Was kommt auf meinem eigenen Server an?
Letzte 7 Tage: vom 24.10.2026 bis heute, 7 Uhr, stündlich aktualisiert. Gilt für alle Zahlen und Grafiken dieser Seite. Länger als 90 Tage bewahre ich die Daten nicht auf.
Rund 3.400 Angriffsversuche in 7 Tagen. Auf einen einzigen kleinen Server.
Das ist der Server, auf dem diese Website läuft. Gezählt habe ich Anfragen, die meine Firewall gesperrt hat, und Aufrufe von Dateien, die es hier gar nicht gibt. Fast alles davon kommt von Programmen, die rund um die Uhr das ganze Internet abklappern. Niemand hat sich secureIT ausgesucht. Genau so trifft es jeden Betrieb mit Website, Router oder Mailserver, egal wie klein.
550
Versuche pro Tag im Schnitt350
verschiedene Absender66
Länder0,1 %
von bekannten Forschungs-ScannernZeitraum: letzte 7 Tage, vom 24.10.2026 bis 30.10.2026, 7 Uhr, wie oben gewählt.
PHP2Shell: Was davon auf meinem Server ankommt
PHP2Shell (CVE-2026-109618 und CVE-2026-109619) ist eine kritische Lücke in PHP, der Programmiersprache hinter rund drei Vierteln aller Websites, WordPress und viele Shops eingeschlossen. Bekannt seit dem 21. Oktober 2026, ausgenutzt schon vorher. Der Angreifer schickt einen präparierten Datei-Upload. PHP zerlegt ihn, bevor die eigentliche Website läuft, und dabei kann fremder Code auf den Server gelangen. Diese vier Zahlen zeigen, was davon bei mir ankommt, vom deutlichsten Anzeichen bis zum Grundrauschen.
8
Uploads auf Adressen ohne Upload-Funktion
Das deutlichste Zeichen für PHP2Shell. An diese Adressen schickt ein normaler Besucher nie eine Datei, weil die Seite dort gar keine annimmt. PHP verarbeitet einen Upload aber an jeder Adresse, bevor die eigentliche Seite überhaupt läuft. Genau in dieser Verarbeitung steckt die Lücke.
2
Manipulierte Uploads
Uploads, deren Aufbau absichtlich verbogen ist, etwa mit kaputten oder fehlenden Trennzeichen zwischen den Dateien. Die Firewall sperrt sie. PHP2Shell braucht genau solche verbogenen Uploads, um PHP beim Zerlegen aus dem Tritt zu bringen.
15
PHP-Schadcode und Systembefehle
Anfragen, in denen PHP-Code oder Befehle für den Server stecken. Gelingt ein Angriff wie PHP2Shell, soll genau dieser Code anschließend laufen.
rund 3.000
Suche nach PHP-Dateien
Kein PHP2Shell, sondern das Grundrauschen: Bots rufen PHP-Dateien auf, die es hier nicht gibt, vor allem Hintertüren und WordPress-Logins. Ein Teil davon sucht genau die Hintertüren, die nach einem gelungenen Einbruch wie PHP2Shell auf einem Server zurückbleiben.
Ob ein einzelner Treffer wirklich PHP2Shell war, lässt sich von außen nicht beweisen. Mein Server ist gepatcht.
Betreiben Sie PHP auf eigenen Servern? Die kritische Lücke PHP2Shell vom Oktober 2026 ist geschlossen ab PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Ältere Versionen sind angreifbar.
Zeitraum: letzte 7 Tage, vom 24.10.2026 bis 30.10.2026, 7 Uhr, wie oben gewählt. Uploads zähle ich erst seit dem 29.10.2026, davor stehen dort nur die Treffer der Firewall.
Was versucht wurde
- Suche nach Hintertüren rund 1.550
Aufrufe von Dateien mit typischen Namen von Webshells. Bots hoffen, auf eine Hintertür zu stoßen, die ein anderer Angreifer früher auf dem Server hinterlassen hat.
- WordPress-Angriffe rund 1.350
Anmeldeversuche mit geratenen Passwörtern und die Suche nach anfälligen Plugins. Mein Server läuft gar nicht mit WordPress, die Bots probieren es trotzdem.
- Suche nach Zugangsdaten rund 250
Versuche, Konfigurationsdateien mit Passwörtern und Schlüsseln abzurufen, die bei schlecht eingerichteten Websites offen liegen.
- Auffällige Bot-Anfragen rund 110
Anfragen, die gegen die Regeln des Webs verstoßen oder die typischen Merkmale einfacher Scan-Skripte tragen.
- Server ausforschen rund 70
Aufrufe von Test- und Statusseiten, um Software-Versionen zu erfahren und gezielt passende Lücken auszusuchen.
- Code einschleusen rund 40
Anfragen mit Schadcode: SQL-Befehle gegen die Datenbank, Shell-Befehle, Skripte oder manipulierte Uploads, die den Server dazu bringen sollen, fremden Code auszuführen.
- Lücken anderer Software rund 19
Bekannte Lücken in Programmen, Routern und Firewalls, die ich gar nicht einsetze. Scanner probieren sie blind auf jeder Adresse im Internet.
- Verwaltungs-Werkzeuge rund 8
Suche nach offen erreichbaren Datenbank- und Dateiverwaltungen.
- Sonstiges rund 7
Weitere gesperrte oder ins Leere laufende Anfragen ohne eindeutiges Muster.
Zeitraum: letzte 7 Tage, vom 24.10.2026 bis 30.10.2026, 7 Uhr, wie oben gewählt.
Jeden Tag, zu jeder Stunde
24.10.30.10.2026
Zeitraum: letzte 7 Tage, vom 24.10.2026 bis 30.10.2026, 7 Uhr, wie oben gewählt. Ein Balken je Tag, der von heute ist noch nicht vollständig.
0 Uhr12 Uhr23 Uhr
Zeitraum: letzte 7 Tage, vom 24.10.2026 bis 30.10.2026, 7 Uhr, wie oben gewählt. Je Stunde des Tages in deutscher Zeit, zusammengezählt über alle Tage.
Es gibt keine ruhige Stunde: Die Programme kennen weder Feierabend noch Wochenende.
Wo die absendenden Rechner stehen
Zeitraum: letzte 7 Tage, vom 24.10.2026 bis 30.10.2026, 7 Uhr, wie oben gewählt.
- Südkorearund 650
- Singapurrund 600
- Hongkongrund 600
- Australienrund 500
- Deutschlandrund 200
- Belgienrund 150
- USArund 80
- Frankreichrund 70
Das Land sagt, wo der Rechner steht, nicht wo der Mensch dahinter sitzt. Angreifer mieten Rechner in fremden Rechenzentren oder nutzen gekaperte Router und PCs. Vorsicht also bei Schlüssen wie „die Angriffe kommen aus Land X“.
Quelle: eigene Auswertung der Server-Logs von secureit.icu. Große Zahlen gerundet. Einzelne Adressen, Anfragen und Einstellungen der Firewall veröffentliche ich bewusst nicht. Länder: IP Geolocation by DB-IP (CC BY 4.0).