Was kommt auf meinem eigenen Server an?
Letzte 30 Tage: vom 01.10.2026 bis heute, 8 Uhr, stündlich aktualisiert. Gilt für alle Zahlen und Grafiken dieser Seite. Länger als 90 Tage bewahre ich die Daten nicht auf.
Rund 22.000 Angriffsversuche in 30 Tagen. Auf einen einzigen kleinen Server.
Das ist der Server, auf dem diese Website läuft. Gezählt habe ich Anfragen, die meine Firewall gesperrt hat, und Aufrufe von Dateien, die es hier gar nicht gibt. Fast alles davon kommt von Programmen, die rund um die Uhr das ganze Internet abklappern. Niemand hat sich secureIT ausgesucht. Genau so trifft es jeden Betrieb mit Website, Router oder Mailserver, egal wie klein.
750
Versuche pro Tag im Schnitt1.050
verschiedene Absender106
Länderunter 0,1 %
von bekannten Forschungs-ScannernZeitraum: letzte 30 Tage, vom 01.10.2026 bis 30.10.2026, 8 Uhr, wie oben gewählt.
PHP2Shell: Was davon auf meinem Server ankommt
PHP2Shell (CVE-2026-109618 und CVE-2026-109619) ist eine kritische Lücke in PHP, der Programmiersprache hinter rund drei Vierteln aller Websites, WordPress und viele Shops eingeschlossen. Bekannt seit dem 21. Oktober 2026, ausgenutzt schon vorher. Der Angreifer schickt einen präparierten Datei-Upload. PHP zerlegt ihn, bevor die eigentliche Website läuft, und dabei kann fremder Code auf den Server gelangen. Diese vier Zahlen zeigen, was davon bei mir ankommt, vom deutlichsten Anzeichen bis zum Grundrauschen.
8
Uploads auf Adressen ohne Upload-Funktion
Das deutlichste Zeichen für PHP2Shell. An diese Adressen schickt ein normaler Besucher nie eine Datei, weil die Seite dort gar keine annimmt. PHP verarbeitet einen Upload aber an jeder Adresse, bevor die eigentliche Seite überhaupt läuft. Genau in dieser Verarbeitung steckt die Lücke.
2
Manipulierte Uploads
Uploads, deren Aufbau absichtlich verbogen ist, etwa mit kaputten oder fehlenden Trennzeichen zwischen den Dateien. Die Firewall sperrt sie. PHP2Shell braucht genau solche verbogenen Uploads, um PHP beim Zerlegen aus dem Tritt zu bringen.
15
PHP-Schadcode und Systembefehle
Anfragen, in denen PHP-Code oder Befehle für den Server stecken. Gelingt ein Angriff wie PHP2Shell, soll genau dieser Code anschließend laufen.
rund 21.000
Suche nach PHP-Dateien
Kein PHP2Shell, sondern das Grundrauschen: Bots rufen PHP-Dateien auf, die es hier nicht gibt, vor allem Hintertüren und WordPress-Logins. Ein Teil davon sucht genau die Hintertüren, die nach einem gelungenen Einbruch wie PHP2Shell auf einem Server zurückbleiben.
Ob ein einzelner Treffer wirklich PHP2Shell war, lässt sich von außen nicht beweisen. Mein Server ist gepatcht.
Betreiben Sie PHP auf eigenen Servern? Die kritische Lücke PHP2Shell vom Oktober 2026 ist geschlossen ab PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Ältere Versionen sind angreifbar.
Zeitraum: letzte 30 Tage, vom 01.10.2026 bis 30.10.2026, 8 Uhr, wie oben gewählt. Uploads zähle ich erst seit dem 29.10.2026, davor stehen dort nur die Treffer der Firewall.
Was versucht wurde
- Suche nach Hintertüren rund 14.300
Aufrufe von Dateien mit typischen Namen von Webshells. Bots hoffen, auf eine Hintertür zu stoßen, die ein anderer Angreifer früher auf dem Server hinterlassen hat.
- WordPress-Angriffe rund 5.800
Anmeldeversuche mit geratenen Passwörtern und die Suche nach anfälligen Plugins. Mein Server läuft gar nicht mit WordPress, die Bots probieren es trotzdem.
- Suche nach Zugangsdaten rund 1.300
Versuche, Konfigurationsdateien mit Passwörtern und Schlüsseln abzurufen, die bei schlecht eingerichteten Websites offen liegen.
- Server ausforschen rund 300
Aufrufe von Test- und Statusseiten, um Software-Versionen zu erfahren und gezielt passende Lücken auszusuchen.
- Lücken anderer Software rund 130
Bekannte Lücken in Programmen, Routern und Firewalls, die ich gar nicht einsetze. Scanner probieren sie blind auf jeder Adresse im Internet.
- Auffällige Bot-Anfragen rund 110
Anfragen, die gegen die Regeln des Webs verstoßen oder die typischen Merkmale einfacher Scan-Skripte tragen.
- Verwaltungs-Werkzeuge rund 60
Suche nach offen erreichbaren Datenbank- und Dateiverwaltungen.
- Code einschleusen rund 40
Anfragen mit Schadcode: SQL-Befehle gegen die Datenbank, Shell-Befehle, Skripte oder manipulierte Uploads, die den Server dazu bringen sollen, fremden Code auszuführen.
- Sonstiges rund 40
Weitere gesperrte oder ins Leere laufende Anfragen ohne eindeutiges Muster.
Zeitraum: letzte 30 Tage, vom 01.10.2026 bis 30.10.2026, 8 Uhr, wie oben gewählt.
Jeden Tag, zu jeder Stunde
01.10.30.10.2026
Zeitraum: letzte 30 Tage, vom 01.10.2026 bis 30.10.2026, 8 Uhr, wie oben gewählt. Ein Balken je Tag, der von heute ist noch nicht vollständig.
0 Uhr12 Uhr23 Uhr
Zeitraum: letzte 30 Tage, vom 01.10.2026 bis 30.10.2026, 8 Uhr, wie oben gewählt. Je Stunde des Tages in deutscher Zeit, zusammengezählt über alle Tage.
Es gibt keine ruhige Stunde: Die Programme kennen weder Feierabend noch Wochenende.
Wo die absendenden Rechner stehen
Zeitraum: letzte 30 Tage, vom 01.10.2026 bis 30.10.2026, 8 Uhr, wie oben gewählt.
- Südkorearund 5.900
- Australienrund 5.100
- Indienrund 3.400
- Japanrund 2.000
- Hongkongrund 1.400
- Singapurrund 750
- Deutschlandrund 650
- Belgienrund 650
Das Land sagt, wo der Rechner steht, nicht wo der Mensch dahinter sitzt. Angreifer mieten Rechner in fremden Rechenzentren oder nutzen gekaperte Router und PCs. Vorsicht also bei Schlüssen wie „die Angriffe kommen aus Land X“.
Quelle: eigene Auswertung der Server-Logs von secureit.icu. Große Zahlen gerundet. Einzelne Adressen, Anfragen und Einstellungen der Firewall veröffentliche ich bewusst nicht. Länder: IP Geolocation by DB-IP (CC BY 4.0).