Daylit

News · Sicherheit

Warum Daylit und die Kunden von Daylit bei PHP2Shell online bleiben

21. Oktober 2026 · aktualisiert 16:20

Update 21. Oktober, 16:20: Die Korrektur ist drin. PHP hat sie um 16:00 veröffentlicht; Daylit hat um 16:13 mit dem Patchen begonnen und war um 16:20 fertig. Jede Website mit PHP 8.3 und 8.4 läuft jetzt mit der korrigierten Version. Für PHP 8.2 hat Debian die Korrektur noch nicht veröffentlicht; diese Websites behalten bis dahin die Übergangsmaßnahme und bekommen das Update automatisch, sobald es da ist. Keine einzige Website ging offline.

Am 21. Oktober 2026 hat PHP zwei kritische Lücken bekannt gegeben, zusammen PHP2Shell genannt (CVE-2026-109618 und CVE-2026-109619). Wer sie ausnutzt, kann aus der Ferne Code auf einem Server ausführen, auf dem PHP läuft. Weil die Korrektur erst um 16:00 Uhr niederländischer Zeit kommt, haben unter anderem Security.NL, RTL und die niederländische Zweite Kammer ihre Websites vorsorglich offline genommen.

Daylit bleibt online, und die Websites unserer Kunden auch. Unten erklären wir, warum das verantwortbar ist und was wir schon getan haben.

Wer offline ging und wer nicht

Laut NOS und NU.nl waren heute Nachmittag unter anderem diese nicht erreichbar:

Das niederländische NCSC hatte noch keine Ausnutzung gesehen, geht aber davon aus, dass jedes System mit PHP, das am Internet hängt, verwundbar ist, bis es aktualisiert ist. Offline gehen ist die sichere Wahl für alle, die nicht genau wissen, welche PHP-Versionen laufen, oder das Update nicht schnell ausrollen können.

Wer online blieb, nutzt für die Website selbst entweder kein PHP oder weiß genau, was läuft, und kann sofort aktualisieren. Genau dafür ist Daylit gebaut.

Warum wir online bleiben

Jede Website läuft mit einer PHP-Version, die die Korrektur bekommt. Alle unsere Websites nutzen PHP 8.2, 8.3 oder 8.4, Versionen, die PHP noch pflegt. Wer noch auf 8.1 oder älter ist, bekommt keine Korrektur und hat ein echtes Problem.

Der bekannte Angriffsweg ist schon geschlossen. Um 14:03 haben wir auf jeder Website zwei PHP-Einstellungen geändert, die laut den Forschern den Angriff erschweren (session.upload_progress aus, Sessions nur über Cookies). Ein Neustart war nicht nötig: Keine einzige Website war weg.

Die Korrektur kommt automatisch drauf. Jede halbe Stunde prüft Daylit, ob es neue PHP-Pakete gibt. Sobald sie da sind, werden sie installiert und PHP startet neu, eine Website nach der anderen pro Server, ohne dass deine Website offline geht.

Wir passen auf. Startet PHP ein Programm, das dort nicht hingehört, etwa eine Shell oder ein Download-Tool, bekommen wir sofort eine Warnung. Das ist das Zeichen für einen Einbruch über Lücken wie diese.

Ein Einbruch bleibt in einer Website. Bei Daylit hat jede Website ihren eigenen Server, der andere Websites und unser internes Netzwerk nicht erreichen kann. Jede Nacht vergleichen wir den Code von WordPress-Websites mit der offiziellen Version, und es gibt tägliche Backups.

Was musst du tun?

Nichts. Deine Website bleibt erreichbar, und Daylit installiert die Korrektur, sobald sie da ist. Du darfst PHP selbst aktualisieren, musst es aber nicht.

Offline gehen ist nicht umsonst: Ein Webshop verliert Bestellungen, und Kunden finden dich nicht. Wir wählen Maßnahmen, die deine Website schützen, während sie weiterläuft. Sehen wir Zeichen eines echten Angriffs, greifen wir ein und sagen es dir sofort.

Wir aktualisieren diesen Beitrag, sobald jede Website die Korrektur hat.

Quellen