Patchen braucht Personal: Was die PHP-Lücke über IT-Teams verrät

Vier Millionen offene Türen

Seit Bekanntwerden der Lücken laufen millionenfach Angriffsversuche. Ende Oktober wurden die ersten erfolgreichen Angriffe bestätigt: Auf drei Honeypots mit PHP 8.4.26 gelangte eingeschleuster Schadcode zur Ausführung und die US-Behörde CISA nahm die Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken auf (heise online, 27.10.2026). Nach BSI-Angaben sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen. Betreibern ungepatchter Systeme rät die Behörde weiterhin dringend zu den Sicherheitsupdates.

Wie viele Systeme tatsächlich offen sind, lässt sich schwer beziffern. Der Scanner des Sicherheitsunternehmens Censys zählte Ende Oktober allein in Deutschland mehr als 4 Millionen Dienste mit anfälligen Versionsnummern. Censys weist allerdings selbst darauf hin, dass mehrere Linux-Distributionen die Patches auf ältere Versionsstände zurückportieren. Die Zahl ist also ein Indiz und keine genaue Messung. Für Unternehmen ändert das wenig, denn sie müssen für jedes eigene System klären, ob es betroffen ist. Diese Prüfung kostet Zeit.

PHP steckt in Content-Management-Systemen, Onlineshops, Kundenportalen und in vielen internen Anwendungen. Einige Organisationen haben ihre Websites in der ersten Woche vorsorglich vom Netz genommen, um die Updates einzuspielen. Das ist konsequent. Es wird aber teuer, wenn über diese Seiten Bestellungen und Serviceanfragen laufen.

Das Patch-Paradox

Ein Update herunterzuladen dauert Minuten. Es in einer gewachsenen Systemlandschaft sauber auszurollen, kann Tage dauern. Zuerst braucht es eine aktuelle Übersicht, wo welche PHP-Version läuft, auch auf Servern, die eventuell ein früherer Dienstleister eingerichtet hat. Danach folgen Tests, weil ältere Anwendungen auf neue Versionen gern unerwartet reagieren. Dann kommen Wartungsfenster, die Abstimmung mit den Fachbereichen und das Monitoring.

Das BSI beschreibt dieses Muster in seinem aktuellen Lagebericht ohne Umschweife: Bekannte Schwachstellen in Perimetersystemen werden viel zu oft zu spät oder gar nicht gepatcht. Im Berichtszeitraum wurden zudem durchschnittlich 119 neue Schwachstellen pro Tag bekannt, rund 24 Prozent mehr als im Zeitraum davor (BSI, Die Lage der IT-Sicherheit in Deutschland 2026).

php2shell ist damit eher die Regel als der Ausnahmefall. Die Warnung trifft auf Teams, die mit Tagesbetrieb und laufenden Projekten bereits ausgelastet sind. Jede kritische Lücke zieht Leute aus genau diesen Projekten ab. So verschiebt sich das Risiko: Die akute Lücke wird geschlossen, die Migration der veralteten Plattform rutscht ein weiteres Quartal nach hinten.

Gesucht werden genau die Profile, die jetzt fehlen

Der IT-Arbeitsmarkt erklärt, warum viele Unternehmen in solchen Wochen an ihre Grenzen kommen. Laut der Bitkom-Studie „Der Arbeitsmarkt für IT-Fachkräfte 2026“ fehlen in Deutschland rund 79.000 IT-Fachkräfte. Unternehmen mit offenen IT-Stellen suchen am häufigsten Fachkräfte für IT-Administration und Systembetrieb (26 Prozent). Es folgen Softwareentwicklung und -architektur (17 Prozent), Cloud und Infrastruktur (14 Prozent) sowie IT-Sicherheit (11 Prozent).

Das sind fast genau die Rollen, die bei einer Warnung wie php2shell gleichzeitig gebraucht werden. Systemadministrator:innen spielen die Updates ein. Entwickler:innen prüfen, ob die eigenen Anwendungen mit der neuen Version laufen. Cloud-Spezialist:innen passen Images und Deployments an und Security-Expert:innen werten Logs auf Spuren eines Angriffs aus.

97 Prozent der Unternehmen mit IT-Stellen haben laut Bitkom Research Schwierigkeiten, diese zu besetzen. 31 Prozent erhalten kaum oder gar keine Bewerbungen, bei 33 Prozent fehlen den Bewerber:innen Kenntnisse aktueller Technologien. Eine Stelle in der Systemadministration, die erst bei der nächsten Warnung ausgeschrieben wird, ist für diese Warnung zu spät.

Entspannung mit Verfallsdatum

Auf den ersten Blick klingen die Bitkom-Zahlen beruhigend. 2023 fehlten noch 149.000 IT-Fachkräfte, 2025 waren es 109.000. Die Lücke hat sich in drei Jahren fast halbiert. Die befragten Unternehmen trauen dieser Entwicklung allerdings nicht: 76 Prozent erwarten, dass sich der Mangel in den kommenden Jahren wieder verschärft.

Für Unternehmen öffnet sich damit ein Zeitfenster. IT-Profile lassen sich derzeit leichter gewinnen als vor drei Jahren. Wer jetzt Kapazitäten für Betrieb und Sicherheit aufbaut, muss das später nicht unter Zeitdruck nachholen.

Externe Verstärkung hat dabei eine Kehrseite. Spezialist:innen auf Zeit schließen eine akute Lücke schnell. Ihr Wissen über die Systemlandschaft geht jedoch mit ihnen, wenn es nicht dokumentiert und übergeben wird. Solche Einsätze brauchen deshalb von Anfang an eine klare Übergabe: Wer übernimmt nach dem Projekt das Patch-Management, wo liegen Dokumentation und Zugänge und wer im eigenen Team wird eingearbeitet?

Was bleibt

• Erstens: Notfallkapazität vor dem Notfall klären. Welche Aufgaben kann das eigene Team bei einer kritischen Warnung innerhalb von 48 Stunden übernehmen und wofür wird Unterstützung von außen gebraucht? Diese Frage lässt sich in ruhigen Wochen deutlich besser beantworten.
• Zweitens: Das Systeminventar aktuell halten. Viele Verzögerungen entstehen, weil unklar ist, wo welche Version läuft. Eine gepflegte Übersicht verkürzt die erste Phase jeder Sicherheitswarnung erheblich.
• Drittens: Upgrades als Projekt planen. Notpatches für alte Versionsstände kaufen Zeit, lösen das Problem aber nicht. Der Wechsel auf eine aktuelle PHP-Version braucht Budget, Testkapazität und einen festen Zeitplan.
• Viertens: Wissen im Haus sichern. Bei externen Einsätzen gehören die Übergabe an das interne Team und die Dokumentation aller Änderungen in den Auftrag.

Wie die DIS AG unterstützt

Als Teil der Adecco Group bringt die DIS AG Unternehmen mit IT-Spezialist:innen zusammen, über Zeitarbeit, Direktvermittlung und Rahmenverträge. Die DIS AG unterstützt unter anderem durch:

• Kurzfristige Verstärkung in Systemadministration, IT-Infrastruktur und Cloud, wenn Updates, Tests und Monitoring parallel zum Tagesgeschäft laufen müssen.
• Recruiting von Fachkräften für Cyber Security und IT Security sowie für Web- und Anwendungsentwicklung, für konkrete Projekte oder den dauerhaften Ausbau des Teams.
• Marktdaten zur Vergütung von IT-Profilen aus der DIS Gehaltsstudie IT 2026 als Grundlage für realistische Stellenprofile und Angebote.

Jetzt Gehaltsstudien sichern