Stand: 4. November 2026, 14 Tage nach Veröffentlichung der Patches. Dieser Beitrag fasst zusammen, was seither öffentlich belegt ist. Jede Zahl trägt ihre Quelle, Vermutungen sind als solche markiert. Die technische Einordnung der Lücken steht im Beitrag PHP2Shell: Was Unternehmen jetzt tun sollten.
Kurz gesagt
Ja, es wurde eingebrochen, aber nicht massenhaft. Belegt sind erfolgreiche Angriffe auf Honeypots (GreyNoise zählt 1.177 erfolgreiche Ausführungen von nur 5 Absender-Adressen), auf mindestens 24 Palo-Alto-Firewalls in den USA, Japan, Taiwan und Südkorea (Dream Research, von Palo Alto bestätigt) und auf einen Windows-Server mit IIS (Morphisec). Ein öffentlich dokumentierter, bestätigter Einbruch bei einem deutschen Unternehmen ist uns bis heute nicht bekannt.
Der Grund ist nicht Glück, sondern Aufwand. Der Angriff muss pro Server-Konfiguration angepasst werden. Alle Quellen, die eigene Tests veröffentlicht haben (GreyNoise, Intel 471, Sansec, Wiz), beschreiben das gleiche Bild: Die öffentlichen Exploits funktionieren auf Standardinstallationen meist nicht, auf passend konfigurierten Zielen schon.
Gepatcht ist weniger, als die Entwarnung vermuten lässt. Von den Servern auf unterstützten PHP-Zweigen waren laut Bitsight am 27. Oktober 85 Prozent aktualisiert. Aber rund 60 Prozent aller erreichbaren PHP-Server laufen auf Zweigen ohne Support, für die es keinen offiziellen Patch gibt. Dazu kommt eine dritte Lücke (CVE-2026-115560), die bis heute nur per Konfiguration entschärft, nicht behoben ist.
Was seit dem 21. Oktober passiert ist
| Datum | Ereignis | Quelle |
|---|---|---|
| 21. Okt., 14:00 UTC | PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erscheinen außerplanmäßig. PHP 8.6.0 RC4 enthält die Fixes ebenfalls. | php.net |
| 21. Okt. | Honeypots von watchTowr sehen erste Angriffsversuche am Tag der Veröffentlichung. | watchTowr |
| 21. Okt. | Webseiten von RKI, BND, BKA, Zoll, Bundespolizei und Charité sind vorübergehend offline. BSI stuft die Lage als Warnstufe 3 (Orange) ein. | cloudmagazin, BSI |
| 21. bis 23. Okt. | Deutsche Hoster patchen ihre Shared-Plattformen: Hetzner und netcup am 21. Oktober, IONOS, Mittwald, all-inkl, Host Europe, webgo und Profihost bis zum 22. Oktober. | severint.net |
| 23. Okt. | PHP veröffentlicht einen Hinweis zu einer dritten Lücke, CVE-2026-115560 (Session Upload Progress). Kein Patch, nur ein Workaround. | php.net |
| 24. Okt. | Ein Honeypot von Perplexity meldet die erste öffentlich dokumentierte, erfolgreiche Codeausführung auf Apache mit mod_php und PHP 8.4.26. | BleepingComputer |
| 25. Okt. | Phishing-Welle in Deutschland: gefälschte "PHP-Update erforderlich"-Mails im Namen von Hostern. Strato warnt Kunden. | Borncity |
| 26. Okt. | CISA nimmt beide CVEs in den Katalog ausgenutzter Schwachstellen auf, Frist für US-Behörden: 29. Oktober. Am selben Tag erscheinen neue Windows-Builds (Suffix -1) wegen einer Brotli-Lücke. | CISA, php.net |
| 26. bis 29. Okt. | Dream Research dokumentiert eine Kampagne gegen Palo-Alto-Firewalls. Palo Alto bestätigt am 29. Oktober Angriffe auf exponierte Management-Oberflächen. | Dream Research, Palo Alto |
| 28. Okt. | Erste bestätigte erfolgreiche Ausführung im GreyNoise-Sensornetz um 05:14 UTC. Morphisec blockiert einen Angriff auf einen Windows-IIS-Server. | GreyNoise, Morphisec |
| 3. Nov. | Singapurs CSA warnt vor aktiver Ausnutzung gegen Netzwerk- und Sicherheitsprodukte von Palo Alto, Cisco, Citrix, F5 und Siemens. | CSA Singapur |
| 4. Nov. | GreyNoise zählt 607 angreifende IP-Adressen, davon 54 neue in den letzten 12 Stunden. Die Angriffe laufen weiter. | GreyNoise |
Wurde jemand gehackt?
Die kurze Antwort: ja, nachweislich, aber in kleinerem Umfang als bei früheren Lücken dieser Schwere. Die lange Antwort braucht eine Unterscheidung, die in vielen Meldungen fehlt: zwischen Angriffsversuchen, Erfolgen auf Honeypots und bestätigten Einbrüchen in echte Systeme.
01Honeypots: Angriffe funktionieren, aber nur auf passende Ziele
GreyNoise betreibt eine öffentliche Live-Seite zu PHP2Shell. Stand 4. November, 10:49 UTC: 248.674 Sitzungen, 215.794 Angriffsversuche, 1.177 bestätigte erfolgreiche Codeausführungen. Die wichtigste Zahl steht dahinter: Diese 1.177 Erfolge stammen von nur 5 Absender-Adressen, obwohl insgesamt 607 Adressen angreifen. Die erste bestätigte Ausführung kam am 28. Oktober um 05:14 UTC von 2.59.133.151 und tat nichts weiter, als per curl die eigene Adresse aufzurufen. Eine zweite Adresse (185.65.134.250) ging ab dem 29. Oktober weiter: Reverse Shell zu 206.245.153.56, Skript unter /tmp/beacon.sh, Eintrag in /var/www/.ssh/authorized_keys, Auslesen von /etc/shadow und Abfrage der Cloud-Metadaten unter 169.254.169.254. GreyNoise selbst schreibt, dass Angreifer ihre Exploits pro Konfiguration anpassen müssen und eine Massenausnutzung deshalb schwierig ist.
Hunt.io berichtet am 30. Oktober von 40 bestätigten Web-Shells auf den eigenen Sensoren, 32 davon von einer einzigen Adresse (162.35.99.94, InterServer), 3 von 15.204.59.70 (OVH) und 5 von 2.59.133.151 (dataforest, Deutschland). Auch hier: wenige Akteure, viele Treffer.
Der erste öffentlich dokumentierte Erfolg kam am 24. Oktober von Adel Karimi (Perplexity): Ein Honeypot auf Apache mit mod_php und PHP 8.4.26 wurde übernommen, der Angreifer schickte dafür rund 800 KiB Cookie-Daten. Karimi nennt das Profil seines Honeypots ausdrücklich "absichtlich günstig" (ein einzelner mod_php-Worker). Marcus Hutchins bezeichnete den Fund als die bislang hochwertigste Bestätigung.
02Echte Systeme: Palo-Alto-Firewalls und ein Windows-Server
Der schwerwiegendste belegte Fall betrifft keine Webseite, sondern Firewalls. Dream Research beschreibt eine Kampagne eines mutmaßlich chinesischen Akteurs: Aus 19.000 per FOFA gefundenen Hosts wurden 5.000 und schließlich 240 Ziele ausgewählt, auf 24 Palo-Alto-Firewalls (ein weiteres über einen Tunnel) gelang Root-Zugriff. Dafür kombinierten die Angreifer PHP2Shell mit der Linux-Kernel-Lücke Fragnesia (CVE-2026-46300), die CISA am 28. Oktober ebenfalls in den Katalog ausgenutzter Schwachstellen aufgenommen hat. Betroffene Geräte standen in den USA, Japan, Taiwan und Südkorea, drei davon in einer Umgebung mit Bezug zur US-Regierung. Auf 22 der Geräte blieb es laut Dream bei einer geparkten Web-Shell ohne weitere Aktivität. Palo Alto Networks bestätigte am 29. Oktober Angriffe auf aus dem Internet erreichbare Management-Oberflächen, bezifferte den Anteil exponierter Kunden mit rund 0,02 Prozent und hat Patches für PAN-OS 12.2, 12.1, 11.2, 11.1 und 10.2 sowie Panorama veröffentlicht. Die Zuordnung zu China ist eine Einschätzung der Forscher, keine bestätigte Attribution.
Morphisec meldet am 28. Oktober einen blockierten Angriff auf den Windows-IIS-Server eines Kunden: w3wp.exe startete php-cgi.exe, das wiederum cmd.exe und eine gepackte Binärdatei mit Reverse Shell. Das ist der einzige uns bekannte, öffentlich beschriebene Fall auf einem Produktivsystem außerhalb der Firewall-Kampagne.
03Was behauptet, aber nicht belegt ist
- In Untergrundforen kursieren laut Kaspersky Behauptungen über 1.500 kompromittierte ukrainische Webseiten und einen Bypass für PHP 8.5.12. Für keine davon gibt es einen Beleg. Ein anderer Forenteilnehmer nennt die öffentlichen Exploits "unexploitable crap".
- CYFIRMA berichtet von Scans aus 21 kompromittierten Knoten gegen 216 Hosts in 12 Ländern, die sie Nordkorea zuordnen. Scans, keine Einbrüche.
- Unit 42 hatte einen Einbruch bei einer europäischen Behörde zunächst mit PHP2Shell in Verbindung gebracht und diese Verbindung später zurückgezogen.
- Die Massenbreite fehlt bisher: Wiz hat in der eigenen Telemetrie keinen einzigen vollständigen Angriff gesehen, Kaspersky schreibt am 3. November, es gebe keine Berichte über Masseneinbrüche. Intel 471 hat den öffentlichen Exploit von "9bie" gegen 24 Container getestet: Er funktionierte in genau einem Fall (php:8.4.26-apache mit 150 Prefork-Workern und 128M memory_limit).
Unsere Einordnung: Die Lage ist nicht mit Log4Shell vergleichbar, bei der ein Exploit überall funktionierte. Sie ähnelt eher einem Schlüssel, der pro Schloss nachgefeilt werden muss. Wer das Nachfeilen beherrscht, kommt rein. Und die Werkzeuge dafür werden besser: Die Firewall-Kampagne lief laut Dream mit Unterstützung von KI-Werkzeugen, GreyNoise sieht täglich neue Absender.
Sie wissen nicht, ob Ihre Systeme sauber sind?
Wir prüfen Ihre PHP-Server auf den tatsächlich laufenden Versionsstand, auf die unten genannten Angriffsspuren und auf die drei offenen Punkte in diesem Beitrag. Sie bekommen einen schriftlichen Befund, keinen Verkaufstermin.
Checkliste als PDFWie viele haben gepatcht?
Die Zahlen widersprechen sich auf den ersten Blick, weil jede Quelle etwas anderes misst. Die Methode steht deshalb mit in der Tabelle. Alle Messungen beruhen auf Versionsangaben im HTTP-Header; Distributionen wie Debian oder RHEL tragen Fixes zurück, ohne die Versionsnummer zu ändern. Die Zahlen überschätzen daher den Anteil ungepatchter Systeme, niemand weiß um wie viel.
| Quelle und Datum | Was gemessen wurde | Ergebnis |
|---|---|---|
| Bitsight, 29. Okt. | 29,2 Mio. Hosts mit PHP-Banner weltweit; 9,47 Mio. davon erneut geprüft | 18,4 Mio. (63,1 %) verwundbar, 59,5 % aller Hosts auf Zweigen ohne Support. Von den erneut geprüften: 33,5 % gepatcht. Nur unterstützte Zweige: 68,6 % am 29. Okt. (Verlauf: 9,8 % am 21., 55 % am 22., 78 % am 24., 85 % am 27. Okt.). PHP 7.4: 91 % unverändert. |
| Bitsight, Länder | Anteil gepatchter Hosts je Land | Schweden 89,6 %, Dänemark 65,5 %, Norwegen 57,6 %, Deutschland 51,6 %, Österreich 47,3 %, USA 26,2 %, China 3,8 % |
| OX Security, 26. Okt. | 1.990.772 Webseiten mit messbarer Version | 93,6 % ungepatcht; WordPress 93,65 %, Drupal 94,78 %, Laravel 82,26 %. In 24 Stunden kamen 0,7 Prozentpunkte dazu. |
| risikomonitor / EY, bis 28. Okt. | 34,9 Mio. Webseiten in EU, Schweiz, Liechtenstein | 3,9 Mio. (11,2 %) verwundbar bei Bekanntwerden; bei der Nachprüfung 18,1 % gepatcht. Deutschland: 426.854 verwundbar, 94,5 % davon auf Versionen ohne Update; Nachprüfung 259.891 weiterhin verwundbar, 15.953 gepatcht (5,8 %, niedrigster Wert in Europa). |
| ShiftPress via Borncity, 3. Nov. | 54.743 Startseiten im DACH-Raum, davon 1.071 kommunale mit sichtbarer PHP-Version | Kommunen: 21 % auf PHP 8.1 oder älter, 31 Seiten auf PHP 5. Auf unterstützten Zweigen 81 % gefixt am 27. Okt., 83 % am 29. Okt. 57 Seiten vorsorglich offline (17 Kommunen, 9 Schulen und Hochschulen), am 29. Okt. noch 36. Bei rund 85 % ist der Status von außen nicht prüfbar. |
| Censys, Anfang Nov. | 46 Mio. scanbare Server mit verwundbarer Versionsangabe | 29 Mio. weiterhin ungepatcht (Zahl laut Kaspersky, 3. Nov.) |
| Qualys | 167 Mio. PHP-Installationen in der Kundenbasis | 110 Mio. (71 %) auf Zweigen ohne Support |
Was sich daraus ehrlich ableiten lässt: Wer eine unterstützte PHP-Version betreibt, hat mit großer Wahrscheinlichkeit gepatcht. Das Problem sitzt bei den Systemen auf PHP 8.1 und älter. Für sie gibt es seitens php.net keinen Fix und wird es keinen geben. Der offizielle Docker-Container php liefert für 8.1 und älter ebenfalls nichts. Kommerzielle Backports existieren: TuxCare bietet seit dem 21. Oktober gegen Bezahlung Patches für 5.2 bis 8.1 an, mehrere deutsche Hoster (all-inkl, hosting.de, Raidboxes) haben für alte Versionen eigene Backports gebaut. Für selbst betriebene Server mit PHP 7.x oder 8.0 heißt das: Entweder Sie kaufen Backports ein, oder Sie migrieren. Die Brücke per WAF oder Konfiguration hält nicht ewig.
Die deutschen Zahlen sind in zwei Quellen weit auseinander (Bitsight 51,6 Prozent, risikomonitor 5,8 Prozent). Der Unterschied liegt in der Grundgesamtheit: Bitsight zählt alle Hosts mit Banner, risikomonitor zählt Webseiten, bei denen 94,5 Prozent auf Versionen ohne Update laufen, die also gar nicht patchen konnten. Beide Zahlen zusammen ergeben ein konsistentes Bild: Deutsche Betreiber auf aktuellen Versionen patchen zügig, aber ein großer Bestand läuft auf Versionen, für die das keine Option ist.
Deutschland und DACH im Detail
Hoster. Die severint.net-Übersicht (zuletzt aktualisiert am 3. November) zeigt: Alle großen Shared-Hosting-Anbieter hatten ihre Plattformen innerhalb von 24 Stunden gepatcht, zum Teil auch für Versionen, die php.net nicht mehr pflegt (all-inkl für 5.6 und 7.x, Profihost für 5.6 bis 8.5, hosting.de für 5.3 bis 7.3 mit eigenen Patches). Für VPS und dedizierte Server gilt überall: Der Kunde patcht selbst. Host Europe bietet das als bezahlte Dienstleistung an. Hostinger hat seine Managed-Server gepatcht, ohne dass sich die Versionsnummer geändert hat; ein Versionscheck von außen zeigt dort also weiterhin "verwundbar". Unklar bleibt der Stand bei 1blu, goneo und webhoster.de.
Behörden. Am 21. Oktober gingen die Webseiten von RKI, BND, BKA, Zoll und Bundespolizei vorsorglich offline, ebenso die Charité. Das BSI hat die Lage auf Warnstufe 3 (Orange) gesetzt und empfohlen, Systeme im Zweifel vom Netz zu nehmen. Das RUS-CERT der Universität Stuttgart hat einen öffentlichen Exploit auf einem Testsystem nachvollzogen. Ein bestätigter Einbruch in eine deutsche Behörde oder ein deutsches Unternehmen ist bis heute nicht öffentlich dokumentiert.
Phishing. Seit dem 25. Oktober laufen Mails mit Absender "METANIT" und Betreff "Wichtige Mitteilung: PHP-Update erforderlich", die auf ein gefälschtes Kundenportal führen. Strato hat seine Kunden gewarnt. Die Masche nutzt die Verunsicherung: Niemand muss sich für ein PHP-Update irgendwo einloggen, erst recht nicht über einen Link in einer Mail.
Kommunen. Die ShiftPress-Auswertung ist das detaillierteste Bild für Deutschland: Von 1.071 kommunalen Startseiten mit sichtbarer PHP-Version liefen 21 Prozent auf PHP 8.1 oder älter, 31 sogar auf PHP 5. Rund 73 Prozent der Kommunen zeigten einen Tag nach dem Patch eine korrigierte Version, was für die öffentliche Hand ein ungewöhnlich gutes Tempo ist. Die übrigen hängen überwiegend an alten Versionen, für die es keinen Patch gibt.
Was noch offen ist
01CVE-2026-115560 ist nicht gepatcht
Am 23. Oktober hat PHP einen Hinweis zu einer dritten Lücke in der Funktion Session Upload Progress veröffentlicht. Sie ist nur in einer ungewöhnlichen Konstellation ausnutzbar: session.serialize_handler steht in der Konfiguration auf php_binary oder php_serialize und wird zur Laufzeit per ini_set() vor session_start() auf php umgestellt, und session.upload_progress ist aktiv. Die Firewall-Kampagne von Dream Research nutzte genau den Upload-Progress-Mechanismus, allerdings als Teil des PHP2Shell-Angriffs auf PHP 8.0.30. Ein Fix ist für die nächste reguläre Veröffentlichung angekündigt, bis dahin gilt als Entschärfung:
session.upload_progress.enabled=0Contabo hat diese Einstellung am 23. Oktober auf seinen Plattformen gesetzt, Hostinger auf Managed-Servern ebenfalls. Prüfen Sie Ihre php.ini, wenn Sie Uploads in Sessions nutzen. Die meisten Anwendungen brauchen die Funktion nicht.
02Windows: die -1-Builds
Am 26. Oktober hat php.net die Windows-Builds 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 veröffentlicht. Sie enthalten Brotli 1.2.1 gegen CVE-2026-111497, eine Schreiblücke in der Brotli-Dekompression, die über cURL mit automatischer Antwort-Dekompression erreichbar ist. Diese Einstellung ist standardmäßig aus. Kaspersky berichtet, dass die Brotli-Lücke seit dem 26. Oktober ebenfalls angegriffen wird. Qualys weist am 4. November darauf hin, dass es für Windows und macOS keinen Paketmanager-Patch gibt; dort ist jedes Update eine manuelle Neuinstallation pro Server.
03PHP 8.2 läuft am 31. Dezember 2026 aus
Wer jetzt auf 8.2.35 gepatcht hat, steht in acht Wochen wieder ohne Sicherheitsupdates da. Die nächste Lücke dieser Art, und PHP2Shell hat gezeigt, dass Lücken schneller gefunden werden als behoben, trifft dann einen Zweig ohne Support. Planen Sie die Migration auf 8.3 oder 8.4 jetzt, nicht im Dezember. Was dabei auf Sie zukommt, beschreibt unser Beitrag PHP-Migration: Aufwand und Kosten.
04Appliances und NAS
Das niederländische NCSC pflegt auf GitHub eine Produktliste. Stand 4. November: 948 Produkte erfasst, 215 verwundbar, 185 davon mit Fix, 93 noch in Prüfung, 240 abhängig von der Laufzeitumgebung, 214 nicht betroffen. Die CSA Singapur nennt am 3. November konkret Cisco (Duo Access Gateway, Expressway), Citrix NetScaler, F5 BIG-IP (APM und Konfigurationsoberfläche), Siemens RUGGEDCOM APE1808 und Palo Alto. Synology hat seine PHP-Pakete für DSM 7.4 und 7.3 sowie nachträglich für die ausgelaufenen Versionen 7.2, 7.1, 7.0 und 6.2 aktualisiert. QNAP führt seine Geräte als betroffen, einen Termin für einen Fix haben wir nicht gefunden. Wenn Sie ein NAS, eine Firewall oder ein Monitoring-Werkzeug mit Weboberfläche betreiben, steht es vermutlich auf dieser Liste.
Angriffsspuren, nach denen Sie suchen sollten
Die folgenden Indikatoren stammen aus den veröffentlichten Analysen von GreyNoise und Hunt.io. Sie ergänzen die Log-Muster aus unserem ersten Beitrag. Der sinnvolle Prüfzeitraum beginnt am 17. Oktober, dem Tag, an dem Amazon erste Angriffsversuche beobachtet hat.
- Prozesse: apache2, httpd, php-fpm oder php-cgi als Elternprozess von /bin/sh, bash, curl oder wget. Unter Windows: w3wp.exe startet php-cgi.exe, das cmd.exe startet.
- Dateien: /tmp/beacon.sh, collect.sh, neue Einträge in /var/www/.ssh/authorized_keys oder im Home des Webserver-Nutzers; PHP-Dateien im Webroot, die nach dem 17. Oktober entstanden sind (find -newermt 2026-10-17).
- Netzwerk: ausgehende Verbindungen des Webserver-Prozesses zu nackten IP-Adressen ohne Hostnamen, insbesondere zu 206.245.153.56; Zugriffe auf 169.254.169.254 aus dem Webserver-Kontext.
- Anfragen: Multipart-POSTs mit auffällig kurzen Boundaries (10 Zeichen), mehr als drei Multipart-POSTs auf denselben Endpunkt innerhalb von 60 Sekunden, Cookie-Header im dreistelligen Kilobyte-Bereich; Zeichenketten attacksessionid0001, __PHP2SHELL_PROBE und php2shell-scan.
- Absender: 2.59.133.151, 185.65.134.250, 162.35.99.94, 15.204.59.70. Diese Adressen können inzwischen anderweitig genutzt werden; ein Treffer ist ein Hinweis, kein Beweis.
Ein Fund bedeutet: System isolieren, Zugangsdaten und Schlüssel erneuern, aus sauberem Backup neu aufsetzen. Wie Sie belegen, dass ein Patch wirkt, steht im Beitrag PHP-Sicherheitsupdate prüfen und nachweisen.
Alte PHP-Version, kein Patch, keine Zeit?
Wir migrieren Anwendungen von PHP 7.x und 8.0 auf unterstützte Versionen, mit Tests, die den Betrieb absichern, und übernehmen auf Wunsch die laufende Pflege mit vereinbarten Reaktionszeiten. Schreiben Sie uns, welche Version wo läuft, und Sie bekommen innerhalb von 24 Stunden eine Einschätzung.
Kostenloses Erstgespräch buchenHäufige Fragen
Fazit
Zwei Wochen nach den Patches ist PHP2Shell weder der Weltuntergang, den die ersten Schlagzeilen ankündigten, noch erledigt. Die Angriffe laufen, sie funktionieren bei Akteuren, die sich die Mühe machen, und sie treffen bevorzugt Geräte mit Weboberfläche statt Webseiten. Der Bestand an Servern ohne Patch ist groß und wird nicht von allein kleiner, weil er überwiegend aus Versionen besteht, für die es keinen Patch gibt. Wer auf einer unterstützten Version sitzt, hat vermutlich das Nötige getan und sollte jetzt die drei offenen Punkte abarbeiten. Wer auf 7.x oder 8.0 sitzt, hat kein Patch-Problem, sondern ein Migrationsprojekt.
Wir aktualisieren diesen Beitrag, wenn sich die Lage ändert. Schreiben Sie uns, wenn Sie Ihre Systeme prüfen lassen möchten, oder buchen Sie ein kostenloses Erstgespräch.
Quellen (Stand 4. November 2026): GreyNoise PHP2Shell Live-Tracker, BleepingComputer: PHP2Shell successfully exploited (26. Oktober), Hunt.io: Honeypot shells and rooted Palo Alto firewalls (30. Oktober), SecurityWeek zur Dream-Research-Analyse, Palo Alto Networks Advisory CVE-2026-109618, Morphisec: PHP2Shell on Windows servers (28. Oktober), Intel 471: Testing a PHP2Shell exploit (30. Oktober), Sansec: PHP2Shell research, Kaspersky: PHP2Shell two weeks later (3. November), Bitsight: Scanning, exploitation, patching (29. Oktober), OX Security: Day 5 (26. Oktober), risikomonitor / EY Europa-Report, Borncity: ShiftPress-Auswertung Kommunen (3. November), Borncity: Phishing-Welle (25. Oktober), severint.net: Reaktion deutscher Hoster, cloudmagazin: Behörden offline (22. Oktober), php.net: Releases, Advisory CVE-2026-115560, Windows-Builds, CISA KEV-Katalog, NCSC-NL Produktliste, CSA Singapur AL-2026-157 (3. November), Synology Pressemitteilung, TuxCare: Backports für PHP 5.2 bis 8.1, Qualys: PHP2Shell on Windows and macOS (4. November), watchTowr FAQ.