PHP2Shell: AmtsWerk und AmtsChat sind nicht betroffen

Was ist passiert?

PHP ist eine Programmiersprache, mit der ein großer Teil aller Websites betrieben wird, darunter viele Content-Management-Systeme wie WordPress, TYPO3 oder Joomla und Anwendungen wie Nextcloud. In der PHP-Laufzeitumgebung wurden zwei Schwachstellen gefunden (CVE-2026-109618 und CVE-2026-109619), die in Fachkreisen „PHP2Shell“ genannt werden.

Über diese Lücken können Angreifer aus dem Internet eigenen Programmcode auf einem Webserver ausführen, ohne sich anzumelden. Das BSI stuft die Lage mit der zweithöchsten Warnstufe (3 / Orange) ein und rechnet mit Angriffen kurz nach Veröffentlichung der Details. Die PHP-Entwickler haben am selben Tag Sicherheitsupdates bereitgestellt.

Wichtig für das Verständnis: Die Lücke steckt in PHP selbst. Gefährdet ist jeder Server, auf dem PHP Anfragen aus dem Internet verarbeitet. Ein Server ohne PHP ist dagegen nicht betroffen.

Warum AmtsWerk und AmtsChat nicht betroffen sind

Unsere Plattformen sind auf einer modernen Technik aufgebaut, in der PHP an keiner Stelle vorkommt. Das haben wir am 22. Oktober 2026 anhand der BSI-Warnung systematisch geprüft.

Eine Anfrage aus Ihrer Verwaltung nimmt bei uns diesen Weg:

1.       Sie läuft zuerst durch Cloudflare, einen Schutzdienst mit Firewall, der bekannte Angriffsmuster bereits vorab blockiert. Die Auslieferung erfolgt über das Rechenzentrum in Frankfurt.

2.       Die Oberfläche von AmtsWerk und AmtsChat ist eine Webanwendung in JavaScript bzw. TypeScript (React).

3.       Datenbank, Anmeldung und Schnittstellen laufen auf Supabase. Dessen Bausteine sind in den Sprachen Go, Haskell, Elixir und TypeScript geschrieben, die Datenbank ist PostgreSQL.

4.       Die Anmeldung bei AmtsChat erfolgt über Microsoft Entra ID, also über das Konto, das Ihre Verwaltung ohnehin nutzt.

In keinem dieser Schritte wird PHP ausgeführt. Unsere Testaufrufe typischer PHP-Adressen hat die Anwendung selbst beantwortet, ohne dass ein PHP-Interpreter dahinter liegt. Auch die Server, auf denen die KI-Sprachmodelle von AmtsChat in Deutschland laufen, haben wir in die Prüfung einbezogen.

Was wir trotzdem tun

Auch wenn unsere Plattformen nicht betroffen sind, nehmen wir die Warnung ernst. Wir verfolgen die Meldungen des BSI und die Liste betroffener Produkte, die das niederländische NCSC führt. Mit unseren technischen Dienstleistern stehen wir in Kontakt und lassen uns deren Stand bestätigen. Unsere Prüfung ist schriftlich dokumentiert; auf Wunsch stellen wir Ihnen die Stellungnahme für Ihre Unterlagen zur Verfügung, etwa für Ihren Informationssicherheitsbeauftragten.

Was Sie bei Ihren eigenen Systemen prüfen sollten

Außerhalb von AmtsWerk und AmtsChat kann Ihre Verwaltung durchaus PHP einsetzen, oft ohne es zu wissen. Typische Kandidaten sind:

•         die Website der Gemeinde, häufig mit TYPO3, WordPress, Joomla oder Drupal

•         Dateiablagen und Kollaborationsdienste wie Nextcloud

•         Firewalls und Router mit Weboberfläche, etwa pfSense oder OPNsense

•         Webmail-Zugänge, Bürgerportale und ältere Fachanwendungen mit Webzugang

Fragen Sie Ihren IT-Dienstleister oder Ihr Rechenzentrum, ob diese Systeme die Sicherheitsupdates bereits erhalten haben. Das BSI empfiehlt, nicht aktualisierte Server bis zum Update vom Internet zu trennen. Ein Update der jeweiligen Anwendung allein reicht nicht; die PHP-Version auf dem Server muss ebenfalls aktualisiert werden.

Fragen?

Wenn Sie Fragen zu dieser Sicherheitswarnung oder zum Schutz Ihrer Daten bei uns haben, schreiben Sie uns an service@amtswerk.de oder vereinbaren Sie einen Termin. Wir melden uns zeitnah.

Weiterführende Informationen: Sicherheitshinweis des BSI und Meldungen des CERT-Bund · PHP Security Advisory