mehr verfügbar sind, wichtige Geschäftsprozesse unterbrochen werden oder IT-Teams ungeplant Ressourcen für die Untersuchung eines möglichen Sicherheitsvorfalls bereitstellen müssen. Doch das eigentliche Problem geht über die Sicherheitslücken selbst hinaus: Was passiert, wenn ein Unternehmen feststellt, dass sich eine unverzichtbare Anwendung nicht kurzfristig aktualisieren lässt?

Das eigentliche Problem: Anwendungen, die funktionieren, aber niemand mehr aktualisieren möchte

Viele Unternehmensanwendungen sind über Jahre hinweg gewachsen. Neue Funktionen wurden ergänzt, weitere Systeme angebunden und Prozesse immer wieder an neue Anforderungen angepasst. Dadurch können Anwendungen entstehen, deren Aufbau und Abhängigkeiten nur noch schwer nachvollziehbar sind.

Denken wir beispielsweise an eine vor zwölf Jahren entwickelte Plattform, die ein ERP-System mit einem Kundenportal verbindet. Die Anwendung funktioniert weiterhin, basiert jedoch auf einer älteren PHP-Version, verwendet veraltete Bibliotheken und enthält Geschäftsregeln, die kaum dokumentiert sind. Ein Update kann bedeuten, zahlreiche Abhängigkeiten zu überprüfen, Komponenten anzupassen und anschließend sicherzustellen, dass alle wesentlichen Prozesse weiterhin korrekt funktionieren. Was passiert, wenn nach der Aktualisierung Preise falsch berechnet werden, eine Schnittstelle ausfällt oder eine bislang undokumentierte Funktion verloren geht?

Diese Unsicherheit führt dazu, dass manche Unternehmen notwendige Aktualisierungen über Monate oder sogar Jahre aufschieben. Doch wer die Modernisierung immer wieder verschiebt, beseitigt das Risiko nicht. Stattdessen kann die Abhängigkeit von immer schwerer wartbarer Technologie weiter wachsen.

Und es handelt sich keineswegs um ein isoliertes Problem. Laut dem Bericht NIS Investments 2025 der Europäischen Agentur für Cybersicherheit (ENISA) benötigen 28 % der 1.080 befragten europäischen Organisationen mehr als drei Monate, um kritische Sicherheitslücken zu schließen. Darüber hinaus sehen 50 % der befragten Organisationen im Schwachstellen- und Patchmanagement eine der zentralen Herausforderungen bei der Umsetzung von NIS2. Die Untersuchung konzentriert sich auf Organisationen aus besonders kritischen Sektoren. Dennoch verdeutlichen die Ergebnisse eine Herausforderung, die viele IT-Verantwortliche kennen: den laufenden Betrieb sicherzustellen und gleichzeitig notwendige Sicherheitsupdates zuverlässig umzusetzen.

Was sollten Unternehmen, die PHP einsetzen, jetzt tun?

Oberste Priorität hat es, betroffene Systeme zu identifizieren und die verfügbaren Sicherheitskorrekturen einzuspielen. Am 21. Oktober 2026 veröffentlichte das PHP-Projekt die korrigierten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. IT-Teams sollten die eingesetzten PHP-Versionen überprüfen, die entsprechenden Updates installieren und untersuchen, ob Anzeichen einer möglichen Kompromittierung vorliegen.

PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Einige Anbieter stellen jedoch eigene Sicherheitskorrekturen bereit. Unternehmen sollten daher die jeweiligen Herstellerhinweise prüfen und den Wechsel auf eine unterstützte Version vorbereiten. Ist eine sofortige Aktualisierung nicht möglich, müssen geeignete vorübergehende Schutzmaßnahmen bewertet werden.

Hinzu kommt ein weiterer wichtiger Termin: Am 31. Dezember 2026 endet der offizielle Sicherheitssupport für PHP 8.2. Die aktuellen Sicherheitsupdates sind daher dringend notwendig. Gleichzeitig sollten Unternehmen bereits die nächsten Schritte für eine nachhaltige Aktualisierung ihrer Anwendungen planen.

Über Sicherheitsupdates hinaus: Modernisierung ohne Verlust von Geschäftswissen

PHP2Shell zeigt, dass Anwendungssicherheit nicht nur davon abhängt, wie schnell Unternehmen auf neue Schwachstellen reagieren. Entscheidend ist auch, ob Software langfristig verstanden, gewartet und aktualisiert werden kann. Wenn eine Anwendung so komplex geworden ist, dass Änderungen kaum noch sicher durchgeführt werden können, wird Modernisierung zu einer unternehmerischen Aufgabe und nicht nur zu einer technischen Entscheidung.

Das bedeutet jedoch nicht zwangsläufig, alles vollständig neu entwickeln zu müssen. Bevor eine Anwendung transformiert wird, muss zunächst verstanden werden, welche Funktionen sie erfüllt, welche Geschäftsprozesse sie unterstützt, mit welchen Systemen sie verbunden ist und welches Fachwissen erhalten bleiben muss.

Bei insinno beschäftigen wir uns mit genau dieser Herausforderung. Mit LegacyRevive verfolgen wir einen geschäftsorientierten Ansatz zur Softwaremodernisierung. Wir kombinieren technische Analyse, künstliche Intelligenz, Expertenvalidierung und Tests, um bestehende Anwendungen besser zu verstehen und ihre strukturierte Transformation zu unterstützen. Dabei geht es nicht lediglich darum, neuen Code zu erzeugen. Ziel ist es, Geschäftsprozesse und Unternehmenswissen zu bewahren, Abhängigkeiten transparent zu machen und nachzuweisen, dass die modernisierte Anwendung weiterhin die fachlichen Anforderungen erfüllt.

Eine solche Modernisierung ersetzt selbstverständlich nicht die sofortige Installation notwendiger Sicherheitsupdates. Sie hilft vielmehr dabei, die strukturellen Probleme anzugehen, die zukünftige Aktualisierungen erschweren können.

PHP2Shell ist ein Warnsignal für Unternehmen, die von schwer wartbaren Anwendungen abhängig sind. Heute betrifft die Sicherheitslücke PHP. Morgen könnte es eine andere Programmiersprache, eine Bibliothek oder eine wichtige Softwarekomponente sein. Eine Anwendung, die heute funktioniert, sich morgen aber nicht mehr sicher aktualisieren lässt, kann zum Risiko für die Geschäftskontinuität werden.

Deshalb sollten Unternehmen nicht nur die aktuellen Sicherheitslücken schließen, sondern auch prüfen, welche Anwendungen langfristig modernisiert werden müssen und wie sich dies ohne Verlust von wichtigem Geschäftswissen umsetzen lässt. Bei insinno sind wir überzeugt: Erfolgreiche Modernisierung beginnt mit dem Verständnis des Geschäfts – nicht einfach mit der Transformation von Code.

Ist Ihr Unternehmen auf geschäftskritische Anwendungen angewiesen, deren Aktualisierung zunehmend schwieriger wird? Dann könnte jetzt der richtige Zeitpunkt sein, ihre Zukunftsfähigkeit zu überprüfen.