IT-Wochenrückblick KW 43/2026: PHP2Shell legt Behörden-Websites lahm (CVSS 9.2), WordPress-Hintertüren über UpdraftPlus & Ransomware SafePay zerstört Backups

Weltweite PHP-Notfall-Lücke „PHP2Shell“ (CVSS 9.2) legt Behörden-Websites lahm, gestohlene UpdraftCentral-Schlüssel öffnen Hintertüren in WordPress-Seiten und eine Behördenwarnung zur Ransomware-Gruppe SafePay, die gezielt Backups zerstört

Die wichtigsten IT- und Sicherheitsthemen der Woche – kompakt und verständlich für kleine und mittlere Unternehmen sowie Privatanwender.

Liebe Leserinnen und Leser,

diese Woche stand ganz im Zeichen der eigenen Website: Zwei kritische Lücken in der Programmiersprache PHP – auf der rund drei Viertel aller Websites laufen – haben das BSI zur Warnstufe Orange veranlasst. Ministerien, Städte, Kliniken und sogar das BKA haben ihre Internetauftritte vorsorglich vom Netz genommen. Gleichzeitig nutzen Angreifer gestohlene Zugangsschlüssel des beliebten WordPress-Backup-Plugins UpdraftPlus, um Hintertüren in Websites zu installieren. Und US-Behörden warnen gemeinsam mit deutschen Ermittlern vor der Ransomware-Gruppe SafePay, die vor der Verschlüsselung gezielt Backups löscht. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.

Top 1: „PHP2Shell“ – kritische PHP-Lücken (CVSS 9.2), BSI ruft Warnstufe Orange aus

PHP ist die Grundlage von WordPress, TYPO3, Joomla, Shopware, Magento, Nextcloud und unzähligen weiteren Webanwendungen. Am 21. Oktober hat das PHP-Projekt Notfall-Updates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen „PHP2Shell“ bekannt wurden (CVE-2026-109618 und CVE-2026-109619, jeweils Bedrohungswert 9,2). Beide Lücken stecken in der PHP-Laufzeitumgebung selbst und erlauben Angreifern, ohne Anmeldung Schadcode auf dem Webserver auszuführen. Betroffen ist jede PHP-Installation, die Webanfragen verarbeitet – also praktisch jeder PHP-Webserver, bis zurück zu PHP 5.

Weil Details bereits am 20. Oktober vorab durchgesickert waren, wurde die Veröffentlichung um einen Tag vorgezogen. Das BSI stufte die Lage mit Warnstufe 3/Orange ein und empfiehlt, Systeme notfalls vom Internet zu trennen, wenn das Update nicht sofort eingespielt werden kann. Zahlreiche Behörden, darunter hessische Ministerien, das BKA, die Stadt Mainz, die Charité sowie der Saarländische Rundfunk, nahmen ihre Websites vorsorglich offline. Cloudflare und Amazon haben bereits erste Angriffsversuche beobachtet.

Die abgesicherten Versionen lauten PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wichtig: Ein Update von WordPress oder Plugins reicht nicht – die PHP-Version auf dem Server muss aktualisiert werden. Versionen bis einschließlich 8.1 erhalten offiziell keine Updates mehr; hier helfen nur Backports des Linux-Distributors bzw. Hosters oder ein Umstieg auf eine unterstützte Version.

Was bedeutet das für Sie?

• Fragen Sie Ihren Webhoster oder Dienstleister noch heute, ob die PHP-Version Ihrer Website, Ihres Online-Shops und weiterer Webanwendungen (z. B. Nextcloud, Intranet) bereits auf einen abgesicherten Stand aktualisiert wurde – und lassen Sie sich das schriftlich bestätigen.
• Betreiben Sie eigene Webserver, spielen Sie die Updates umgehend ein und starten Sie alle PHP-Dienste (PHP-FPM, Apache) neu. Prüfen Sie auch Geräte und Software mit eingebautem PHP, etwa Firewalls (pfSense, OPNsense) oder Verwaltungsoberflächen.
• Läuft noch PHP 8.1 oder älter: Planen Sie den Umstieg jetzt ein. Bis dahin sollte das System nicht frei aus dem Internet erreichbar sein. Prüfen Sie Webserver nach dem Update zusätzlich auf unbekannte Dateien und neue Admin-Konten.

Top 2: WordPress – gestohlene UpdraftCentral-Schlüssel für Hintertüren genutzt

UpdraftPlus ist eines der meistgenutzten Backup-Plugins für WordPress und läuft auf Millionen Websites – gerade auch bei kleinen Unternehmen. Am Wochenende vom 17. auf den 18. Oktober wurde die Website des Herstellers TeamUpdraft gehackt. Die Angreifer erbeuteten dabei nach Angaben des Herstellers die Kundendatenbank inklusive Passwort-Hashes, Einstellungen zur Zwei-Faktor-Anmeldung und – besonders kritisch – die Verbindungsschlüssel für den Fernverwaltungsdienst UpdraftCentral.

Mit diesen Schlüsseln können Befehle direkt an verbundene WordPress-Seiten gesendet werden. Genau das passiert bereits: Laut dem Sicherheitsunternehmen Patchstack laufen seit dem 18. Oktober Angriffe, bei denen Angreifer Administrator-Konten anlegen und getarnte Schad-Plugins mit harmlos klingenden Namen wie „Site Health Cache“ installieren. Mindestens 99 verschiedene Varianten wurden bereits gezählt. Schätzungen zufolge könnten rund 400.000 Websites betroffen sein.

Tückisch: Die angegriffenen Seiten waren vollständig aktuell – die Angreifer brauchten keine Sicherheitslücke, sondern nutzten den legitimen Fernverwaltungskanal mit gültigen Schlüsseln. Ein erstes Korrektur-Update des Herstellers entfernte die Schlüssel wegen eines Fehlers nicht zuverlässig. Selbst gehostete UpdraftCentral-Installationen sind nicht betroffen.

Was bedeutet das für Sie?

• Aktualisieren Sie UpdraftPlus auf Version 1.26.13 (kostenlos) bzw. 2.26.13 (Premium) oder neuer und löschen Sie anschließend unter „Einstellungen > UpdraftPlus Backups > Erweiterte Werkzeuge > UpdraftCentral“ alle bestehenden Verbindungsschlüssel.
• Kontrollieren Sie die Benutzerliste Ihrer WordPress-Seite auf unbekannte Administratoren und die Plugin-Liste auf Einträge, die Sie nicht selbst installiert haben. Bei Auffälligkeiten: Website aus einem sauberen Backup wiederherstellen.
• Ändern Sie das Passwort Ihres TeamUpdraft-Kontos, richten Sie die Zwei-Faktor-Anmeldung neu ein und erneuern Sie die Zugangsdaten zu Ihren Backup-Speichern (z. B. Cloud-Speicher, FTP).

Top 3: Ransomware-Gruppe SafePay – über 600 Opfer, Backups werden gezielt zerstört

Die US-Behörden CISA, FBI und Secret Service haben am 20. Oktober gemeinsam mit deutschen und britischen Ermittlungsbehörden eine Warnung zur Ransomware-Gruppe SafePay veröffentlicht. Seit August 2024 hat die Gruppe mindestens 600 Organisationen in Nordamerika, Südamerika, Europa und Australien angegriffen. SafePay zählte zuletzt auch in Deutschland zu den aktivsten Ransomware-Gruppen.

Die Angreifer kommen über gestohlene Zugangsdaten, Phishing, Passwort-Rateangriffe und bekannte Lücken in VPN- und Firewall-Systemen (u. a. Cisco ASA, SonicWall) sowie in Veeam Backup & Replication ins Netzwerk. Dort nutzen sie legitime Werkzeuge wie RDP, PsExec, AnyDesk oder TeamViewer, um unauffällig zu bleiben, schalten Virenschutz ab und kopieren Daten ab, bevor sie verschlüsseln.

Besonders gefährlich: SafePay sabotiert gezielt die Wiederherstellung. Die Angreifer löschen die Windows-Schattenkopien und setzen NAS-Systeme mit Backups auf Werkseinstellungen zurück. Ermittler berichten von Fällen, in denen sämtliche Backups im Firmennetz gelöscht wurden. Anschließend wird mit der Veröffentlichung der Daten und telefonisch Druck auf die Opfer ausgeübt.

Was bedeutet das für Sie?

• Halten Sie mindestens eine Backup-Kopie offline oder unveränderbar (z. B. Cloud-Backup mit Unveränderbarkeit oder getrennte Medien) – ein NAS im selben Netz ist kein ausreichender Schutz. Testen Sie die Wiederherstellung regelmäßig.
• Schließen Sie bekannte Lücken in VPN, Firewall und Backup-Software (insbesondere Veeam) und erzwingen Sie für alle Fernzugänge die Mehr-Faktor-Anmeldung.
• Achten Sie auf Warnsignale wie neue Admin-Konten, unerwartete Fernwartungs-Tools (AnyDesk, TeamViewer) oder abgeschalteten Virenschutz – und haben Sie einen Notfallplan mit Ansprechpartnern griffbereit.

⚡ Quick News der Woche

• eMudhra: kompromittierte Zertifikate gesperrt: Bei der Zertifizierungsstelle eMudhra wurden acht Zwischenzertifikate mit extrem schwachen Schlüsseln entdeckt – mit ihnen hätten sich gefälschte, als vertrauenswürdig angezeigte Zertifikate für beliebige Websites erstellen lassen. Mozilla, Google, Apple und Microsoft haben die Zertifikate gesperrt. Browser, Betriebssysteme und Software mit eigenem Zertifikatsspeicher aktuell halten.
• Chrome 156 schließt kritische Lücken: Google hat am 20. Oktober Chrome 156 veröffentlicht und dabei zahlreiche Sicherheitslücken geschlossen, sechs davon kritisch. Chrome aktualisiert sich automatisch, wird aber erst nach einem Neustart des Browsers wirksam – also Browser schließen und neu öffnen.
• Oracle-Patchday mit über 1.200 Updates: Mit dem vierteljährlichen Critical Patch Update vom 20. Oktober verteilt Oracle Sicherheitsupdates für Datenbank, Java, MySQL, Fusion Middleware und weitere Produkte, teils mit Bedrohungswert 9,8. Wer Oracle-Produkte oder Java einsetzt, sollte die Updates zeitnah einplanen.
• LiteLLM: KI-Werkzeug mit Datendieb verseucht: Angreifer haben die Veröffentlichungsprozesse des populären KI-Gateways LiteLLM gekapert und am 21. Oktober für rund zwei Stunden die verseuchte Version 1.107.0 verteilt, die Zugangsdaten stiehlt und eine Hintertür installiert. Wer diese Version installiert hat, sollte das System als kompromittiert betrachten und alle Zugangsdaten erneuern.
• Phishing im Namen von Banken: Die Verbraucherzentralen warnen aktuell vor gefälschten E-Mails im Namen der ING (angebliches Sicherheitsupdate), der Volksbanken Raiffeisenbanken (angebliche Stammdatenbestätigung) und der easybank (angebliche Aktivierung von Echtzeit-Überweisungen). Banken fordern nie per E-Mail-Link zur Eingabe von Zugangsdaten auf.

💡 Fazit & Empfehlung

Diese Woche zeigt: Die eigene Website und die eigenen Backups sind genauso schutzbedürftig wie Server und Arbeitsplätze – und Angreifer nutzen nicht nur Lücken, sondern auch gestohlene Schlüssel und legitime Werkzeuge. Achten Sie auf drei Stellschrauben:

✓ Website-Technik nicht vergessen: PHP-Version beim Hoster prüfen lassen, WordPress-Plugins aktuell halten und Admin-Konten regelmäßig kontrollieren. Ihre Website ist Ihr digitales Aushängeschild – und ein beliebtes Einfallstor.

✓ Backups wirklich unabhängig machen: Mindestens eine Kopie offline oder unveränderbar aufbewahren und die Wiederherstellung testen. Ein Backup, das Angreifer löschen können, ist im Ernstfall wertlos.

✓ Zugänge und Schlüssel im Blick behalten: Fernwartungs-, Cloud- und API-Zugänge inventarisieren, nicht mehr benötigte Schlüssel löschen und überall die Mehr-Faktor-Anmeldung aktivieren.

Sprechen Sie uns an – wir prüfen gemeinsam Ihre Website, Ihre Backup-Strategie und Ihre Fernzugänge und bringen Ihre IT auf einen sicheren Stand. Ihr Team von IT Navigator.

📚 Quellen

• BleepingComputer / The Hacker News: PHP ships emergency patches for critical PHP2Shell flaws (20.–21.10.2026); BSI-Cybersicherheitswarnung: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit (21.10.2026)
• tagesschau / hessenschau / Tagesspiegel / t3n / Denkstrom: PHP2Shell – Behörden-Websites vorsorglich abgeschaltet (21.–22.10.2026); CERT-EU / CISA / NCSC: Critical Vulnerabilities in PHP (21.10.2026)
• BleepingComputer / Patchstack / Nethemba / TeamUpdraft: Stolen UpdraftCentral keys used to backdoor WordPress sites (19.–20.10.2026)
• CISA Advisory AA26-293A / BleepingComputer / GBHackers: SafePay ransomware has hit over 600 organizations (20.–21.10.2026)
• BleepingComputer / Mozilla Security Blog: Mozilla, Google, Apple block compromised eMudhra CA certificates (20.10.2026); Malwarebytes / SecurityOnline: Chrome 156 Security Update (20.10.2026)
• Oracle: Critical Patch Update October 2026 (20.10.2026); BleepingComputer / Datadog Security Labs: LiteLLM release pipeline hacked (21.10.2026)
• Verbraucherzentrale Phishing-Radar / t-online: Phishing-Warnungen ING, Volksbanken Raiffeisenbanken, easybank (19.–22.10.2026)

👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 42/2026.

© IT Navigator · Wochenrückblick KW 43/2026 · Stand: 23.10.2026