PHP2Shell hat diese Woche die News-Ticker geflutet. Eine über zehn Jahre alte Lücke in PHP, CVSS 9,2, Remote Code Execution. Der eigentliche Aufreger ist ein anderer: Warum häufen sich solche Funde gerade, und was bedeutet das für Sie als IT-Führungskraft?
Die neue Patch-Realität
Microsofts bisheriges Rekordjahr war 2020 mit 1.250 ausgelieferten Patches. In den ersten neun Monaten von 2026 sind es bereits 2.760. Mehr als das Doppelte des Rekords, und das Jahr läuft noch.
Der Grund liegt auf der Hand: LLMs sind inzwischen erschreckend gut darin, Lücken in Code zu finden. Was früher Spezialistenwissen war, erledigen seit diesem Sommer Tausende von Agenten nebenbei, quer durch unseren gesamten Software-Stack.
Wir haben unsere Prozesse auf einen ziemlich wackeligen Stapel Software gebaut. Das berühmte XKCD-Bild, moderne Infrastruktur, die an einem Projekt hängt, das irgendwer in Nebraska nebenbei pflegt, trifft es perfekt. Wer weiß, hinter welchen Open-Source-Frameworks wie wenig Menschen stehen, dem wird angst und bange.
In den nächsten zwölf Monaten wird eine Woche wie die letzte eher Standard als Ausnahme. Nginx hatte vor zwei Wochen ein Riesenproblem. Kollabierende Windows-Kernel, explodierende Linux-Systeme, Lücken in Webservern, das kommt. Eher einmal pro Monat als einmal im Jahr.
Raus aus dem Papierordner
Viele Patch-Prozesse wurden irgendwann aus BSI 100-1 kopiert, dem Security-Verantwortlichen in die Hand gedrückt, in der Hoffnung, dass nie jemand nachfragt. Das ging gut, solange der große GAU einmal im Quartal kam. Diese Zeit ist vorbei.
Zwei Dinge müssen jetzt passieren:
- Scores ernst nehmen: CVSS ansehen, prüfen, ob und wo die Software bei Ihnen läuft, individuellen Score bilden, handeln. Das haben viele im Griff.
- Entscheidungen vorwegnehmen: Wer darf bei Ihnen den Webshop abschalten? Freitag, 18 Uhr, die Geschäftsführung ist nicht erreichbar. Und jetzt?
Der zweite Punkt ist der neue. Ein System abzuschalten ist eine legitime Lösung, aber nur, wenn vorher feststeht, wer das unter welchen Umständen entscheiden darf und wer wem wann Bescheid sagt. Sonst macht Ihre IT bei jedem Alarm das Headless Chicken 🐔, zwanzig eingeplante Leute starren auf Ticker, und einmal pro Woche brennt die Luft.
Das Was-Passiert-Dann-Spiel
Spielen Sie es durch. PHP ist kaputt, also Frontend-Server runter. Was heißt das? Niemand sieht mehr, wie großartig Ihre Firma ist. Zehn Hits pro Tag? Verkraftbar. Bei Amazon sah die Rechnung vermutlich anders aus.
Oder denken wir das Armageddon: Microsoft schaltet Office 365 ab, wegen Angriff, Fehlkonfiguration oder politischer Laune. Exchange weg, Teams weg. Wie kommunizieren Sie dann noch mitenander? Malen Sie diesen roten Slide, diskutieren Sie ihn mit der Geschäftsführung und legen Sie ihn griffbereit ab.
Jetzt, nicht nächsten Monat
Meine klare Ansage: Mehr Angriffe draußen bedeuten nicht automatisch mehr FTEs drinnen. Zuerst gehören die Prozesse ins Leben, dann reden wir über Personal. Und der Verkaufsmoment ist jetzt. Gehen Sie mit den Tickermeldungen unterm Arm zur Geschäftsführung, aktuell hört man Ihnen zu. Warten Sie eine Woche, ist das Eisen kalt.
Bleiben Sie in Führung
Ihr Olaf Kapinski 🙂