Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht. Sie können es Angreifern ermöglichen, ohne Anmeldung eigenen Code auf einem Webserver auszuführen. Technische Details waren bereits vor dem Update öffentlich, die Lücken laufen unter dem Namen „PHP2Shell“.
PHP steckt hinter einem großen Teil aller Websites, Shops und Kundenportale, auch hinter WordPress. Betroffen sind Sie also nicht nur mit eigenen Servern, sondern womöglich auch mit Ihrer Website beim Hoster oder Ihrer Agentur.
Das Wichtigste in Kürze
- Zwei Lücken: CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9,2 als kritisch bewertet.
- Folge im schlimmsten Fall: Angreifer übernehmen den Webserver, ohne sich anmelden zu müssen.
- Betroffen: PHP-Installationen, die Webanfragen verarbeiten. Das PHP-Projekt nennt PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei mod_php.
- Sichere Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
- Lage: Sicherheitsforscher berichten von ersten Angriffsversuchen. Das BSI hat eine Cybersicherheitswarnung veröffentlicht.
Was Sie jetzt tun sollten
- Klären, wo PHP läuft. Eigene Server, Webhosting, Hosting-Oberflächen wie Plesk, Container-Images. Wenn Ihre Website bei einem Hoster oder einer Agentur liegt, fragen Sie dort konkret nach, ob bereits aktualisiert wurde.
- Updaten. Auf eine der oben genannten Versionen. Bei Containern reicht ein Neustart nicht, das Image muss neu gebaut werden. Danach alle PHP-Prozesse neu starten.
- Alte Versionen ersetzen. PHP 8.1 und älter bekommen vom PHP-Projekt keine regulären Updates mehr. Manche Linux-Distributionen liefern Korrekturen nach, verlassen sollten Sie sich darauf nicht. Der sichere Weg ist der Wechsel auf eine unterstützte Version. Gut zu wissen: Auch PHP 8.2 erhält nach dem 31. Dezember 2026 keine Sicherheitsupdates mehr.
- Wenn das Update nicht sofort geht: Laut PHP-Projekt gibt es keinen vollständigen Schutz ohne Update. Einzelne Einstellungen senken das Risiko, etwa
session.upload_progress.enabled=0in der php.ini (danach alle PHP-Prozesse neu starten). Ist ein System erreichbar und nicht zu aktualisieren, nehmen Sie es im Zweifel vorübergehend vom Netz. - Genau hinschauen. Prüfen Sie Ihre Server auf Auffälligkeiten seit dem 20. Oktober, etwa abgestürzte PHP-Prozesse, unbekannte Dateien im Webverzeichnis oder ungewöhnliche ausgehende Verbindungen.
Was wir für unsere Kunden tun
Wenn wir Ihre Server oder Ihr Webhosting betreuen, kümmern wir uns um die Updates und melden uns direkt bei Ihnen. Unser Security Operations Center (SOC) achtet rund um die Uhr zusätzlich auf Auffälligkeiten.
Unsicher, ob Sie betroffen sind?
Rufen Sie uns an unter 08232 952105-11. Wir prüfen gemeinsam mit Ihnen, wo bei Ihnen PHP im Einsatz ist und was zu tun ist.
Quellen: Sicherheitsmeldung des PHP-Projekts · Cybersicherheitswarnung des BSI · CERT-EU Advisory 2026-018
