Nicht unser Bug, aber unser Problem

Warum die .NET- / Umbraco-Welt die PHP2Shell-Schwachstelle ernst nehmen sollte

Zwei kritische PHP-Lücken haben diese Woche Millionen von WordPress- und anderen PHP-Websites gefährdet. Umbraco-Websites sind nicht betroffen, doch im Zeitalter der KI kann sich keine Plattform zurücklehnen. Warum .NET besser aufgestellt ist und was jeder Website-Betreiber jetzt tun sollte.

Umbraco · Sicherheit

Patchen. Schützen. Vorbereiten.

Am 20. Oktober warnte das PHP-Projekt vor zwei kritischen Lücken in PHP selbst: CVE-2026-109618 und CVE-2026-109619. Details gelangten an die Öffentlichkeit, bevor die Korrektur fertig war. Die Patches kamen am 21. Oktober mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, und es wurde bereits Angriffsverkehr gemeldet. Beide Lücken können es Angreifern ermöglichen, ohne Anmeldung eigenen Code auf einem Webserver auszuführen.

Wenn Ihre Website auf Umbraco läuft, sind Sie nicht betroffen. Umbraco basiert auf Microsoft .NET und verwendet kein PHP. Ein Grund zur Entwarnung ist das trotzdem nicht. Dieser Artikel erklärt, warum .NET- und Umbraco-Websites besser aufgestellt sind und warum jede Plattform ihre Abwehr verstärken muss, seit auch Angreifer KI einsetzen.

Das Wichtigste in Kürze

Umbraco ist nicht betroffenDie Lücken liegen im PHP-Interpreter. Umbraco läuft auf .NET, hier gibt es also nichts zu patchen.

Größe zieht Angreifer anPHP betreibt den Großteil des Webs, vor allem wegen WordPress. Eine einzige Lücke öffnet Millionen Türen.

Der Eigentümer zähltMicrosoft gehört .NET, und Microsoft behebt Fehler nach einem festen monatlichen Zeitplan. Umbraco zieht schnell nach.

KI verkürzt die ZeitspanneAngreifer können aus einer veröffentlichten Korrektur viel schneller als früher einen funktionierenden Exploit machen, auf jeder Plattform.

Einen Schutzschild vorschaltenEine Web Application Firewall wie Cloudflare schützt Sie in der Zeit zwischen der Bekanntgabe einer Lücke und dem Einspielen Ihres Patches.

Was passiert ist

Beide Lücken stecken im Kern von PHP, genauer darin, wie PHP aufräumt, wenn einer Anfrage der Speicher ausgeht oder ein schwerer Fehler auftritt. Unter bestimmten Umständen lassen sich Datenreste einer Anfrage nutzen, um die Kontrolle über den Server zu übernehmen. Jede PHP-Installation, die Webseiten ausliefert, ist gefährdet, unabhängig vom Webserver. Palo Alto Networks zählte mehr als 22 Millionen exponierte Server, und ältere PHP-Versionen ohne Support erhalten überhaupt keine Korrektur.

Warum WordPress PHP zu einem größeren Ziel macht

Rund 70 % aller Websites nutzen eine PHP-Version, und WordPress macht einen großen Teil davon aus. Wenn eine Plattform so viel vom Web betreibt, lohnt es sich, eine einzige Lücke automatisiert auszunutzen. Angreifer durchsuchen das gesamte Internet in wenigen Stunden. Sie müssen nicht wissen, wer Sie sind, nur welche Software Sie einsetzen.

Das Plugin-Ökosystem erhöht das Risiko. Eine typische WordPress-Website hängt von Dutzenden Plugins verschiedener Autoren ab, die alle unterschiedlich mit Updates umgehen. Viele Websites werden einmal eingerichtet und dann auf Shared Hosting sich selbst überlassen, mit der PHP-Version, die der Hoster vor Jahren gewählt hat.

Warum .NET besser aufgestellt ist

.NET gehört Microsoft und wird von Microsoft gepflegt. Sicherheitskorrekturen laufen über das Microsoft Security Response Center und erscheinen nach einem festen monatlichen Zeitplan, dem Patch Tuesday, bei Bedarf auch als Notfall-Updates. Auf Windows-Servern können .NET-Updates zusammen mit den Korrekturen für das Betriebssystem über Microsoft Update kommen.

Planbarer SupportJede .NET-Version hat ein veröffentlichtes Support-Ende. Versionen mit Langzeit-Support erhalten drei Jahre lang Korrekturen, sodass Sie immer wissen, woran Sie sind.

Kompilierter CodeDer Anwendungscode wird vor der Bereitstellung kompiliert. Eine auf den Server hochgeladene Datei lässt sich nicht einfach als Code ausführen. Das verschließt einen der häufigsten Wege, auf denen PHP-Websites übernommen werden.

Ein EigentümerRuntime, Framework und Windows-Webserver stammen von einem Unternehmen mit einem der größten Sicherheitsteams der Welt, das viel zu verlieren hat.

Immun ist .NET dadurch nicht. Im Oktober 2025 behob Microsoft eine kritische Lücke im Webserver von ASP.NET Core. Der Unterschied liegt darin, wie schnell die Korrektur kam, wie klar sie kommuniziert wurde und wie einfach sie sich einspielen ließ.

Wie Umbraco auf dem neuesten Stand bleibt

Umbraco folgt .NET eng. Die Versionen mit Langzeit-Support sind auf die von .NET abgestimmt, Umbraco 17 läuft also auf .NET 10. Umbraco HQ veröffentlicht Sicherheitshinweise offen auf GitHub und stellt Korrekturen als Patch-Versionen bereit, die sich meist in wenigen Minuten ohne vollständiges Upgrade einspielen lassen.

Wenn Sie eine ältere Version nutzen, die keine Korrekturen mehr erhält, lesen Sie Ihr Umbraco-Upgrade, geplant in fünf Schritten.

Warum es hilft, kleiner zu sein

Umbraco betreibt weit weniger Websites als WordPress. Das garantiert keine Sicherheit, verändert aber die Wirtschaftlichkeit eines Angriffs. Automatisierte Angriffe gehen dorthin, wo die Masse ist. Umbraco-Websites werden zudem meist von Agenturen und internen Entwicklungsteams gebaut, nutzen eine kleinere Auswahl gut gepflegter Pakete und werden in der Regel im Rahmen eines Supportvertrags betreut. Weniger Websites, weniger Plugins und mehr Menschen, die aufpassen, ergeben ein kleineres Ziel.

Im Zeitalter der KI ist jede Plattform angreifbar

KI-Werkzeuge helfen Angreifern inzwischen, einen Sicherheitspatch zu lesen, herauszufinden, was er behebt, und einen funktionierenden Exploit zu schreiben, manchmal innerhalb weniger Stunden. Die PHP-Lücken folgten genau diesem Muster: Details sickerten vor der Korrektur durch, und kurz darauf kursierten funktionierende Beispiele. Die Zeit zwischen der Veröffentlichung einer Korrektur und den ersten Angriffen ist fast auf null geschrumpft. Das gilt für .NET und Umbraco genauso wie für alles andere.

Gehen Sie davon aus, dass jede Schwachstelle am Tag ihrer Bekanntgabe ausgenutzt wird, egal welche Plattform Sie nutzen.

Was wir tun und was Sie tun können

Cloudflare vorschaltenEine Web Application Firewall filtert Angriffe, bevor sie Ihren Server erreichen. Cloudflare erkannte und filterte bereits Angriffsverkehr auf diese PHP-Lücken und aktualisiert seine verwalteten Regeln nach großen Bekanntgaben schnell.

Die Hintertür schließenSobald Cloudflare aktiv ist, blockieren Sie direkten Zugriff auf die IP-Adresse Ihres Servers, damit Angreifer Cloudflare nicht umgehen können.

Nach Zeitplan patchenSpielen Sie .NET- und Windows-Updates jeden Monat ein und Umbraco-Patch-Versionen, sobald sie erscheinen. Heben Sie sie nicht für das nächste Upgrade auf.

Unterstützte Versionen nutzenVersionen von .NET und Umbraco ohne Support erhalten keine Korrekturen. Planen Sie Upgrades, bevor der Support endet, nicht danach.

Weniger Pakete verwendenJedes Paket ist Code, dem Sie vertrauen müssen. Entfernen Sie alles, was Sie nicht mehr nutzen.

Das Backoffice absichernNutzen Sie Zwei-Faktor-Authentifizierung für alle Redakteure und beschränken Sie den Zugang zum Umbraco-Backoffice nach Möglichkeit per IP-Adresse oder mit Cloudflare Access.

Überwachen und sichernAchten Sie auf ungewöhnliche Aktivitäten und bewahren Sie getestete Backups außerhalb des Servers auf, damit Sie sich schnell erholen, falls doch etwas durchkommt.

Wenn Sie WordPress oder andere PHP-Websites betreiben

Aktualisieren Sie PHP jetzt auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder lassen Sie sich von Ihrem Hoster bestätigen, dass dies geschehen ist. Läuft Ihre Website auf einer älteren PHP-Version ohne Support, gibt es keine Korrektur, und es ist Zeit, einen Umzug zu planen.

Wenn Sie eine Sicherheitsprüfung Ihrer Umbraco-Website, Hilfe beim Vorschalten von Cloudflare oder Beratung zum Umstieg von einer nicht mehr unterstützten Plattform wünschen, nehmen Sie Kontakt auf.