PHP Sicherheitslücke «PHP2Shell»: Wie Calenso reagiert hat

Diese Woche gingen in der Schweiz reihenweise Websites vom Netz: die Universität Genf, die ETH Lausanne, der Kanton Basel-Stadt. Grund war kein Angriff, sondern eine kritische PHP Sicherheitslücke, die viele Betreiber zur Vorsicht zwang. Stellen Sie sich vor, es wäre Ihr Buchungssystem gewesen.

Die Lücke trägt den Namen «PHP2Shell», und inzwischen berichtet sogar die Pendlerzeitung 20 Minuten darüber. In diesem Beitrag zeigen wir, warum das Thema auf den Tisch jeder Geschäftsleitung gehört, welche Fragen Sie Ihrem Softwareanbieter jetzt stellen sollten und wie Calenso reagiert hat.

Was ist die PHP Sicherheitslücke «PHP2Shell»?

PHP ist eine der meistverbreiteten Programmiersprachen im Web. Gemäss SRF läuft sie auf rund 70 Prozent aller Websites, bei denen sich das feststellen lässt. Dazu gehören Online-Shops, Newsportale, Behördenseiten und viele Buchungssysteme. Auch Teile der Calenso-Plattform basieren auf PHP.

Am 21. Oktober 2026 hat das PHP-Projekt ein dringendes Sicherheitsupdate veröffentlicht. Es schliesst zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. In Anlehnung an die berüchtigte Lücke «Log4Shell» von 2021 heissen sie zusammen «PHP2Shell».

Betroffen ist PHP selbst. Deshalb spielt es keine Rolle, welche Anwendung darauf läuft: Jede Website mit einer ungepatchten Version ist angreifbar. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat folglich eine Cybersicherheitswarnung herausgegeben und empfiehlt, das Update unverzüglich einzuspielen.

Warum die PHP Sicherheitslücke jede Geschäftsleitung betrifft

Sicherheitslücken wirken oft wie ein Thema für die IT-Abteilung. Doch die Folgen landen fast immer im Tagesgeschäft. Zwei Szenarien zeigen, was auf dem Spiel steht.

Szenario 1: Ihr System geht vom Netz

Viele Betreiber haben ihre Websites diese Woche vorsorglich abgeschaltet. Das ist richtig, wenn kein Update möglich ist. Für ein Unternehmen bedeutet es jedoch: keine Online-Buchungen, keine Bestätigungen, keine Erinnerungen. Stattdessen klingelt das Telefon pausenlos, Termine fallen aus und Ihr Team arbeitet ohne Tagesplan.

Szenario 2: Angreifer verschaffen sich Zugang

Noch schwerer wiegt ein erfolgreicher Angriff. Ein Buchungssystem enthält Namen, E-Mail-Adressen, Telefonnummern und oft auch den Grund eines Termins. Bei Arztpraxen, Versicherungen oder Behörden sind das hochsensible Informationen. Gelangen sie in falsche Hände, drohen Vertrauensverlust und unter Umständen eine Meldepflicht gemäss Schweizer Datenschutzgesetz.

Ihre Kundinnen und Kunden unterscheiden dabei nicht, ob der Fehler bei Ihnen oder bei Ihrem Softwareanbieter lag. Für sie zählt nur, dass ihre Daten bei Ihnen nicht sicher waren.

Das eigentliche Risiko: veraltete Software

Erschwerend kommt hinzu, dass Details zu den Schwachstellen vorzeitig durchgesickert sind. Das PHP-Projekt hat die Veröffentlichung deshalb vorgezogen. Laut Help Net Security registrierte Amazon bereits am 17. Oktober einen Angriffsversuch auf ein Köder-System, also vier Tage vor der offiziellen Bekanntgabe. Seither beobachten Sicherheitsfirmen weitere Versuche. Bestätigte Einbrüche sind bisher zwar keine bekannt, doch die Angreifer suchen bereits aktiv nach Opfern.

Das Update ist allerdings nur für die aktuellen PHP-Versionen 8.2 bis 8.5 regulär erschienen. Ältere Versionen erhalten vom PHP-Projekt keine Unterstützung mehr. Gemäss The Hacker News meldeten am 20. Oktober rund 884’000 öffentlich erreichbare Server eine Version 8.1 oder älter. Auch eine angepasste Konfiguration schliesst die Lücken nicht. Wirksamen Schutz bietet nur das Update selbst.

Genau hier trennt sich die Spreu vom Weizen. Ob ein Anbieter seine Systeme konsequent aktuell hält, sieht man im Alltag nicht. Im Ernstfall entscheidet es jedoch darüber, ob ein Update in Minuten eingespielt ist oder ob die Plattform tagelang offline bleibt.

Wie Calenso auf die PHP Sicherheitslücke reagiert hat

Auch Calenso setzt PHP ein. Allerdings nutzen wir ausschliesslich aktuelle Versionen, die das PHP-Projekt mit Sicherheitsupdates versorgt. Deshalb stand das Update für unsere Server sofort bereit. Unser Technik-Team hat die Vorankündigung vom 20. Oktober direkt aufgenommen und alles vorbereitet. Am 21. Oktober sah der Ablauf so aus:

Somit waren die Updates 47 Minuten nach der Veröffentlichung installiert. Gut anderthalb Stunden danach lief auf der gesamten Plattform nur noch gepatchter Code. Zudem haben wir auch unsere Website calenso.com aktualisiert.

Das Wichtigste für Sie: Calenso musste nicht vom Netz. Die Neustarts liefen im laufenden Betrieb, sodass Online-Buchungen, Dashboard und alle Integrationen durchgehend erreichbar waren. Über jeden Schritt haben wir auf unserer Statusseite informiert.

5 Fragen, die Sie Ihrem Softwareanbieter jetzt stellen sollten

Die PHP Sicherheitslücke ist ein guter Anlass, genauer hinzuschauen. Denn Sicherheit zeigt sich nicht im Verkaufsgespräch, sondern im Ernstfall. Diese fünf Fragen helfen Ihnen bei der Einschätzung.

1. Setzen Sie nur unterstützte Software-Versionen ein?

Nur Versionen, die noch gepflegt werden, erhalten Sicherheitsupdates. Alles andere ist ein offenes Fenster.

Bei Calenso: Wir betreiben ausschliesslich Versionen, die vom PHP-Projekt mit Updates versorgt werden.

2. Wie schnell spielen Sie kritische Updates ein?

Bei aktiv ausgenutzten Lücken zählt jede Stunde. Fragen Sie nach einem konkreten Beispiel.

Bei Calenso: Am 21. Oktober waren alle Server 47 Minuten nach Veröffentlichung aktualisiert.

3. Wie informieren Sie Kundinnen und Kunden bei Vorfällen?

Gute Anbieter informieren aktiv und transparent, statt erst auf Nachfragen zu reagieren.

Bei Calenso: Auf status.calenso.com sehen Sie Wartungen, Störungen und Sicherheitsupdates in Echtzeit.

4. Läuft der Betrieb während Updates weiter?

Ein Update, das Ihr Buchungssystem stundenlang lahmlegt, kostet Sie Umsatz und Nerven.

Bei Calenso: Das PHP-Update lief im laufenden Betrieb, ohne Unterbruch für Ihre Kundschaft.

5. Wo liegen meine Daten und nach welchen Standards wird gearbeitet?

Serverstandort und anerkannte Zertifizierungen zeigen, wie ernst ein Anbieter das Thema nimmt.

Bei Calenso: Calenso ist nach ISO 27001 zertifiziert und betreibt die Plattform in Schweizer Rechenzentren.

Was Sie bei eigenen Websites jetzt tun sollten

Als Calenso-Kundin oder -Kunde müssen Sie für Ihre Terminbuchung nichts unternehmen. Betreiben Sie jedoch eigene Websites mit PHP, zum Beispiel mit WordPress, sollten Sie jetzt handeln:

• Bei einem Hosting-Anbieter: Fragen Sie nach, ob das Update bereits eingespielt ist. Viele Anbieter veröffentlichen ihren Stand auf einer Statusseite.
• Mit eigenem Server: Aktualisieren Sie PHP sofort auf Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
• Mit älteren Versionen: Planen Sie den Wechsel auf eine aktuelle Version. Bis dahin empfiehlt das britische Sicherheitszentrum NCSC, ungepatchte Systeme vom Netz zu nehmen.

Häufige Fragen zur PHP Sicherheitslücke

Fazit: Sicherheit zeigt sich im Ernstfall

«PHP2Shell» gehört zu den gravierendsten Sicherheitslücken des Jahres. Sie hat weltweit Websites vom Netz gezwungen und zeigt, wie schnell ein technisches Detail zum Geschäftsrisiko wird. Entscheidend ist daher nicht, ob ein Anbieter PHP einsetzt, sondern wie konsequent er seine Systeme pflegt.

Calenso hat die PHP Sicherheitslücke am selben Tag geschlossen, ohne dass Ihr Buchungsbetrieb stillstand. Nutzen Sie den Moment trotzdem, um Ihre eigenen Systeme und Anbieter kritisch zu prüfen. Denn die nächste Lücke kommt bestimmt.