Das Nigeria Computer Emergency Response Team (ngCERT), die offizielle staatliche Cybersicherheitsbehörde des Landes, begegnete der größten Webserver-Krise seit Log4Shell — der Schwachstelle in der allgegenwärtigen Java-Logging-Bibliothek Log4j aus dem Jahr 2021, die Notfall-Patches im gesamten Internet erforderlich machte — mit einem kurzen „Patch Now!“-Post auf X. Am 21. Oktober 2026, als Notfallteams von Washington bis Tokio verwundbare öffentliche Systeme offline nahmen, stand die Empfehlung der Behörde in scharfem Kontrast zum Ausmaß einer Schwachstelle, die schätzungsweise 70 % der Websites weltweit bedroht.

Der Post, veröffentlicht unter https://x.com/ngCERTofficial/status/2112987792917840001?s=20, lautet: „PHP2SHELL ALERT! Two critical RCE flaws (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) affect every web server running PHP 5.4+. Both vulnerabilities are exploitable on the default PHP configuration & do not require authentication to trigger. Patch Now!“

Über den Aufruf zum Patchen hinaus enthielt die Empfehlung kein technisches Bulletin, keine Behebungsanweisungen und keine Durchsetzung der Compliance in Ministerien, Abteilungen und Behörden (MDAs) — eine Reaktion, die Kritiker als symbolisches Abhaken statt als Cybersicherheits-Governance bezeichnen.

Im Zentrum des Sturms stehen zwei kritische Schwachstellen zur Remote-Code-Ausführung in der PHP-Laufzeitumgebung, geführt als CVE-2026-109618 und CVE-2026-109619 und weithin als „PHP2Shell“ bekannt. Beide tragen eine CVSS-v4.0-Schweregradbewertung von 9.2 und betreffen jede PHP-Version von 5.4, veröffentlicht 2012, bis 8.5.11. Da sich die Fehler in den Speicheraufräum- und Fehlerbehandlungsroutinen von PHP befinden, kann ein nicht authentifizierter Angreifer einen internetzugänglichen Server mit Standardkonfiguration übernehmen, bevor der Anwendungscode oder die Sicherheits-Plugins einer Website überhaupt geladen werden. Gerade diese Platzierung in der gemeinsamen Laufzeitumgebung unterscheidet PHP2Shell von üblichen Plugin- oder Theme-Schwachstellen: Jede Website, die ein verwundbarer Server hostet, erbt die Gefährdung — unabhängig davon, wie sorgfältig ihr eigener Anwendungscode geschrieben wurde.

PHP2Shell entstand nicht im Vakuum. Er krönte einen unerbittlichen Oktober voller globaler Cyberangriffe, der zeigte, wie schnell Software von Drittanbietern und veraltete Infrastruktur gegen ihre Betreiber useden werden können. Anfang des Monats zeigten Forscher von Wiz und Calif, dass KI-Modelle an der Grenze der Leistungsfähigkeit Monate manueller Reverse komprimieren und die zehn Jahre alten PHP-Speicherfehler gegen Standard-WordPress-, Drupal- und Joomla-Setups waffenfähig machen können. Als die Embargofrist für die Offenlegung vorzeitig am 20. Oktober auslief, begannen Angreifer sofort, Millionen von Servern weltweit zu scannen, was die PHP Foundation zu überstürzten Notfall-Patches am 21. Oktober zwang, während der japanische Premierminister Organisationen öffentlich aufforderte, zu aktualisieren oder ihre Websites offline zu nehmen. Später wurde bekannt, dass die Ausnutzung bereits am 17. Oktober begonnen hatte — Tage vor dem Leak.

Das Chaos fiel mit drei weiteren globalen Schockwellen im Oktober 2026 zusammen. In Japan lähmte ein Ransomware-Angriff auf den Cloud-Anbieter IDC Frontier 495 Unternehmen und Kommunalverwaltungen und legte allein beim Eisenbahnunternehmen JR East 6,09 Millionen Kundendatensätze offen. Unabhängig davon deckten Threat Hunter von Huntress eine Kompromittierung der Lieferkette im Zusammenhang mit ConnectWises SkyKick Cloud Backup Identitäten auf, die Angreifern ermöglichte, die Multi-Faktor-Authentifizierung von Mitarbeitern zu umgehen und in 162 Microsoft-365-Unternehmensumgebungen einzudringen. In Frankreich kaperten Angreifer am 11. und 12. Oktober Betriebstechnik, die Kühlsysteme in hunderten Supermärkten steuerte, trieben die Temperaturen auf 50 °C und zwangen Händler, Tonnen verdorbener Lebensmittel zu entsorgen.

Die Geschwindigkeit der PHP2Shell-Offenlegungen erzwang zudem weitreichende Notabschaltungen im globalen Transport- und öffentlichen Sektor, mit kritischen Ausfällen in Luftfahrt, Bankwesen und Schienennetzen von Tokio bis Helsinki. Im Vereinigten Königreich gab das National Cyber Security Centre (NCSC) während der Krise dringende Warnungen heraus, und die Behörden ergriffen vorsorgliche Maßnahmen, die 32 Regierungsdienste vorübergehend offline nahmen und vier weitere teilweise einschränkten, während Notfall-Patches und Gegenmaßnahmen umgesetzt wurden.

In der Region wurde Südafrikas Ampath Laboratories von der Ransomware-Gruppe BytetoBreach getroffen, die angab, 80 Millionen Patientendatensätze exfiltriert zu haben.

Vor diesem globalen Hintergrund ist der Kontrast zwischen Nigerias Haltung und der seiner regionalen Nachbarn offensichtlich. Laut der National Information Technology Development Agency (NITDA) verliert Nigeria bereits mindestens 500 Millionen US-Dollar jährlich durch Cyberkriminalität, und staatliche Portale, darunter die der Corporate Affairs Commission und der Independent National Electoral Commission (INEC), sahen sich wiederholt öffentlichen Vorwürfen von Datenpannen ausgesetzt. Dennoch behandelte das ngCERT eine aktive Bedrohung durch nicht authentifizierte Serverübernahmen wie eine routinemäßige PR-Ankündigung. Ein Social-Media-Post hat keinerlei rechtliche Wirkung: Er setzt keine Fristen für IT-Direktoren des Bundes oder der Bundesstaaten, liefert keine kompensierenden Konfigurationsregeln für veraltete Server und fordert keine Rechenschaft von den lokalen Webhosting-Firmen, die Tausende nigerianischer Klein- und Mittelbetriebe betreiben.

Kenia handelte anders. Am 21. Oktober erließ das State Department for ICT and the Digital Economy des Landes gemeinsam mit der ICT Authority eine formelle, verbindliche Direktive an alle Regierungsstellen. Nairobi forderte die Behörden nicht nur zum Patchen auf: Es ordnete an, dass die MDAs Cloud- und gehostete Anwendungen von Drittanbietern prüfen, externen Zugriff einschränken oder nicht patchbare Portale sofort abschalten und jede Sanierungsmaßnahme zur Überprüfung durch die ICT Authority dokumentieren.

Ghana entsprach diesem Ernst mit einer strikten-Frist. Am 22. Oktober wiesen die Cyber Security Authority (CSA) und die National Information Technology Agency (NITA) gemeinsam alle öffentlichen Institutionen an, PHP-Deployments zu erfassen, die Notfall-Updates zu installieren und innerhalb von sieben Tagen formelle Sanierungsberichte einzureichen. Südafrika hingegen stolperte ebenfalls und unterließ es, trotz Tausender exponierter lokaler Server eine prominente nationale CERT-Direktive herauszugeben. Kenia und Ghana zeigten, dass wirksame Cyberverteidigung durchsetzbare Fristen und Anbieteraufsicht erfordert, nicht Social-Media-Slogans. Die nächsten Prüfpunkte sind eindeutig: ob das ngCERT seinem einzelnen X-Post ein technisches Bulletin mit durchsetzbaren Fristen folgen lässt, und was Ghanas Sieben-Tage-Sanierungsberichte über die PHP-Gefährdung in öffentlichen Institutionen verraten.

Wenn die regulatorische Durchsetzung hinterherhinkt, tragen lokale Technikteams und gewöhnliche Nutzer die Last der Selbstverteidigung. Gestützt auf die technischen Leitlinien der PHP Group, Qualys, Armis und Google Cloud, sollten nigerianische Unternehmen und Bürger Folgendes sofort tun:

Für Unternehmen und Systemadministratoren

• Unterstützte Laufzeitumgebungen sofort patchen: Alle PHP-8.2+-Umgebungen auf die gepatchten Versionen (8.5.12, 8.4.27, 8.3.36 oder 8.2.35) aktualisieren und den PHP-FPM- oder Apache-Dienst neu starten, damit die neuen Binärdateien im Speicher wirksam werden.
• Das End-of-Life-Blindfeld schließen: Offizielle Patches decken PHP 8.1, 8.0 oder 7.x nicht ab, da diese das Lebenszyklusende erreicht haben. Unternehmen, die auf veralteten cPanel-Hosting-Umgebungen festhängen, müssen entweder sofort auf PHP 8.2+ migrieren oder auf gehärtete Linux-Distribution-Backports und Container-Images umsteigen. Das alleinige Aktualisieren von WordPress-Themes oder -Plugins stoppt diesen Exploit nicht.
• Konfigurationsebene als Gegenmaßnahme nutzen: Wo sofortiges Patchen unmöglich ist, empfehlen Qualys und Armis, den integrierten Upload-Progress-Tracker von PHP zu deaktivieren — was einen primären Exploit-Pfad entfernt, ohne die Website-Funktionalität zu beeinträchtigen — sowie strenge Limits für die Request-Body-Größe und Datei-Upload-Regeln auf Web Application Firewalls (WAFs) wie Cloudflare oder Google Cloud Armour durchzusetzen.
• Serverprotokolle und API-Schlüssel prüfen: Da die Ausnutzung bereits am 17. Oktober begann, müssen Teams Webserver-Protokolle auf abnormale Out-of-Memory-Abstürze untersuchen und Datenbank-Zugangsdaten sowie Gateway-Schlüssel (etwa Paystack-, Flutterwave- oder Monnify-Webhooks), die auf internetzugänglichen PHP-Servern gespeichert sind, rotieren.

Für Privatpersonen und alltägliche Nutzer

Ein kompromittiertes E-Commerce- oder Regierungsportal mit ungepatchtem PHP ermöglicht Angreifern, Passwörter im Klartext während der Eingabe abzufangen. Verwenden Sie das Passwort Ihrer E-Mail- oder Banking-App niemals auch für lokale Shopping-Seiten, Schulportale oder staatliche Register.

Da Serverübernahmen es Angreifern erlauben, Kassenseiten unbemerkt zu manipulieren, vermeiden Sie es, die Daten Ihrer Haupt-Debitkarte auf kleinen Händler-Websites zu speichern. Nutzen Sie Einweg-Virtaulkarten oder Zahlung-beim-Checkout-Optionen mit strengen täglichen Ausgabenlimits.

Wenn Angreifer den Webserver eines legitimen Unternehmens oder einer Regierung übernehmen, können sie Phishing-E-Mails von authentischen Domainnamen versenden. Prüfen Sie jede dringende Zahlungsaufforderung, Steuermitteilung oder BVN/NIN-Update-Aufforderung über einen unabhängigen Kanal, bevor Sie auf Links klicken.

Verwandte Lektüre: Nigerias geheime Einigung mit Meta zeigt ein Datenschutzreg mit auffälligem Doppelstandard

Cybersicherheit im KI-Zeitalter lässt keinen Raum für passive Bürokratie. Solange Abuja das symbolische Abhaken nicht durch geprüfte Compliance-Vorgaben in öffentlicher und privater Infrastruktur ersetzt, werden nigerianische Unternehmen und Bürger ihre eigenen Ersthelfer sein müssen.