PHP2Shell: Kritische Lücke in PHP – Webserver jetzt dringend updaten

Das PHP-Projekt hat am 21. Oktober 2026 außerplanmäßige Notfall-Updates für zwei kritische Schwachstellen im PHP-Kern veröffentlicht. Die unter dem Namen „PHP2Shell“ bekannt gewordenen Lücken CVE-2026-109618 und CVE-2026-109619 erlauben eine Codeausführung aus der Ferne – ohne Anmeldung und ohne Nutzerinteraktion. Weil PHP auf einem Großteil aller Websites läuft, ist der Handlungsdruck für nahezu jedes Unternehmen mit eigener Webseite hoch.

Was ist passiert?

PHP hat zwei Schwachstellen im Interpreter selbst geschlossen – nicht in einer einzelnen Anwendung, sondern im Fundament, auf dem WordPress, TYPO3, Joomla, Nextcloud und unzählige Eigenentwicklungen aufsetzen. Das BSI bewertet die Lage als außerordentlich kritisch und zieht in seiner Warnung ausdrücklich den Vergleich zu „Log4Shell“.

Beide Lücken (CVE-2026-109618 und CVE-2026-109619) sind nach CVSS v4.0 mit 9.2 von 10 bewertet. Aus der Bewertung folgt: Für einen Angriff sind weder Zugangsdaten noch eine Interaktion eines Nutzers nötig. Technischer Kern des Problems ist laut Advisories, dass PHP nach dem Abbruch einer Anfrage – etwa bei Speichermangel – mit unvollständig angelegten oder bereits freigegebenen Daten weiterarbeitet. Das lässt sich zu einer Remote Code Execution (RCE) ausbauen.

Behoben sind die Lücken in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für Versionszweige, deren Lebenszyklus abgelaufen ist (End of Life), gibt es keinen offiziellen Patch mehr. In Deutschland haben mehrere Städte und Einrichtungen ihre Webseiten vorsorglich vom Netz genommen. Bestätigte breite Ausnutzung ist dem BSI zum Stand 22. Oktober 2026 noch nicht bekannt, es gibt jedoch Berichte über erste Angriffsversuche.

Wer ist betroffen?

Betroffen ist grundsätzlich jeder Server, auf dem eine verwundbare PHP-Version Webanfragen verarbeitet – unabhängig von der darüberliegenden Anwendung. Das umfasst für typische KMU insbesondere:

• die eigene Unternehmenswebseite auf Basis von WordPress, TYPO3 oder Joomla
• selbst betriebene Tools wie Nextcloud, Webmail oder Kundenportale
• Netzwerk- und Sicherheitskomponenten, in denen PHP eingebettet ist – Hersteller veröffentlichen hierzu laufend eigene Advisories

Wer seine Webseite bei einem Hoster oder einer Agentur betreiben lässt, ist nicht automatisch sicher, aber meist nicht selbst für das PHP-Update zuständig. Entscheidend ist in jedem Fall, welche PHP-Version konkret läuft.

Was jetzt zu tun ist

1. PHP-Version prüfen. Stellen Sie fest, welche PHP-Version Ihre Webseite und Ihre selbst betriebenen Anwendungen nutzen (z. B. im Hosting-Panel, über phpinfo() oder per php -v auf dem Server).
2. Sofort aktualisieren. Bringen Sie PHP auf mindestens 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Läuft eine ältere, nicht mehr unterstützte Version, ist ein Umstieg auf einen gepflegten Zweig nötig.
3. Hoster kontaktieren. Lassen Sie sich von Hoster oder Webagentur schriftlich bestätigen, dass das Update eingespielt ist – gerade bei Managed-Hosting und Baukasten-Systemen.
4. Eingebettete Produkte beachten. Prüfen Sie Firewalls, Gateways und Appliances auf Hersteller-Advisories zu PHP2Shell und spielen Sie dort bereitgestellte Updates ein.
5. Im Zweifel abschalten. Lässt sich eine exponierte, verwundbare Anwendung nicht sofort patchen, ziehen Sie eine vorübergehende Abschaltung oder Zugriffsbeschränkung in Betracht.

So hilft Binary System Services

Wir prüfen für Sie, welche PHP-Versionen in Ihrer Umgebung tatsächlich laufen – von der Unternehmenswebseite über selbst betriebene Tools bis zu eingebetteten Komponenten – und schließen die Lücke mit koordiniertem Patch-Management. Über unser Monitoring erkennen wir verwundbare und exponierte Systeme, und im Ernstfall unterstützen wir bei der Notfallreaktion. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.