PHP2Shell – Moodle sicher hosten

ByAndreas Hruska Hours

PHP2Shell – Moodle sicher hosten

Eines schönen Mittwochmorgens ‒ es war Mittwoch, der 21. Oktober 2026 ‒ rief mich meine Kollege Philipp, Leiter unseres IT-Teams, an und meinte in seiner unnachahmlich entspannten Art: „Du Andreas, da gibt es ein Problem mit PHP, das wir uns gerade genauer ansehen – willst Du mit dazukommen?“

Auf diese Frage gab es natürlich nur EINE richtige Antwort: „Unbedingt!“
Und so begann ein langer Tag, von dem ich aus der Rolle des CEO berichten möchte.

Das Problem hat jetzt auch einen Namen: PHP2Shell. Es besteht aus 2 Sicherheitslücken in PHP, die eine „Remote Code Execution“ (kurz RCE) ermöglicht haben. Eine RCE ist eine ferngesteuerte Code-Ausführung. Bei einem Angriff mit Remote Code Execution führt ein Angreifer böswilligen Schadcode auf den Computern oder im Netzwerk eines Unternehmens aus.

Wie schlimm ist PHP2Shell?

Viel schlimmer geht es (fast) nicht mehr. Ein potentieller Angreifer kann Anfragen an den Server senden, die zu einem Verarbeitungsfehler führen, die es ermöglichen, einen beliebigen Code auszuführen und den Server komplett zu übernehmen.

Die Sicherheitslücken

  • CVE-2026-109618
  • CVE-2026-109619

Details dazu siehe: https://cert.europa.eu/publications/security-advisories/2026-018.

Die Ursache der speziellen Aufregung waren weniger die Sicherheitslücken selbst, sondern dass die Informationen über die Behebung und Umstände bereits einige Tage vor der geplanten allgemeinen Veröffentlichung der Security Patches geleaked wurde.

Die offizielle Empfehlung des Cybersicherheitsdienstes der EU (CERT-EU) zum Umgang mit den Sicherheitslücken lautete:

CERT-EU strongly recommends identifying PHP-based applications and preparing to patch as soon as fixed versions become available. Where immediate remediation is not feasible, organisations should consider isolating internet-facing applications from public networks until a fix can be applied.

Das Notfallprotokoll

Das „Willst du mit dazukommen?“-Telefonat startete also unser Notfallprotokoll mit der ersten Krisensitzung:

  • Eckdaten zu den Sicherheitslücken sind bekannt.
  • Potentiell sind ALLE mit PHP laufenden Applikationen betroffen.
  • Erste Einschätzung des Risikos: Hoch, aber (noch) nicht immanent.
  • Detailanalyse und weiter Maßnahmen für
    • eDaktik interne Systeme
    • eDaktik Moodle-Hosting für Kund*innen
  • PHP- Security Patches kommen voraussichtlich um 16:00 Uhr.

Die Analyse

ALLE Moodle-Hosting-Kund*innen sind betroffen, da Moodle eine PHP-Applikation ist. Die meisten der eDaktik internen Systeme (Website, CRM, Dateiaustausch …) sind ebenfalls PHP-Applikationen und waren damit auch unmittelbar von PHP2Shell betroffen.

Fast alles bei eDaktik läuft mit PHP! Dies ist einerseits ein Nachteil, da viele Systeme betroffen sind. Andererseits beruht dies auf der strategischen Entscheidung, Tools möglichst aus einem Technologie-Stack zu wählen, und dort die notwendige Erfahrung und Expertise zu haben, mit Problemen rasch und effektiv umgehen zu können.

Interne Sicherheit herstellen

eDaktik muss handlungsfähig bleiben – deshalb wurden alle internen PHP-basierten Systeme netzwerktechnisch komplett vom Internet abgeschottet und einer ersten Prüfung auf Kompromittierungs-Versuche unterzogen.

Nur die eDaktik Website blieb online, um über diese gegebenenfalls kommunizieren zu können. Da die Website nur öffentliche verfügbaren Inhalte enthält, ist das Risiko auch gering.

Die gute Nachricht – es gab keine Anzeichen für Kompromittierungs-Versuche!

Notaus für alle?

Nachdem klar war, dass alle Moodle-Systeme betroffen waren, musste eine Grundsatzentscheidung getroffen werden:

Sollen alle Moodle-Kundensysteme sofort offline gehen?

Nachdem es keine Meldungen bezüglich bereits laufender Attacken und auch keine Anzeichen für Kompromittierungs-Versuche auf den Servern gab, haben wir uns dazu entschieden, nicht gleich auf „Notaus für Alle“ zu drücken. Dies hätte potenziell Schaden durch die Nichtverfügbarkeit des Services auslösen können.

Einige Kund*innen haben sich proaktiv selbst dazu entscheiden, ihre PHP-Applikationen und Moodle-Instanzen vorsorglich offline zu nehmen. eDaktik hat auch dabei entsprechend unterstützt.

Aufmerksamkeit & Geschwindigkeit

Wir haben uns dazu entschieden, das ohnehin laufenden Monitoring bezüglich spezifischer Indikatoren für Ausnutzungsversuche von PHP2Shell besonders aufmerksam im Auge zu behalten, um im Fall von Anzeichen für Kompromittierungs-Versuchen gegebenenfalls doch die Services vom Netz zu trennen.

Das Einspielen von Security Patches ist bei eDaktik eine regelmäßige Standardprozedur und hochgradig automatisiert. Das Spezielle im diesem Fall war, dass das Zeitfenster, ab dem mit ersten Angriffen zu rechnen war, besonders kurz war. Die Antwort darauf ist Geschwindigkeit – wir haben also die entsprechenden technischen Vorbereitungen für ein besonders schnelles Deployment der Security Patches sowie die Kommunikation an unsere Kund*innen vorbereitet.

Security Patches verfügbar – der Wettlauf beginnt

Um ca. 15:30 Uhr wurden die PHP-Securyty Patches – wie angekündigt – veröffentlicht. Damit startete ganz offiziell der Wettlauf zwischen:

  • dem Einspielen der Security Patches und Schließen der Lücken
  • und dem Beginn der breiten Ausnutzung der Sicherheitslücken.

Nachdem alles bereits vorbereitet war, startete umgehend die zügige Umsetzung des Deployment der Security Patches und die Prüfung der Moodle-Instanzen nach erfolgtem Upgrade.

Kund*innen, die rund um PHP2Shell proaktiv Maßnahmen gesetzt hatten und entsprechend bereits im Laufe des Tages in Kontakt mit uns waren, wurden individuell über die Fortschritte informiert.

PHP Sicherheitslücken geschlossen

Alle Kund*innen erhielten dann um 19:00 Uhr die E-Mail-Benachrichtigung


Am 21.10.2026 wurden in der Früh neue PHP-Versionen angekündigt, die zwei kritische Sicherheitslücken schließen und diese dann auch um ca. 16:00 veröffentlicht.

**Sicherheitslücken**

* CVE-2026-109618
* CVE-2026-109619

Details dazu siehe https://cert.europa.eu/publications/security-advisories/2026-018

Ihre Moodle-Instanz verwendet PHP und war deshalb auch potentiell von den mit der Sicherheitslücke verbundenen Risiken betroffen.

Die Empfehlung zum Umgang lautete:

>> CERT-EU strongly recommends identifying PHP-based applications and preparing to patch as soon as fixed versions become available.
>> Where immediate remediation  is not feasible, organisations should consider isolating internet-facing applications from public networks until a fix can be applied.

Wir haben entsprechende Vorbereitungsmaßnahmen getroffen und Ihre Moodle-Instanz am 21.10.2026, unmittelbar nachdem die Security-Paches verfügbar waren, auf den neuesten Stand gebracht! Diese Maßnahme war mit einer kurzen - wenige Minuten andauernden - Downtime verbunden.

**Die Sicherheitslücken wurden also ehest möglich geschlossen.**

Diese Nachricht dient Ihrer Information.

Von Ihrer Seite sind KEINE weiteren Schritte erforderlich.

Ihr eDaktik Team

Um 19:30 Uhr war PHP2Shell bereits im Hauptnachrichten-Programm und spätestens ab dann allgemein bekannt.

eDaktik Hosting-Kund*innen konnten sich bereits entspannen – Security Patches eingespielt!

Alle Kund*innen erhielten noch am 21.10.2026 im Laufe des Abends individuell Informationen zu ihren Moodle- Instanzen und den erfolgten Maßnahmen und Lösung des PHP2Shell-Problems.

Forensik & Kommunikation

Die unmittelbare Gefahr war durch das Einspielen der Security Patches gebannt. Jetzt ging es an die Forensik, um sicherzustellen, dass es keine Kompromittierung der Server gab.

Alle Kund*innen wurden am Donnerstag, den 22.10.2026, darüber informiert, dass die Forensik-Maßnahmen durchgeführt wurden:

Forensik - Moodle & Critical Vulnerabilities in PHP - 21.10.2026

Information 22.10.2026 12:00 zu Moodle und der gestern geschlossenen PHP-Sicherheitslücke für eDaktik Hosting-Kunden.

Die PHP-Sicherheitslücken wurden gestern am 21.10.2026 sofort, nachdem die Sicherheitspatches verfügbar waren - ca. 16:00 erfolgreich geschlossen.

Es gibt aktuell KEINE Meldungen oder offensichtlichen Hinweise darauf, dass die Lücke im Kontext der von eDaktik betreuten Moodle-Instanzen aktiv ausgenutzt wurde.

eDaktik prüft dennoch gerade alle Moodle-Instanzen auf Indikatoren für eine mögliche Kompromittierung.

Sollten wir belastbare Hinweise finden, werden wir Sie darüber entsprechend individuell über unser Ticketsystem informieren.

Ergebnisse Forensik – PHP2Shell eDaktik Moodle Hosting

Am Freitage, den 23.10.2026 zu Mittag konnten wir dann – rechtzeitig vor dem Wochenende – Entwarnung geben:

Information 23.10.2026 12:00 zu den Ergebnissen der von eDaktik in den letzten 24h durchgeführten Forensik bezüglich der PHP2Shell-Sicherheitslücke im Kontext eDaktik Moodle Hosting Services.

Rechtzeitig vor dem Wochenende wollen wir Sie über die aktuelle Lage in Kenntnis setzen. Die erfreuliche Nachricht ist, dass die PHP2Shell-Sicherheitslücke auf KEINEM der von eDaktik betreuten Moodle-Systeme zu einem Security Incident geführt hat!

Wir haben ALLE eDaktik Moodle-Systeme geprüft - es gibt KEINE Hinweise auf Versuche, die Sicherheitslücke vor dem Einspielen der Sicherheitsupdates auszunutzen. 

Wir wünschen ALLEN nach diesen aufregenden Tagen ein schönes und entspanntes Wochenende!

Nach der Lücke ist vor der nächsten Lücke

In allen Medien wurde über PHP2Shell ausführlich berichtet:

Sicherheitslücken gab es immer schon. Was neu ist, ist die Komplexität der Lücken und die Geschwindigkeit, mit der sie aufgedeckt und ausgenützt werden. Wir sprechen hier nicht mehr von Monaten oder Wochen, die zum Schließen von Lücken zur Verfügung stehen, sondern eher von Tagen oder Stunden.

„PHP2Shell hat gezeigt, wie schnell es gehen kann, wenn Hoster zentral handeln. Der Rest ist ein Spiegel dessen, was seit Jahren liegen geblieben ist: Fast jede fünfte verwundbare Website läuft seit über sieben Jahren ohne Sicherheitsupdate“,

sagt Manuel Löw-Beer, Founder und CEO von risikomonitor.com. [1]

Eine Woche, nachdem die Sicherheitspatches verfügbar waren, sind noch 75 % aller PHP-Sites weltweit OHNE Sicherheitsupdates – und die Angriffe laufen. Bei in Österreich angesiedelten Servern sieht es etwas besser aus. Hier werden „nur“ noch 45,6 % als verwundbar angesehen. In Deutschland liegt dieser Wert bei 66,1% [2].

Maßgeblich ist also nicht nur die Sicherheitslücke selbst, sondern vor allem, wie damit umgegangen wird und wie schnell sie behoben wird! Das eDaktik Team lebt deshalb das Motto:

Nach der Lücke ist vor der nächsten Lücke

Moodle sicher hosten bei eDaktik

Dass PHP2Shell für eDaktik Moodle-Hosting-Kund*innen sehr unspektakulär verlief, liegt auch darin begründet, dass das eDaktik Team das Thema Sicherheit sehr ernst nimmt. Nachhaltig implementierte Prozesse, ein hoher Automatisationsgrad sowie kompetente Mitarbeiter*innen, die auch in Krisensituationen einen kühlen Kopf bewahren und das Ziel vor Augen behalten, ermöglichen dies.

Wir übernehmen gerne das professionelle Moodle-Hosting für Sie:

  • DSGVO-konformes Hosting in einem DIN ISO/IEC 27001 zertifizierten Rechenzentrum
  • Serverstandorte: Deutschland, Österreich, Finnland
  • Betrieb und Wartung des Linux Server Betriebssystems und der Serverkomponenten
  • Betrieb Moodle inklusive aller Updates
  • georedundante Backups
  • 24/7 Monitoring der Moodle-Instanz
  • 24/7 Hotline
  • Professionelles Notfall- und Krisenmanagement

Sie sind interessiert, haben aber noch einige offene Fragen?

Machen Sie es sich leicht und kontaktieren Sie uns einfach direkt per E-Mail oder telefonisch!

KONTAKTIEREN SIE UNS

Similar Posts