Sicherheitsvorfälle im Oktober 2026: PHP2Shell, eMudhra und LiteLLM

Zwischen dem 17. und dem 21. Oktober 2026 haben vier Sicherheitsereignisse Software getroffen, auf der große Teile des Internets laufen:

zwei kritische Lücken in PHP, die Codeausführung aus der Ferne erlauben („PHP2Shell“)
kompromittierte Schlüssel bei der Zertifizierungsstelle eMudhra
eine Reihe von Sicherheitsupdates für Node.js
eine manipulierte Version der Python-KI-Bibliothek LiteLLM

Kurz für Safina-Kunden: Safina nutzt weder PHP noch LiteLLM. Wir haben jede Meldung direkt nach der Veröffentlichung geprüft und die betroffenen Abhängigkeiten aktualisiert. Du musst in deinem Safina-Konto nichts tun. So haben wir reagiert · Was du selbst prüfen solltest

Zuletzt aktualisiert: 22. Oktober 2026. Wir ergänzen diesen Artikel, sobald es neue Informationen gibt.

Die Vorfälle im Oktober 2026 im Überblick

Vorfall	Betrifft	Lösung
PHP2Shell 21. Oktober · kritisch	Jede PHP-Installation, die Webanfragen beantwortet	PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35
eMudhra-Zwischenzertifikate 17. Oktober · gefälschte Zertifikate möglich	Software, die der Wurzel „emSign ECC Root CA - G3“ vertraut	Aktuelle Browser und Zertifikatslisten, neue Zertifikate für betroffene Websites
Node.js-Sicherheitsupdates 21. Oktober · 4 Lücken mit hoher Schwere	Node.js 22.x, 24.x und 26.x	Node.js 22.23.4, 24.22.1 oder 26.12.1
LiteLLM 1.107.0 21. Oktober · Passwortdieb und Hintertür	Systeme, die LiteLLM 1.107.0 von PyPI oder als Docker-Image geladen haben	LiteLLM 1.106.2, alle Zugangsdaten erneuern

PHP2Shell: kritische Lücke in PHP

PHP2Shell ist der Name für zwei kritische Schwachstellen im PHP-Interpreter, CVE-2026-109618 und CVE-2026-109619. Beide erlauben es einem Angreifer, mit einer einzigen Webanfrage ohne Anmeldung Code auf einem Server auszuführen, noch bevor der Code der Anwendung startet. Das PHP-Team bewertet beide mit 9,2 auf der CVSS-4.0-Skala und hat am 21. Oktober 2026 Updates veröffentlicht.

PHP steckt in WordPress, vielen Onlineshops, Buchungs-Plugins und den Verwaltungsoberflächen von Webhostern. Damit gehört PHP2Shell zu den folgenreichsten Lücken seit Jahren. Der Sicherheitsforscher Kevin Beaumont sagte gegenüber Help Net Security: „Die PHP-Lage wird zu einer Masse an Vorfällen führen. Es ist eine der größten Lücken seit Jahren.“

Was betroffen ist: Laut Help Net Security jede PHP-Umgebung, die Webanfragen beantwortet: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Laut Tenable reicht der betroffene Code bis PHP 5.4 zurück.

Behobene Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 7.4 bis 8.1 bekommen kein offizielles Update, nur minimale Quellcode-Patches.

Zeitlicher Ablauf: Die CVE-Nummern wurden am 20. Oktober vorzeitig bekannt. Die PHP Foundation zog das Update daraufhin um einen Tag vor, vom 22. auf den 21. Oktober, berichtet Tenable. Amazon Threat Intelligence sah einen ersten Angriffsversuch schon am 17. Oktober, vier Tage vor dem Update, und meldet seitdem breite Angriffe. Die US-Behörde CISA hatte zum Zeitpunkt ihrer Warnung noch keine Angriffe beobachtet. Sie rät trotzdem, ungepatchte PHP-Systeme vom Netz zu nehmen, ebenso alle Systeme mit PHP 8.1 oder älter.

Cloudflare hat Firewall-Regeln gegen die bekannten Angriffsmuster ergänzt, auch für kostenlose Tarife. Cloudflare nennt das selbst eine Notlösung: Nur das Update schließt die Lücke.

Stand 22. Oktober: Nach dem Update meldeten Sicherheitsfirmen wie watchTowr und Patchstack aktive Angriffsversuche. Huntress hatte laut CyberScoop noch keinen erfolgreichen Angriff auf Kundensysteme bestätigt. CyberScoop schätzt, dass mehr als 1,3 Millionen aus dem Internet erreichbare Server angreifbar sein könnten. Die CISA hat die beiden Lücken noch nicht in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

eMudhra: kompromittierte Schlüssel einer Zertifizierungsstelle

Zertifizierungsstellen (CAs) stellen die Zertifikate aus, die dem Schloss-Symbol im Browser seine Bedeutung geben. Am 17. Oktober 2026 meldete ein Forscher, dass die privaten Schlüssel von acht Zwischenzertifikaten der indischen CA eMudhra mit zu schwachem Zufall erzeugt wurden. Jeder hätte diese Schlüssel berechnen und für beliebige Websites Zertifikate ausstellen können, denen Browser und Apps vertrauen.

Die Reaktion war schnell. Laut Google sperrte Chrome die betroffenen Zwischenzertifikate weniger als zwei Stunden nach der Meldung, ohne Browser-Update. Android-Geräte bekamen die Sperre am 19. Oktober über die Google Play-Dienste. Google fand vor der Sperre kein Zertifikat dieser CAs in den öffentlichen Certificate-Transparency-Logs. Mozilla hat die Wurzel „emSign ECC Root CA - G3“ aus der Zertifikatsliste von Firefox entfernt (Mozilla-Bug 2083449), Chrome entfernt sie am 27. Oktober 2026. Firefox sperrte die Zwischenzertifikate ebenfalls am 17. Oktober, Apple folgte am 19. und Microsoft am 20. Oktober (CyberInsider). eMudhra führt die schwachen Schlüssel auf ein fehlerhaftes Skript bei der Schlüsselerzeugung zurück und stellt unter der G3-Wurzel keine Zertifikate mehr aus.

Schwieriger ist Software außerhalb des Browsers. Server, Container und Programmiersprachen bringen oft ihre eigene Liste vertrauenswürdiger CAs mit, und die meisten können keine einzelnen Zwischenzertifikate sperren. Sie brauchen ein Update, das die ganze Wurzel entfernt. Das Python-Paket certifi enthält sie zum Beispiel seit Version 2026.10.18 nicht mehr, der Hinweis nennt 2026.10.19 als behobene Version (GitHub-Hinweis). Zwei der acht Zwischenzertifikate dienten zum Signieren von Software. Das Risiko betrifft also nicht nur Websites, sondern auch signierte Programme.

Node.js-Sicherheitsupdates im Oktober 2026

Am 21. Oktober 2026 hat das Node.js-Projekt Sicherheitsupdates für alle unterstützten Versionen veröffentlicht: 22.23.4, 24.22.1 und 26.12.1. Sie schließen 10 Lücken, 4 davon mit hoher Schwere:

zwei Wege, die TLS-Prüfung des Hostnamens mit ungewöhnlichen Schreibweisen von IP-Adressen zu umgehen
ein Schreibzugriff außerhalb des Speicherbereichs im Brotli-Decoder, der Codeausführung aus der Ferne erlauben kann
ein Fehler in dns.resolve, der Hostnamen an einem NUL-Zeichen abschneidet

Dieselben Updates entfernen auch die kompromittierte eMudhra-Wurzel aus der Zertifikatsliste, die Node.js mitbringt. Versionen ohne Support wie Node.js 20 sind ebenfalls betroffen und bekommen kein Update.

LiteLLM 1.107.0: Angriff auf eine KI-Bibliothek

LiteLLM ist eine verbreitete Python-Bibliothek, die Anwendungen mit vielen KI-Anbietern verbindet. Am 21. Oktober 2026 veröffentlichten Angreifer Version 1.107.0 auf PyPI und in den Docker-Images des Projekts (Tags v1.107.0, latest, main-latest und main-stable). Die Version enthielt einen Passwortdieb und eine Hintertür.

Laut Datadog Security Labs war die manipulierte Version etwa zwei Stunden verfügbar. Ihre Dateien laufen bei jedem Start von Python, auch wenn LiteLLM gar nicht geladen wird, und sie bleiben nach einer Deinstallation auf dem System. Der Schadcode sammelte Cloud-Schlüssel, API-Schlüssel für KI-Anbieter, SSH-Schlüssel und im Browser gespeicherte Passwörter. Chainguard zählt den zweiten Angriff auf LiteLLM in sieben Monaten.

Laut dem Vorfallsbericht von LiteLLM nutzten die Angreifer gestohlene GitHub-Zugangsdaten von Entwicklerkonten und leiteten den Veröffentlichungsprozess auf ein täuschend ähnlich benanntes Repository um. Der Quellcode im offiziellen Repository enthielt die Schaddateien nicht. Das Paket lag von 11:39 bis etwa 13:23 Uhr UTC auf PyPI, die Docker-Tags zeigten bis 14:20 Uhr UTC auf das manipulierte Image. Kunden der privaten Enterprise-Version waren nicht betroffen.

Die letzte sichere Version ist 1.106.2. Wer 1.107.0 installiert hat, sollte das System als kompromittiert betrachten, die eingeschleusten Dateien entfernen und von einem sauberen Rechner aus alle Zugangsdaten erneuern, die das System erreichen konnte.

So hat Safina reagiert

Safina nimmt die Anrufe deines Unternehmens an. Die Systeme dahinter müssen deshalb erreichbar und sicher sein. Sicherheit hat für uns oberste Priorität, und die automatische Sicherheitsüberwachung gehört bei Safina seit jeher zum Betrieb. So hat sie bei diesen Vorfällen gegriffen:

Automatische Überwachung. Unser Code, unsere Abhängigkeiten und unsere Container-Images werden automatisch geprüft. Betrifft eine Sicherheitsmeldung eine Komponente, die wir nutzen, bekommen wir eine Warnung und einen Update-Vorschlag. Niemand muss dafür erst die Nachrichten lesen.
Prüfung direkt nach der Veröffentlichung. Für jeden der vier Vorfälle haben wir direkt nach der Veröffentlichung geprüft, ob und wo Safina die betroffene Software nutzt.
Updates. Wir haben unsere Dienste auf die gepatchten Node.js-Versionen umgestellt und die Listen vertrauenswürdiger Zertifikate in unseren Diensten aktualisiert.
Nicht im Einsatz. Safina betreibt kein PHP und nutzt kein LiteLLM. Unsere Prüfung des gesamten Codes und aller Abhängigkeiten hat das bestätigt.

Du musst in deinem Safina-Konto nichts tun. Die Updates laufen auf unserer Seite. Wie wir mit deinen Daten umgehen, liest du in unserem Überblick zu Datenschutz und Compliance und in unserem Artikel zu DSGVO und KI-Telefonassistenten.

Was kleine Unternehmen jetzt prüfen sollten

Wahrscheinlich betreibst du keine eigenen Server. Deine Website, dein Onlineshop oder dein Buchungstool laufen aber vielleicht mit PHP. Diese fünf Punkte decken die häufigsten Fälle ab:

Frag deinen Webhoster oder deine Agentur, ob deine Website eine PHP-Version mit dem Fix nutzt (8.5.12, 8.4.27, 8.3.36 oder 8.2.35). Das betrifft die meisten WordPress-Seiten.
Plane den Umstieg von PHP 8.1 oder älter. Diese Versionen bekommen kein offizielles Update. Die CISA rät, solche Systeme vom Netz zu nehmen.
Aktualisiere Browser, Smartphones und Computer. Chrome, Firefox, Android sowie Geräte von Apple und Microsoft sperren die eMudhra-Zertifikate über ihre normalen Updates.
Prüfe den Aussteller deines Zertifikats, falls deine eigene Website ein Zertifikat von eMudhra (emSign) nutzt. Chrome vertraut der Wurzel „emSign ECC Root CA - G3“ ab dem 27. Oktober 2026 nicht mehr. Hol dir vorher ein neues Zertifikat von einer anderen CA.
Frag deinen IT-Dienstleister nach LiteLLM, falls du eigene KI-Werkzeuge betreibst. War Version 1.107.0 installiert, muss das System bereinigt und jeder Schlüssel darauf ersetzt werden.

Warum KI schnelle Updates wichtiger macht

Forscher von Wiz sagten zu PHP2Shell, aktuelle KI-Modelle hätten die Hürde deutlich gesenkt und eine alte Schwachstelle in einen funktionierenden Angriff verwandelt (Help Net Security). KI-Modelle helfen Verteidigern heute, alte Fehler zu finden, wie Anthropic mit Claude Mythos und Project Glasswing gezeigt hat. Dieselben Werkzeuge helfen Angreifern, aus einem veröffentlichten Fix schneller einen Angriff zu bauen.

Die Zeit zwischen Veröffentlichung und ersten Angriffen wird immer kürzer. Bei PHP2Shell kamen die ersten Versuche, bevor das Update überhaupt da war. Automatische Überwachung und schnelle Updates sind für einen Softwareanbieter deshalb kein Extra mehr. Sie sind die Grundlage.

Häufige Fragen

Ist Safina von PHP2Shell betroffen?

Nein. Safina betreibt kein PHP. Unsere Website, unsere Apps und unsere Backend-Dienste nutzen andere Technologien. Das haben wir direkt nach der Veröffentlichung geprüft.

Muss ich in Safina etwas ändern?

Nein. Alle Updates laufen auf unserer Seite. Dein Assistent, deine Telefonnummer und deine Einstellungen bleiben, wie sie sind.

Welche PHP-Versionen beheben PHP2Shell?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026. PHP 8.1 und älter bekommen kein offizielles Update. Frag deinen Webhoster, welche Version deine Website nutzt.

Was ist beim eMudhra-Vorfall passiert?

Die privaten Schlüssel von acht Zwischenzertifikaten der Zertifizierungsstelle eMudhra wurden mit zu schwachem Zufall erzeugt. Jeder hätte damit vertrauenswürdige Zertifikate für beliebige Websites erstellen können. Chrome und Firefox haben sie wenige Stunden nach der Meldung gesperrt, Apple und Android zwei Tage später, Microsoft drei Tage später, und die Wurzel „emSign ECC Root CA - G3“ wird aus den Zertifikatslisten entfernt.

Welche LiteLLM-Version ist sicher?

LiteLLM 1.106.2 ist die letzte sichere Version. Version 1.107.0 vom 21. Oktober 2026 enthielt einen Passwortdieb. Systeme, auf denen sie installiert war, müssen bereinigt werden und neue Zugangsdaten bekommen.

Zeitlicher Ablauf

Datum (2026)	Ereignis
17. Oktober	Meldung zu den schwachen eMudhra-Schlüsseln. Chrome und Firefox sperren die betroffenen Zwischenzertifikate am selben Abend. Amazon sieht einen ersten Angriffsversuch auf PHP2Shell.
19. Oktober	Apple sperrt die eMudhra-Zwischenzertifikate. Android bekommt die Sperre über die Google Play-Dienste.
20. Oktober	Die CVE-Nummern zu PHP2Shell werden vorzeitig bekannt. PHP kündigt das Update für den nächsten Tag an. Microsoft sperrt die eMudhra-Zwischenzertifikate.
21. Oktober	PHP und Node.js veröffentlichen Sicherheitsupdates. Die manipulierte LiteLLM-Version 1.107.0 erscheint und wird nach etwa zwei Stunden entfernt. Die CISA veröffentlicht ihre PHP-Warnung. Sicherheitsfirmen melden nach dem PHP-Update erste Angriffsversuche.
27. Oktober	Chrome entfernt die Wurzel „emSign ECC Root CA - G3“ aus seiner Zertifikatsliste.