IT-Sicherheit
Zero-Day und Sicherheitslücken: Warum auch kleine Unternehmen ins Visier geraten
Eine kritische Sicherheitslücke sorgt für Schlagzeilen – und viele Unternehmen fragen sich, ob sie überhaupt betroffen sein können. Was steckt hinter Begriffen wie Zero-Day, Exploit und Patch? Was wollen Cyberkriminelle erreichen? Und warum schützt die eigene Unternehmensgröße nicht vor einem Angriff?
„Bei uns gibt es doch nichts zu holen.“ Diesen Gedanken haben viele kleine Unternehmen, wenn von Cyberangriffen die Rede ist. Schließlich betreiben sie keinen großen Onlineshop, entwickeln keine geheime Technologie und stehen selten im öffentlichen Interesse.
Für einen Angriff muss ein Unternehmen jedoch nicht prominent sein. Häufig reicht es, dass ein erreichbares System eine ausnutzbare Sicherheitslücke besitzt.
Die Angreifer müssen dabei nicht von Anfang an wissen, welche Daten vorhanden sind oder wie viel Geld ein Unternehmen verdient. Bei automatisierten Angriffen wird zunächst nach verwundbaren Systemen gesucht. Was sich daraus machen lässt, wird möglicherweise erst nach einem erfolgreichen Zugriff geprüft.
Ein Angreifer muss Ihr Unternehmen nicht kennen, um eine Schwachstelle in Ihrer IT auszunutzen.
Die aktuellen Meldungen über kritische PHP-Sicherheitslücken sind deshalb ein guter Anlass, einige Begriffe und Zusammenhänge verständlich zu erklären.
Aktueller Anlass: Kritische Sicherheitslücken in PHP
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619.
Unter bestimmten Bedingungen können diese Lücken Angreifern ermöglichen, aus der Ferne eigenen Programmcode auf betroffenen Servern auszuführen – ohne sich zuvor anmelden zu müssen.
PHP ist eine weitverbreitete Programmiersprache für Websites und Webanwendungen. Sie wird beispielsweise als technische Grundlage von Content-Management-Systemen, Shops und individuellen Anwendungen eingesetzt.
Für Unternehmen bedeutet das: Auch wenn niemand im Betrieb selbst PHP programmiert, kann die eigene Website oder eine eingesetzte Anwendung davon abhängig sein.
Die korrigierten PHP-Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Bei Paketen eines Betriebssystem- oder Hosting-Anbieters muss zusätzlich dessen Sicherheitshinweis berücksichtigt werden, da Korrekturen auch in bestehende Paketversionen übernommen werden können.
Ob ein konkretes System betroffen und bereits abgesichert ist, sollten der Hosting-Anbieter oder die zuständige IT-Betreuung prüfen. Ein Update des CMS allein bestätigt noch nicht, dass auch die zugrunde liegende PHP-Umgebung aktualisiert wurde.
Wichtig für die Einordnung: Eine kritische Sicherheitslücke ist nicht automatisch ein Zero-Day. Für die aktuellen PHP-Lücken gibt es inzwischen Korrekturen. Ungepatchte Systeme bleiben trotzdem gefährdet.
Sicherheitslücke, Exploit und Patch: Was ist der Unterschied?
In Sicherheitsmeldungen tauchen regelmäßig dieselben Fachbegriffe auf. Sie beschreiben unterschiedliche Teile eines Problems.
Sicherheitslücke
Die Schwachstelle
Ein Fehler oder eine Schwäche, durch die beispielsweise unberechtigte Zugriffe, Datenabfluss oder die Ausführung fremder Befehle möglich werden können.
Exploit
Die Ausnutzung
Eine Methode oder ein Programmcode, der eine bestimmte Sicherheitslücke ausnutzt. Welche Folgen das hat, hängt von der jeweiligen Schwachstelle ab.
Patch
Die Korrektur
Eine vom Hersteller bereitgestellte Änderung, die einen Fehler behebt. Sicherheitspatches schließen bekannte Schwachstellen.
Vereinfacht lässt sich das mit einem defekten Türschloss vergleichen: Die Sicherheitslücke ist der Fehler im Schloss. Der Exploit ist die passende Methode, die Tür trotz verschlossenem Schloss zu öffnen. Der Patch repariert den Fehler.
Allerdings führt nicht jede Sicherheitslücke sofort zur vollständigen Kontrolle über ein System. Manche ermöglichen nur unter bestimmten Voraussetzungen einen Angriff, andere betreffen beispielsweise die Verfügbarkeit oder einzelne Informationen.
Was bedeutet Zero-Day?
Als Zero-Day wird üblicherweise eine Sicherheitslücke bezeichnet, die dem verantwortlichen Hersteller noch unbekannt ist. Wird sie in dieser Phase ausgenutzt, steht noch kein dafür entwickeltes Sicherheitsupdate bereit.
Die Bezeichnung soll verdeutlichen, dass die Verteidiger keine Vorbereitungszeit für die konkrete Schwachstelle hatten.
- Zero-Day-Schwachstelle: Die bislang unbekannte Sicherheitslücke.
- Zero-Day-Exploit: Die Methode oder der Code, mit dem diese Lücke ausgenutzt wird.
- Zero-Day-Angriff: Der tatsächliche Angriff unter Verwendung dieser Schwachstelle.
Im Sprachgebrauch werden die Begriffe teilweise weiter gefasst und auch für bereits bekannt gewordene Lücken verwendet, solange noch keine Korrektur verfügbar ist.
Eine seit Monaten bekannte, aber nicht behobene Schwachstelle kann für das betroffene Unternehmen ebenso gravierende Folgen haben. Ein Angriff braucht nicht zwingend eine neue oder bislang unbekannte Lücke.
Was bedeuten CVE und RCE?
Zwei weitere Abkürzungen helfen dabei, Sicherheitsmeldungen einzuordnen.
CVE: Die eindeutige Kennung
Eine CVE-Kennung ordnet eine veröffentlichte Schwachstelle eindeutig zu. So können Hersteller, IT-Betreuer und Unternehmen sicherstellen, dass sie über dieselbe Lücke sprechen. Die Kennung allein sagt noch nichts über deren Schwere aus.
RCE: Code aus der Ferne ausführen
Remote Code Execution bedeutet, dass ein Angreifer eigenen Programmcode auf einem entfernten System ausführen kann. Welche Zugriffe daraus entstehen, hängt unter anderem von den Rechten des betroffenen Dienstes ab.
Eine RCE-Schwachstelle ist besonders ernst zu nehmen, wenn sie über das Internet erreichbar ist und ohne vorherige Anmeldung ausgenutzt werden kann.
Warum werden auch kleine Unternehmen angegriffen?
Es gibt gezielte Angriffe, bei denen Täter ein bestimmtes Unternehmen bewusst auswählen und vorbereitend Informationen sammeln.
Daneben existieren Angriffe, die zunächst nach technischen Merkmalen suchen: erreichbare Dienste, bestimmte Software oder ausnutzbare Schwachstellen.
Dafür können automatisierte Werkzeuge zahlreiche öffentlich erreichbare Systeme überprüfen. Die erste Frage lautet dann nicht: „Ist dieses Unternehmen besonders interessant?“, sondern: „Funktioniert unser Angriff bei diesem System?“
Bei vielen Angriffen kommt zuerst der technische Zugang. Die Bewertung des Unternehmens folgt danach.
Das bedeutet nicht, dass alle Unternehmen gleich stark gefährdet sind. Erreichbarkeit, eingesetzte Software, Schutzmaßnahmen und die Ziele der Täter beeinflussen das Risiko.
Die Aussage „Wir sind zu klein“ ist aber keine verlässliche Schutzmaßnahme. Eine kleine Firma kann dieselbe verwundbare Software einsetzen wie ein großer Konzern.
Was wollen Cyberkriminelle erreichen?
Hinter vielen kriminellen Angriffen stehen wirtschaftliche Interessen. Dabei haben nicht nur Kontodaten oder Geschäftsgeheimnisse einen Wert.
1. Daten stehlen und für Betrug verwenden
Kundendaten, E-Mails, Rechnungen und Zugangsdaten können für weitere Angriffe genutzt werden. Geschäftskorrespondenz kann beispielsweise helfen, glaubwürdige Zahlungsaufforderungen im Namen eines bekannten Partners zu verschicken.
Auch gewöhnliche Unternehmensdaten können dadurch für Täter interessant werden.
2. Das Unternehmen erpressen
Bei Ransomware-Angriffen werden Daten oder Systeme verschlüsselt, um den Betrieb zu blockieren und Geld zu fordern.
Zusätzlich können Angreifer Daten stehlen und mit deren Veröffentlichung drohen. Für ein betroffenes Unternehmen entstehen dadurch neben dem Betriebsausfall weitere Probleme.
3. Einen erlangten Zugang weiterverkaufen
Nicht jeder Täter führt den gesamten Angriff selbst durch. Manche verschaffen sich zunächst Zugang und verkaufen diesen an andere Kriminelle weiter.
Diese sogenannten Initial Access Broker bewerten erlangte Zugänge und bieten sie beispielsweise Gruppen an, die anschließend Erpressungsangriffe durchführen.
4. Server und Websites missbrauchen
Auch die technische Infrastruktur selbst kann nützlich sein. Ein übernommener Webserver lässt sich beispielsweise für betrügerische Seiten, die Verteilung von Schadsoftware oder als Zwischenstation für weitere Angriffe missbrauchen.
Dafür müssen auf dem Server keine besonders wertvollen Unternehmensdaten liegen.
Eine übernommene Website bedeutet nicht automatisch Zugriff auf das ganze Unternehmen
Eine öffentlich erreichbare Website läuft häufig bei einem externen Hosting-Anbieter. Wird sie kompromittiert, bedeutet das nicht automatisch, dass auch die internen PCs, der Firmenserver oder Microsoft 365 übernommen wurden.
Wie weit ein Angriff reichen kann, hängt von Verbindungen, Berechtigungen und verfügbaren Zugangsdaten ab.
Problematisch wird es beispielsweise, wenn Passwörter mehrfach verwendet werden, weitreichende Zugangsdaten in Anwendungen liegen oder unnötige Verbindungen zwischen Systemen bestehen.
Deshalb sind getrennte Zugangsdaten, begrenzte Berechtigungen und eine sinnvolle Trennung von Systemen wichtig. Sie können verhindern, dass aus einem einzelnen Vorfall ein größerer Schaden entsteht.
Welche Maßnahmen helfen Unternehmen im Alltag?
Eine unbekannte Schwachstelle lässt sich nicht im Voraus mit dem passenden Patch schließen. Trotzdem können Unternehmen ihre Angriffsfläche reduzieren, verdächtige Aktivitäten erkennen und mögliche Schäden begrenzen.
1. Wissen, welche Systeme im Einsatz sind
Zur IT gehören nicht nur PCs und Server. Auch Websites, Shops, Kundenportale, Firewalls, VPN-Zugänge und extern betriebene Anwendungen sollten erfasst sein.
Für jedes System sollte klar sein, wer es betreut und wer auf Sicherheitsmeldungen reagiert.
2. Sicherheitsupdates nach Risiko priorisieren
Für kritische, über das Internet ausnutzbare Schwachstellen braucht es einen kurzfristigen Ablauf. Der nächste reguläre Wartungstermin kann dafür zu spät sein.
Updates sollten geplant, eingespielt und anschließend überprüft werden. Bei gehosteten Anwendungen gehört dazu die Rückfrage, ob auch die zugrunde liegenden Komponenten aktualisiert wurden.
3. Nicht benötigte Zugänge schließen
Was nicht öffentlich erreichbar sein muss, sollte auch nicht unnötig im Internet stehen. Das betrifft beispielsweise Verwaltungsoberflächen, Testinstallationen und alte Anwendungen.
Weniger erreichbare Dienste bedeuten weniger mögliche Angriffspunkte.
4. Konten und Berechtigungen absichern
Individuelle Passwörter, Multi-Faktor-Authentifizierung und begrenzte Rechte bleiben wichtige Grundlagen.
MFA schützt insbesondere Anmeldungen. Eine ohne Anmeldung ausnutzbare Softwarelücke wird dadurch allerdings nicht geschlossen.
5. Auffälligkeiten überwachen
Unerwartete Änderungen an Websites, ungewöhnliche Anmeldungen, neue Benutzerkonten oder unbekannte Prozesse sollten untersucht werden.
Protokolle und Sicherheitsmeldungen helfen nur dann, wenn sie ausgewertet werden und klar ist, wer darauf reagiert.
6. Backups schützen und Wiederherstellung testen
Unabhängig geschützte Sicherungen können helfen, Daten und Systeme nach einem Vorfall wiederherzustellen.
Sie verhindern jedoch weder den ursprünglichen Zugriff noch den Diebstahl von Daten. Deshalb ergänzen Backups die übrigen Schutzmaßnahmen.
Was sollten Unternehmen bei einer akuten Sicherheitsmeldung fragen?
Nicht jeder Betrieb braucht eigenes Spezialwissen zu jeder Schwachstelle. Er braucht aber einen Ansprechpartner, der die Betroffenheit prüft und notwendige Schritte umsetzt.
- Setzen wir die betroffene Software direkt oder als Bestandteil einer Anwendung ein?
- Welche unserer Systeme sind betroffen und über das Internet erreichbar?
- Ist ein Sicherheitsupdate verfügbar und bereits installiert?
- Hat der Hosting- oder Software-Anbieter die Korrektur bestätigt?
- Welche Schutzmaßnahmen sind bis zur Behebung notwendig?
- Gibt es Hinweise auf einen bereits erfolgten Angriff?
- Wer kontrolliert die Umsetzung und dokumentiert das Ergebnis?
Wenn Hinweise auf eine Kompromittierung bestehen, müssen zusätzlich mögliche Veränderungen, gestohlene Zugänge und eingerichtete Hintertüren untersucht werden.
Fazit: Auch ohne prominenten Firmennamen gibt es etwas zu schützen
Cyberkriminelle müssen nicht vorab wissen, welche wertvollen Informationen ein Unternehmen besitzt. Bei automatisierten Angriffen kann eine erreichbare Schwachstelle ausreichen, damit ein System angegriffen wird.
Danach können Daten, Zugänge oder die technische Infrastruktur selbst zum Ziel werden.
Die aktuellen PHP-Sicherheitslücken zeigen deshalb, wie wichtig klare Zuständigkeiten und zeitnahe Sicherheitsupdates sind. Wer seine Systeme kennt, Zugänge begrenzt und auf Warnmeldungen reagieren kann, verbessert seine Ausgangslage deutlich.
Die entscheidende Frage lautet:
Welche unserer Systeme könnten angreifbar sein – und wie schnell können wir darauf reagieren?Quellen und weiterführende Informationen
- PHP-Projekt: Veröffentlichungen und Sicherheitshinweise vom 21. Oktober 2026
- CERT-EU: Critical Vulnerabilities in PHP
- NCSC: Ransomware, Erpressung und der Handel mit erlangten Zugängen
IT-Sicherheit
Wissen Sie, welche Systeme in Ihrem Unternehmen geschützt werden müssen?
Ich unterstütze kleine und mittlere Unternehmen dabei, ihre IT überschaubar und sicher zu betreiben – mit klaren Zuständigkeiten, passenden Schutzmaßnahmen, regelmäßigen Updates und einer verlässlichen Datensicherung. Gemeinsam prüfen wir, wo Handlungsbedarf besteht.