Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßige Sicherheitsupdates veröffentlicht. Sie schließen zwei kritische Lücken im PHP-Kern, die unter dem Namen PHP2Shell bekannt geworden sind (CVE-2026-109618 und CVE-2026-109619). Das BSI hat dazu eine Cybersicherheitswarnung herausgegeben und empfiehlt, die Patches unverzüglich einzuspielen.

Für unsere Kunden vorab die wichtigste Nachricht: Alle Kundensysteme, die wir selbst betreiben, haben wir bereits auf die abgesicherten PHP-Versionen aktualisiert. Sie müssen dort nichts weiter tun.

Was ist passiert?

Beide Lücken erreichen im Bewertungssystem CVSS 4.0 einen Wert von 9,2 von 10. Ein Angreifer kann damit unter Umständen aus der Ferne eigenen Code auf dem Webserver ausführen, ohne Anmeldung und ohne dass jemand etwas anklicken muss. Betroffen ist damit potenziell jede Website und jede Webanwendung, die auf PHP läuft, also auch WordPress, Shopsysteme und viele Branchenlösungen.

Laut PHP-Projekt ist das Risiko bei Servern mit mod_php (PHP als Apache-Modul) am höchsten. Eine breite erfolgreiche Ausnutzung ist dem BSI nach eigenem Stand nicht bekannt, es gibt aber Berichte über existierende Angriffswerkzeuge. Abwarten ist deshalb keine gute Idee.

Welche Versionen sind abgesichert?

Die Korrekturen stecken in diesen Versionen:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Für PHP 8.1 und ältere Versionen gibt es keinen offiziellen Projektsupport mehr. Wer noch auf so einer Version unterwegs ist, sollte den Wechsel auf einen aktuellen Versionszweig jetzt einplanen. Auch PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates.

Am 23. Oktober hat das PHP-Projekt außerdem auf eine weitere Schwachstelle hingewiesen (CVE-2026-115560). Sie tritt nur bei einer ungewöhnlichen Konfiguration auf. Bis zum nächsten regulären Update empfiehlt das Projekt, in der PHP-Konfiguration session.upload_progress.enabled=0 zu setzen.

Was Sie jetzt prüfen sollten

  1. Website beim Hoster: Bei klassischem Webhosting spielt in der Regel der Anbieter die Updates ein. Fragen Sie nach oder prüfen Sie im Kundenmenü, welche PHP-Version Ihre Website nutzt.
  2. Eigene Server und Container: Hier sind Sie selbst zuständig. PHP aktualisieren und die laufenden PHP-Prozesse neu starten, sonst läuft der alte Stand weiter.
  3. Geräte mit eingebautem PHP: Das BSI weist darauf hin, dass auch Netzwerkkomponenten wie Firewalls oder Speichersysteme PHP enthalten können. Achten Sie auf Sicherheitshinweise und Firmware-Updates der Hersteller.
  4. Branchensoftware: Läuft eine Anwendung mit Weboberfläche im eigenen Haus, fragen Sie beim Hersteller nach, ob und wann ein Update kommt.

Sicherheitsupdates nicht dem Zufall überlassen

PHP2Shell zeigt einmal mehr: Entscheidend ist nicht, ob eine Lücke auftaucht, sondern wie schnell sich jemand darum kümmert. Bei den Systemen, die wir für unsere Kunden betreiben, haben wir das bereits erledigt.

Für Ihre Arbeitsplätze gibt es dafür unsere IT-Schutzpakete: Virenschutz, Ransomware-Schutz und Exploit-Blocker auf Basis von ESET und Hornetsecurity, dazu Einrichtung, Überwachung und Support aus einer Hand. Zum Festpreis ab 69 €* pro Arbeitsplatz und Monat.

Sie sind unsicher, ob Ihre Systeme betroffen sind?

Wir prüfen das gern für Sie, auch wenn Sie bisher nicht von uns betreut werden. Rufen Sie uns an unter 07724 82902-0 oder schreiben Sie uns über das Kontaktformular. Einen breiteren Blick auf Ihre IT gibt unser IT-Sicherheits-Check.

Quellen: php.net, Sicherheitsankündigungen vom 21. und 23. Oktober 2026 · BSI-Cybersicherheitswarnung 2026-297981-1032

* Alle Preise netto zzgl. der jeweils gültigen gesetzlichen Mehrwertsteuer.

KI-Hinweis: Dieser Beitrag wurde mit Unterstützung von KI verfasst und von der virtual gaps UG redaktionell geprüft.