Ein klarer Auftrag.
Ein überprüfbares Ergebnis.
Für Unternehmen mit konkreten Angriffshinweisen auf einem Server, der PHP-Webanwendungen betreibt.
- Abgrenzung von Vermutung, bestätigten Befunden und Untersuchungslücken
- Plan für Eindämmung und Spurenerhalt
- Entscheidungsvorlage für Bereinigung oder Neuaufbau
Konkrete Durchführung durch die im Auftrag benannten Beteiligten. Alle Arbeiten nur mit autorisiertem Zugriff.
Hinweise dokumentieren, bevor Spuren verschwinden
Schreiben Sie auf, was Sie beobachtet haben und wann die Auffälligkeit erstmals sichtbar war. Notieren Sie auch bereits durchgeführte Maßnahmen: Neustarts, Dateilöschungen, Updates oder Änderungen an Konten. Diese Informationen helfen, die spätere Untersuchung zeitlich einzuordnen und Veränderungen durch den Betrieb von möglichen Angreiferhandlungen zu unterscheiden.
Ungeplante Reparaturversuche können die Untersuchung erschweren. Ob ein Dienst gestoppt, ein Netzwerkzugang begrenzt oder ein Systemabbild gesichert werden sollte, muss zum Schadenbild passen. Die Entscheidung erfolgt mit den verantwortlichen Personen und berücksichtigt kritische Geschäftsabläufe.
Nicht beim Webverzeichnis stehen bleiben
Ein Angriff auf eine Webanwendung kann weitere Zugänge betreffen, auf die der Prozess zugreifen konnte. Deshalb werden im Auftrag die relevanten Konten, Dienstberechtigungen, Datenbankverbindungen und benachbarten Anwendungen berücksichtigt. Die genaue Reichweite wird aus der Umgebung abgeleitet, nicht pauschal angenommen.
Die Untersuchung trennt technische Befunde von Aussagen über den Eintrittsweg. Eine gefundene Schadsoftware beweist für sich allein noch nicht, dass PHP2Shell die Ursache war. Ebenso können fehlende Protokolle eine abschließende Rekonstruktion verhindern. Solche Grenzen gehören ausdrücklich in den Bericht.
Wiederanlauf kontrolliert entscheiden
Bei unzureichend vertrauenswürdigem Systemzustand kann ein Neuaufbau aus überprüfbaren Quellen sinnvoller sein als punktuelle Dateibereinigung. Der Vorschlag muss Anwendungskonfiguration, Datenbestand und Geschäftsanforderungen berücksichtigen. Ein sauberes Betriebssystem allein stellt noch keinen funktionsfähigen Shop wieder her.
Vor der Rückkehr in den Regelbetrieb werden die vereinbarten Funktionen getestet und betroffene Zugangsdaten über einen geschützten Weg erneuert. Das Abschlussprotokoll nennt den untersuchten Zeitraum, die tatsächlichen Maßnahmen und verbleibende Unsicherheiten. So entsteht eine nachvollziehbare Grundlage für den weiteren Betrieb.
Ihre Checkliste für den nächsten Schritt
- Beobachtungen und eigene Änderungen mit Uhrzeit protokollieren.
- Betroffene Daten und Geschäftsprozesse benennen.
- Weitere Eingriffe mit der verantwortlichen IT abstimmen.
Häufige Fragen
Soll ich den Server sofort neu installieren?
Eine Neuinstallation kann nötig werden, aber Spuren und wiederherstellbare Daten sollten zuvor entsprechend dem abgestimmten Vorgehen gesichert werden.
Beweist eine Webshell PHP2Shell als Ursache?
Nein. Die Hintertür und der ursprüngliche Eintrittsweg sind unterschiedliche Befunde und müssen gesondert untersucht werden.
Quellen & weiterführende Informationen
PHP-Projekt: Sicherheitsveröffentlichungen Oktober 2026 ↗CERT-EU: Critical Vulnerabilities in PHP, 2026-018 ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.