PHP2Shell: Kritische PHP-Lücke – was Praxen und Unternehmen jetzt tun sollten

VonMeins-IT

Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht: CVE-2026-109618 und CVE-2026-109619, zusammen „PHP2Shell“ genannt (CVSS 9.2 von 10). Über sie kann ein Angreifer ohne Anmeldung eigenen Code auf einem Webserver ausführen. Eine einzige präparierte Anfrage genügt, und der Angriff greift im PHP-Interpreter selbst, noch bevor die eigentliche Anwendung startet.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die Lage mit Warnstufe 3 / Orange („außerordentlich hoch“). Details zu den Lücken waren bereits vor dem Patch an die Öffentlichkeit gelangt, erste Angriffe wurden schon vor der Veröffentlichung der Updates beobachtet. Mehrere Behörden, Kommunen und Kliniken haben ihre Websites vorsorglich vom Netz genommen.

Wer ist betroffen?

PHP ist die Grundlage für einen großen Teil aller Webanwendungen. Betroffen ist grundsätzlich alles, was PHP nutzt und aus dem Internet erreichbar ist:

  • Websites und Shops, zum Beispiel mit WordPress, Joomla, TYPO3, Shopware oder Magento
  • Cloud- und Dateiablagen wie Nextcloud, Intranets und Kundenportale
  • Online-Terminbuchung, Formulare und Webportale, die auf eigenen Servern laufen
  • Geräte und Software mit Weboberfläche, die PHP mitbringen, etwa Appliances oder Hosting-Panels

Verwundbar sind alle PHP-Versionen vor 8.5.12, 8.4.27, 8.3.36 und 8.2.35, unabhängig von der Betriebsart (Apache mit mod_php mit dem höchsten Risiko, aber auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed). PHP 8.1 und älter erhalten vom PHP-Projekt keine regulären Updates mehr.

Was Sie jetzt tun sollten

Ihre Website liegt bei einem Hoster oder einer Agentur

Fragen Sie nach, ob PHP bereits aktualisiert wurde. Bei WordPress können Sie die Version selbst prüfen: unter Werkzeuge → Website-Zustand → Bericht → Server → PHP-Version. Steht dort eine der oben genannten oder eine neuere Version, ist die Lücke geschlossen.

Sie betreiben eigene Server

  1. PHP sofort aktualisieren und danach Webserver bzw. PHP-FPM neu starten. Bei Linux-Distributionen im Changelog auf die beiden CVE-Nummern achten: Die Versionsnummer kann älter aussehen, obwohl der Fix enthalten ist.
  2. Systeme mit PHP 8.1 oder älter auf eine unterstützte Version bringen und bis dahin vom Internet trennen oder nur noch über VPN erreichbar machen.
  3. Mitgeliefertes PHP nicht vergessen: Geräte, Hosting-Panels und Software mit Weboberfläche brauchen Updates vom jeweiligen Hersteller.
  4. Nur als Übergang, wenn ein Update nicht sofort möglich ist: Upload-Anfragen (multipart/form-data) am Webserver oder Proxy blockieren und session.upload_progress.enabled = 0 setzen. Das senkt das Risiko, schließt die Lücken aber nicht. Das BSI empfiehlt, Webserver, die nicht zeitnah aktualisiert werden können, bis zum Update vom Netz zu nehmen.

Nach dem Update: Zugangsdaten erneuern

Eine der beiden Lücken kann Inhalte aus dem Arbeitsspeicher des Servers preisgeben, zum Beispiel Passwörter, Sitzungsschlüssel oder API-Schlüssel. War ein System ungepatcht aus dem Internet erreichbar, sollten Sie nach dem Update Passwörter von Administratoren und wichtige Schlüssel erneuern.

Anzeichen für einen Angriff

Ungewöhnliche Prozesse des Webservers, unbekannte neue Dateien im Webverzeichnis, neue Cronjobs oder Benutzerkonten können auf einen erfolgreichen Angriff hindeuten. Trennen Sie den Server in diesem Fall vom Netz, sichern Sie die Logdateien und ziehen Sie einen IT-Dienstleister hinzu. Spielen Sie nicht einfach ein Update ein und arbeiten weiter: Ein bereits kompromittiertes System bleibt kompromittiert.

Wir unterstützen Sie

Die von uns betreuten Systeme haben wir bereits geprüft und aktualisiert. Sie sind unsicher, ob Ihre Website, Ihre Server oder Geräte betroffen sind? Wir prüfen Ihre Systeme, spielen die Updates ein und helfen bei Verdacht auf einen Angriff. Mehr zu unserer IT-Sicherheit und Server-Wartung.

Rufen Sie uns an unter 0208 / 629139-00, schreiben Sie an info@meins-it.de oder nutzen Sie unser Kontaktformular.

Stand: 22. Oktober 2026. Aktuelle Informationen veröffentlicht das BSI in seiner Cybersicherheitswarnung zu PHP2Shell.

Ähnliche Beiträge