Eine kritische Sicherheitslücke wird bekannt. Und niemand weiß, ob Ihr Unternehmen betroffen ist.
Dienstag, 20. Oktober 2026, abends. Die IT hat Feierabend. Und das ist auch völlig in Ordnung.
Zwei schwere Sicherheitslücken in PHP werden öffentlich. Beide werden mit 9,2 von 10 bewertet. Auf der Skala für Sicherheitslücken ist das fast das Maximum. Angreifer*innen können damit aus der Ferne die Kontrolle über betroffene Systeme übernehmen.
PHP?
Wenn Sie nicht in der IT arbeiten, müssen Sie nicht wissen, was das ist. Das Problem ist nur: Es läuft vermutlich trotzdem in Ihrem Unternehmen.
Hinter Ihrer Website. In Ihrem Shop. Im Kundenportal. In vielen bekannten Programmen, zum Beispiel WordPress. In selbst entwickelten Anwendungen.
Diese Systeme schlafen nicht. Sie sind weiterhin erreichbar. Für Kund*innen. Und für Angreifer*innen.
Das Update erscheint erst am nächsten Tag gegen 16 Uhr. Dazwischen liegen viele Stunden.
Und selbst dann ist noch gar nichts gelöst.
Um 16 Uhr ist das Update verfügbar. Nicht installiert. Verfügbar.
Bis es überall angekommen ist, vergehen oft Tage. Wenn sich überhaupt jemand darum kümmert.
Und dann gibt es noch die Systeme, über die niemand gern spricht.
Die Anwendung, die nur mit genau dieser alten Version funktioniert. Wer sie aktualisiert, riskiert, dass sie danach nicht mehr läuft. Also lässt man sie lieber, wie sie ist.
Die Anwendung, die vor Jahren ein Dienstleister gebaut hat, den es heute nicht mehr gibt.
Oder die Lösung, die ein*e engagierte*r Mitarbeiter*in irgendwann mit viel Einsatz aufgebaut hat. Damals eine richtig gute Idee. Nur arbeitet diese Person heute nicht mehr bei Ihnen. Oder hat schlicht vergessen, dass es diese Anwendung überhaupt noch gibt.
Niemand fühlt sich zuständig. Niemand hat sie auf dem Zettel. Aber sie ist da. Und sie ist erreichbar.
„Das macht doch unser Dienstleister.“
Hoffentlich.
Aber betreut Ihr Dienstleister überhaupt alle Systeme? Auch die, von denen gerade die Rede war? Und selbst wenn: Ist vereinbart, dass er neue Sicherheitslücken bewertet und im Ernstfall reagiert? Auch abends? Auch am Wochenende?
Ein Servicevertrag ist keine Rund-um-die-Uhr-Überwachung. Schauen Sie mal nach. Sie werden vielleicht überrascht sein.
„Das macht bei uns die gute Seele der IT.“
Diese Menschen sind Gold wert. Sie kennen die Systeme und finden Lösungen, wenn andere noch nach dem Problem suchen. Aber auch sie haben Feierabend. Sie haben Urlaub. Sie werden krank. Und irgendwann gehen sie vielleicht.
Die Sicherheit Ihres Unternehmens darf nicht davon abhängen, dass zufällig die richtige Person zur richtigen Zeit die richtige Meldung liest.
Wenn der nächste Morgen schon zu spät ist?
Bisher sind wir davon ausgegangen, dass am nächsten Morgen irgendjemand von der Lücke erfährt und handelt. Das ist der günstige Fall.
Aber auch der kann zu spät sein.
Angriffe laufen heute weitgehend automatisch. Sobald eine Lücke öffentlich ist, ziehen Programme los und durchsuchen das Internet nach Systemen, die betroffen sind. Rund um die Uhr. Ohne Pause. Ohne Feierabend.
Die fragen nicht, wie groß Ihr Unternehmen ist. Die fragen nicht, ob Sie interessant sind. Die fragen nur, ob Ihre Tür offen steht.
Und wenn es auch dann niemand merkt? Wenn ein betroffenes System Tage oder Wochen unverändert weiterläuft?
Alles funktioniert ganz normal. Die Website ist erreichbar, die Anwendungen laufen, niemand meldet eine Störung. Aber dass ein System funktioniert, heißt noch lange nicht, dass es sicher ist.
Und was war eigentlich vorher?
Eine Frage stellt kaum jemand.
Wir sprechen über den Moment, in dem die Lücke bekannt wird. Und über den Moment, in dem das Update kommt. Aber die Lücke ist nicht am Dienstagabend entstanden. Sie steckt vielleicht seit Monaten oder Jahren in der Software. Bekannt geworden ist sie nur jetzt.
Das ist keine Theorie.
Sicherheitsforscher*innen von Amazon haben bereits am 17. Oktober Versuche beobachtet, genau diese Lücken auszunutzen. Drei Tage, bevor sie öffentlich wurden. Vier Tage, bevor es ein Update gab.
Und das sind nur die Versuche, die jemand bemerkt hat.
Wer garantiert Ihnen, dass nicht auch bei Ihnen längst jemand angeklopft hat? Oder schon drin ist?
Kein lauter Angriff. Keine Verschlüsselung. Keine Lösegeldforderung. Sondern jemand, der sich leise eingerichtet hat und regelmäßig Daten abgreift. Über Ihre Kund*innen. Über Ihre Projekte. Über die Menschen, die bei Ihnen arbeiten.
Das Update schließt die Tür für die Zukunft. Aber es sagt Ihnen nicht, wer bereits drin war.
Heute PHP. Morgen etwas anderes.
Deshalb geht es hier eigentlich gar nicht um PHP. Es kann genauso die Firewall treffen, eine Unternehmensanwendung, das Backup-System, eine Cloud-Lösung oder eine Software, von der die meisten Verantwortlichen noch nie gehört haben.
Wer Verantwortung trägt, muss nicht jede Technologie kennen. Wohl aber sicher sein können, dass relevante Risiken rechtzeitig erkannt werden.
Muss dafür rund um die Uhr jemand vor einem Bildschirm sitzen?
Nein.
Man muss nicht alles sehen. Aber man darf nicht erst merken, dass es brennt, wenn jemand anderes es meldet.
Kein Wundermittel. Aber der Unterschied zwischen Hoffen und Wissen.
Das ersetzt kein Update. Aber es verschafft das Wertvollste, was man in so einer Situation haben kann: Zeit.
Zeit, um herauszufinden, welche Systeme betroffen sind. Zeit, um die Lage zu bewerten. Zeit, um die Lücke kontrolliert zu schließen.
Und wer nicht wegsieht, kann sagen, ob schon jemand da war. Alle anderen hoffen.
Die Sicherheitslücke ist dieselbe. Ihr Risiko nicht.
Für heute bleiben zwei Fragen:
Wissen Sie, wer oder was in Ihrem Unternehmen dafür sorgt, dass eine kritische Sicherheitslücke nicht wochenlang unbemerkt bleibt?
Und könnten Sie sagen, ob sie nicht längst ausgenutzt wurde?
Wenn Sie auf beide Fragen sofort eine klare Antwort haben: sehr gut.
Wenn Sie kurz überlegen mussten, wissen Sie jetzt, worüber Sie in Ihrem Unternehmen sprechen sollten. Am besten, bevor die nächste Meldung kommt. Und nicht erst Dienstagabend.
Denn diese Fragen beantwortet nicht die IT allein. Sie sind Führungsaufgabe.
Und genau darum geht es in unserer neuen Serie. Nicht um Sicherheitslücken. Um die Entscheidungen, die dahinterstehen. Um Führung. Um Verantwortung. Um das, was in Unternehmen heute beschlossen wird — und morgen nicht mehr rückholbar ist.
Sie wird unbequem. Nicht, weil wir uns so sehen. Sondern weil die Entscheidungen, um die es geht, keine bequemen sind.
Wer sie nicht verpassen möchte: Newsletter.
Quellen: PHP Security Advisory vom 20./21. Oktober 2026 Datadog Security Labs: „PHP2Shell: Critical vulnerabilities in PHP“ (inkl. Beobachtungen von Amazon Threat Intelligence): Link
BSI-Cybersicherheitswarnung: Link
