Viele kleine Betriebe kümmern sich um Updates nach dem Motto „einmal im Monat schauen wir mal drüber“. Lange ging das einigermaßen gut. Die vergangenen Tage zeigen aber, dass dieser Rhythmus nicht mehr reicht. Innerhalb einer Woche wurden gleich mehrere kritische Sicherheitslücken bekannt, und einige davon werden bereits aktiv ausgenutzt. Wer erst Wochen später reagiert, lässt Angreifern viel zu viel Zeit.

In diesem Beitrag zeigen wir, was gerade passiert ist und warum das kein Zufall ist. Außerdem stellen wir einen einfachen Patch-Plan vor, den auch Betriebe ohne eigene IT-Abteilung umsetzen können.

Rückblick: PHP2Shell

Am 21. Oktober 2026 mussten zahlreiche Websites in Deutschland vorübergehend vom Netz. Der Grund waren zwei kritische Lücken in PHP, der Programmiersprache hinter einem großen Teil aller Websites und Shops. Was dahintersteckt und was Sie prüfen sollten, haben wir ausführlich in unserem Beitrag PHP2Shell: Warum Patchen ab jetzt Pflicht ist beschrieben. PHP2Shell blieb aber nicht die einzige schwere Lücke dieser Tage.

Broccoli2Shell: Die Lücke im Brotli-Decoder

Brotli ist ein von Google entwickeltes Verfahren, mit dem Daten komprimiert werden, damit Websites und Anwendungen schneller laden. Im Decoder, also dem Teil, der die Daten wieder entpackt, steckt eine kritische Lücke. Sie wurde zunächst in Node.js bekannt und deshalb „node2shell“ genannt. Inzwischen ist klar, dass der Fehler in der Brotli-Bibliothek selbst steckt. Seitdem heißt sie „Broccoli2Shell“.

Was Angreifer tun können: Laut heise können Angreifer ohne Anmeldung mit präparierten Daten Speicherbereiche auslesen, Systeme lahmlegen oder sogar Schadcode einschleusen. Die Lücke (CVE-2026-111497) ist mit 9,2 von 10 Punkten als kritisch eingestuft.
Wer betroffen ist: Betroffen sind die Brotli-Versionen 1.0.3 bis 1.2.0 auf allen Plattformen. Das trifft unter anderem Node.js, Bun und Python, außerdem .NET und Software, die Brotli über Erweiterungen einbindet, etwa PHP- oder Ruby-Erweiterungen.
Wer nicht betroffen ist: Leichte Entwarnung gibt es für die Webserver Apache und Nginx. Sie dekodieren in ihrer Standardkonfiguration kein Brotli.
Die Updates: Fehlerbereinigt sind laut heise die Brotli-Versionen 1.0.10, 1.1.1 und 1.2.1 sowie die Node.js-Versionen 26.12.1, 24.22.1 und 22.23.4. Für Python stehen aktualisierte Bibliotheken bereit, Microsoft verteilt seit dem 25. Oktober Updates für .NET.

Was kleine Betriebe jetzt tun sollten

Anwendungen prüfen: Klären Sie, ob bei Ihnen Anwendungen auf Basis von Node.js oder Python laufen, etwa ein Kundenportal, ein Buchungssystem oder ein interner Webdienst.
Nachfragen: Fragen Sie Ihren Hoster oder Dienstleister konkret, ob Ihre Systeme betroffen sind und ob die Updates bereits eingespielt wurden.
Updates einspielen: Wer eigene Server betreibt, sollte die korrigierten Versionen zügig installieren.

Praxistipp: Eine klassische Website, die nur über Apache oder Nginx ausgeliefert wird, ist in der Standardkonfiguration nicht betroffen. Läuft dahinter aber eine Anwendung mit Node.js oder Python, muss diese geprüft werden.

Weitere Lücken: Nextcloud und Python

Angriffe auf Nextcloud-Server

Wer Nextcloud mit dem eingebauten Office-Server von Collabora nutzt, sollte jetzt genau hinschauen. Laut heise warnt die US-Cybersicherheitsbehörde CISA vor aktiven Angriffen auf diese Kombination. Angreifer können ohne Anmeldung Befehle auf dem Server ausführen (CVE-2026-110447, ebenfalls 9,2 Punkte).

Webshells gefunden: Betroffene berichten, dass auf ihren Nextcloud-Servern Webshells installiert wurden, also versteckte Hintertüren. Erste Berichte reichen bis zum 11. September zurück.
Nur das Update hilft: Das Deaktivieren der App schützt nicht. Nötig ist das Update auf Version 26.4.303 oder neuer. Eigenständige Collabora-Server sind nicht betroffen.
Alte Nextcloud-Versionen: Die korrigierte App setzt Nextcloud 30 oder neuer voraus. Wer noch Version 29 oder älter nutzt, muss Nextcloud aktualisieren oder die App entfernen.

Praxistipp: Lassen Sie Ihre Nextcloud nach dem Update auch auf Einbruchsspuren prüfen. Ein Update schließt die Lücke, entfernt aber keine bereits installierte Hintertür.

Python-Update wegen gefälschter Zertifikate

Python hat am 25. Oktober außerplanmäßige Sicherheitsupdates veröffentlicht (3.15.2, 3.14.10, 3.13.18, 3.12.16 und 3.11.18). Hintergrund sind kompromittierte Schlüssel mehrerer Zwischenzertifikate des Anbieters eMudhra. Damit hätten Angreifer gültige Zertifikate für beliebige Domains ausstellen können (CVE-2026-115557, 9,4 Punkte). Das Python-Team rät dringend zum Update.

Warum das kein Zufall ist

Cloudflare-Chef Matthew Prince sieht in PHP2Shell und Broccoli2Shell nur den Anfang. Weil immer mehr Menschen mithilfe von KI nach Sicherheitslücken suchen, rechnet er mit „ein paar Jahren, in denen es sich jede Woche so anfühlen wird, als würde der Himmel einstürzen“. Auch andere Fachleute erwarten, dass die Zeit zwischen dem Entdecken einer Lücke und dem ersten Angriff immer kürzer wird.

Für kleine Betriebe heißt das: Sicherheitsupdates gehören nicht mehr in die monatliche Sammelwartung. Sie müssen innerhalb von Tagen eingespielt werden.

Der Patch-Plan für kleine Betriebe

1. Inventar anlegen

Sie können nur aktualisieren, was Sie kennen. Eine einfache Liste reicht:

Systeme: Website, Shop, Kundenportal, Cloud-Speicher wie Nextcloud, NAS, Router und Firewall.
Technik: Worauf läuft das System, zum Beispiel PHP, Node.js oder Python?
Betreuung: Wer ist zuständig, und wo wird es gehostet?

2. Zuständigkeit festlegen

Legen Sie fest, wer im Betrieb oder bei Ihrem Dienstleister für Updates verantwortlich ist. Benennen Sie auch eine Vertretung für Urlaub und Krankheit.

3. Warnungen im Blick behalten

Abonnieren Sie die Sicherheitswarnungen des BSI oder lassen Sie Ihren Dienstleister das übernehmen. So erfahren Sie frühzeitig, wenn eines Ihrer Systeme betroffen ist.

4. Feste Fristen setzen

Notfall-Updates: Kritische Lücken, die bereits ausgenutzt werden, innerhalb von 24 bis 72 Stunden schließen.
Reguläre Updates: Alle übrigen Aktualisierungen einmal pro Woche zu einem festen Termin einspielen.

5. Vorher sichern, danach kontrollieren

Vorher: Vor jedem größeren Update eine aktuelle Datensicherung anlegen, idealerweise nach der 3-2-1-Regel aus unserem Ratgeber IT-Sicherheit für kleine Betriebe: 7 Maßnahmen.
Danach: Prüfen, ob die neue Version wirklich läuft und ob Website, Formulare und Shop funktionieren.

6. Wann sich Managed Hosting oder ein Wartungsvertrag lohnt

Wenn niemand im Betrieb die Zeit oder das Fachwissen hat, innerhalb von 72 Stunden zu reagieren, ist ein Wartungsvertrag oder Managed Hosting meist die bessere Wahl. Dann kümmert sich ein Dienstleister um Updates, Sicherungen und Kontrollen, und Sie müssen nicht jede Warnmeldung selbst verfolgen.

Praxistipp: Lassen Sie sich im Vertrag zusichern, innerhalb welcher Frist kritische Sicherheitsupdates eingespielt werden.

Fazit: Tage statt Wochen

Die aktuellen Lücken zeigen, wie schnell sich die Lage geändert hat. Bei PHP2Shell begannen die Angriffsversuche laut Cloudflare sogar schon Stunden vor der Veröffentlichung der Details. Ein monatlicher Update-Termin reicht dafür nicht mehr aus. Mit einem festen Patch-Rhythmus, klaren Zuständigkeiten und Notfall-Fristen sind Sie dagegen gut aufgestellt, auch ohne eigene IT-Abteilung.

Sie möchten Ihre Updates in verlässliche Hände geben? Wir von xKMU digital solutions aus Weimar unterstützen kleine Betriebe bei Hosting, Websites und IT-Sicherheit, verständlich und ohne Fachchinesisch. Sprechen Sie uns an: Wir erstellen mit Ihnen ein Inventar Ihrer Systeme und sorgen dafür, dass Sicherheitsupdates schnell eingespielt werden.