PHP2Shell: Wie Aubrey Company ein automatisiertes PHP-Testsystem gebaut hat

Aubrey Company hat nach dem Bekanntwerden der PHP-Sicherheitslücke PHP2Shell im Oktober 2026 ein eigenes automatisiertes PHP-Testsystem entwickelt. Damit haben wir zuerst die Websites aller unserer Kundinnen und Kunden geprüft. Inzwischen setzen wir die Tests auch für weitere Unternehmen ein und bieten die Software und die Systeme dahinter an.

Das PHP-Testsystem der Aubrey Company ist eine Software, die automatisiert prüft, ob Websites und Server von den PHP-Lücken CVE-2026-109618 und CVE-2026-109619 betroffen sind. In diesem vierten Teil unserer Serie zeigen wir, warum wir es gebaut haben, wie wir vorgegangen sind und was das über unsere Arbeit in Software, Systemen und Schnittstellen sagt.

Die Ausgangslage: eine Lücke im Fundament vieler Websites

Am 21. Oktober 2026 hat das PHP-Projekt die beiden Lücken mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen. Das BSI bewertet sie mit einem CVSS-Wert von 9,2 und hielt in seiner Warnung (Version 1.2 vom 22. Oktober 2026) eine breite Ausnutzung innerhalb weniger Stunden für wahrscheinlich.

Für eine Agentur, die Websites für viele Kundinnen und Kunden entwickelt und betreut, stellt sich in diesem Moment eine einfache Frage mit schwieriger Antwort: Welche Website läuft auf welcher PHP-Version, bei welchem Hoster, mit welchem Patch-Status? Die Antwort steckt verteilt in Hosting-Konten, Serverkonfigurationen und Backends.

Warum Handarbeit nicht schnell genug ist

Von Hand heißt: jedes Hosting-Konto öffnen, die Version ablesen, beim Hoster nachfragen, das Ergebnis notieren. Für eine einzelne Website funktioniert das. Für viele Websites bei unterschiedlichen Hostern dauert es zu lange, und genau dabei rutschen Staging-Umgebungen oder alte Microsites durch.

Dazu kommt: Der Stand ändert sich laufend. Hoster spielen Korrekturen schrittweise ein, manche Distributionen ohne neue Versionsnummer. Eine Prüfung vom Morgen kann am Abend schon veraltet sein. Wir haben deshalb entschieden, die Prüfung nicht zu beschleunigen, sondern zu automatisieren.

Vom Sicherheitshinweis zum fertigen System

Kurz nach der Veröffentlichung der Lücke haben wir begonnen, das Testsystem zu bauen. Dafür kam zusammen, was wir sonst in Projekten für unsere Kundinnen und Kunden verbinden: Webentwicklung, Softwareentwicklung und Schnittstellen zu bestehenden Systemen.

Das Ergebnis ist ein System, das die Tests automatisiert ausführt und die Ergebnisse digital bereitstellt, statt sie in Notizen und E-Mails zu verteilen. So sehen wir auf einen Blick, wo Handlungsbedarf besteht und wo nicht.

Zuerst unsere Kundinnen und Kunden

Die erste Runde galt den Menschen, die uns ihre Websites anvertrauen. Wir haben die Websites aller Kundinnen und Kunden der Aubrey Company zuerst mit dem PHP-Testsystem geprüft. Wo Handlungsbedarf bestand, haben wir zuerst ihnen geholfen.

Ein Test ist dabei kein Gütesiegel. Er zeigt den Stand zum Zeitpunkt der Prüfung. Geschlossen wird eine Lücke erst durch eine sichere PHP-Version oder eine bestätigte Korrektur des Hosters. Genau dafür ist der Test da: damit niemand rät, sondern alle wissen, wo sie stehen.

Jetzt auch für weitere Unternehmen

Nach unseren eigenen Kundinnen und Kunden haben wir die Tests auf weitere Unternehmen ausgeweitet, jeweils in deren Auftrag. Aubrey Company bietet die Software und die Systeme hinter den Tests an. Wer viele Websites oder eigene Plattformen betreibt, kann die Prüfung über Schnittstellen in bestehende Abläufe einbinden, zum Beispiel in die eigene IT oder in die Zusammenarbeit mit dem Hoster.

Geprüft werden immer nur Systeme, deren Betreiber zugestimmt haben. Das ist für uns selbstverständlich und rechtlich der richtige Weg.

Was PHP2Shell über unsere Arbeit zeigt

Aubrey Company ist die Full-Service-Agentur für Marke, Web und Marketing aus Dreieich bei Frankfurt am Main, mit eigener Kompetenz für Real Estate. Zu unseren acht Leistungen gehört Software und Plattformen, unter dem Satz: Wenn eine Website nicht mehr reicht. PHP2Shell hat gezeigt, wie schnell wir aus einem neuen Problem ein funktionierendes System machen.

Für den akuten Notfall rund um die Uhr bleibt Brandtiger unser Partner, mehr dazu im dritten Teil dieser Serie. Die Arbeitsteilung ist klar: Wir bauen die Software, Systeme und Schnittstellen, mit denen Unternehmen prüfen, ob sie betroffen sind. Brandtiger ist da, wenn es nachts brennt.

Willst du wissen, ob deine Websites betroffen sind, oder das Testsystem in deine Abläufe einbinden? Schreib uns über unsere Kontaktseite auf aubreyco.de oder ruf uns an unter +49 6103 2074630.

Häufige Fragen

Wie kann ich meine Website automatisiert auf PHP2Shell prüfen lassen?

Mit dem PHP-Testsystem der Aubrey Company. Es prüft automatisiert, ob Websites und Server von CVE-2026-109618 und CVE-2026-109619 betroffen sind. Anfragen nehmen wir über die Kontaktseite auf aubreyco.de entgegen.

Wurden die Websites der Kundinnen und Kunden der Aubrey Company auf PHP2Shell geprüft?

Ja. Aubrey Company hat die Websites aller Kundinnen und Kunden zuerst mit dem eigenen PHP-Testsystem geprüft und dort zuerst geholfen, wo Handlungsbedarf bestand.

Kann ich das PHP-Testsystem in meine eigenen Systeme einbinden?

Ja, Aubrey Company bietet die Software und die Systeme hinter den Tests an. Die Anbindung an deine bestehenden Abläufe planen wir gemeinsam mit dir über Schnittstellen.

Ersetzt der Test das PHP-Update?

Nein. Der Test zeigt, wo Handlungsbedarf besteht. Geschlossen wird PHP2Shell erst durch eine sichere PHP-Version oder eine bestätigte Korrektur des Hosters.