PHP-Lücke php2shell: Was Webseiten-Betreiber jetzt tun sollten

Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßig Sicherheitsupdates veröffentlicht, die zwei kritische Schwachstellen schließen. Die Lücken tragen den Namen „php2shell“ und betreffen nach Angaben der Entwickler alle PHP-Versionen seit PHP 5. Damit sind sehr viele Webseiten, Webshops und Online-Anwendungen betroffen, auch die von kleinen Unternehmen, Vereinen und Selbstständigen.

Was ist passiert?

PHP ist eine Programmiersprache, mit der viele Webseiten auf dem Server laufen. Die beiden Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 werden jeweils mit 9,2 von 10 Punkten als kritisch eingestuft. Laut PHP-Projekt können Angreifer darüber aus der Ferne eigenen Programmcode auf dem Webserver ausführen, ohne sich vorher anmelden zu müssen.

Ursprünglich sollten die Details erst am 22. Oktober veröffentlicht werden. Wie heise online berichtet, wurde der Termin wegen eines vorzeitigen Bekanntwerdens um einen Tag vorgezogen.

Warum das BSI zur Eile mahnt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat noch am selben Tag gewarnt. Die Behörde hielt es für wahrscheinlich, dass die Lücken schon wenige Stunden nach Erscheinen der Updates breit ausgenutzt werden. Ein Grund: Angreifer können die veröffentlichten Korrekturen mit KI-gestützten Werkzeugen schnell auswerten. BSI-Vizepräsident Thomas Caspers fasst es so zusammen: „Es besteht also unverzüglicher Handlungsbedarf!“ Laut heise online empfahl das BSI zudem, Webauftritte vorsorglich vom Netz zu nehmen, solange keine aktualisierten PHP-Pakete verfügbar sind. Zahlreiche Behörden und Einrichtungen haben ihre Webseiten daraufhin vorübergehend abgeschaltet.

Die Einschätzung hat sich bestätigt: Laut heise online beobachten Sicherheitsexperten seit dem 21. Oktober viele Angriffsversuche. Ob diese erfolgreich waren, war zum Zeitpunkt der Berichte unklar. Wie viele Systeme betroffen sein könnten, zeigt eine Auswertung des Suchdienstes Censys: Demnach wurden in Deutschland knapp 11 Millionen PHP-Dienste gefunden, davon rund 4,2 Millionen mit einer verwundbaren Versionsnummer. Censys selbst bezeichnet diese Zahlen als Schätzung.

Welche Versionen schützen?

Die Lücken sind in diesen PHP-Versionen geschlossen:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Für die älteren Reihen 7.4, 8.0 und 8.1 sollen laut heise online nachträglich angepasste Korrekturen (Backports) bereitgestellt werden. Hinzu kommt: PHP 8.2 erhält laut PHP-Projekt nur noch bis zum 31. Dezember 2026 Updates. Wer ohnehin aktualisiert, sollte daher mindestens auf PHP 8.3 wechseln.

Das PHP-Projekt nennt zwar vorübergehende Einstellungen, die das Risiko verringern sollen. Es betont aber ausdrücklich, dass diese keinen vollständigen Schutz bieten. Sicher ist nur das Update.

Ein Sonderfall sind Linux-Server: Die großen Distributionen wie Debian, Ubuntu oder Red Hat haben inzwischen eigene Pakete bereitgestellt. Sie bauen die Korrekturen oft ein, ohne die Versionsnummer zu ändern. Eine scheinbar alte Versionsnummer heißt dort also nicht automatisch, dass der Server verwundbar ist.

Nicht nur Webseiten betroffen

PHP steckt auch in Geräten, an die man zunächst nicht denkt. heise online nennt unter anderem NAS-Speicher, Router, Firewall-Systeme wie pfSense und OPNsense sowie Bastelrechner wie den Raspberry Pi. Zudem wird PHP manchmal unbemerkt als Bestandteil anderer Software mitinstalliert. Gerade solche vergessenen Installationen können ein Einfallstor sein.

Wer seine Webseite bei einem Hosting-Anbieter betreibt, ist in der Regel auf dessen Updates angewiesen. Einzelne Anbieter haben laut heise online PHP vorübergehend ganz abgeschaltet.

Tipps:

• Fragen Sie Ihren Hosting-Anbieter oder Ihre Webagentur, ob Ihre Webseite PHP nutzt und ob die Updates vom 21. Oktober bereits installiert sind.
• Verwalten Sie einen eigenen Server, spielen Sie die Updates sofort ein und prüfen Sie anschließend, ob die neue Version tatsächlich aktiv ist.
• Läuft Ihre Seite noch mit PHP 8.1 oder älter, planen Sie den Umstieg auf eine aktuelle Version, mindestens PHP 8.3.
• Suchen Sie in der Verwaltungsoberfläche von NAS, Router und Firewall nach Firmware-Updates und installieren Sie diese.
• Verlassen Sie sich nicht auf vorübergehende Einstellungen als Ersatz für das Update.
• Achten Sie in den kommenden Tagen auf Auffälligkeiten, etwa unbekannte Dateien, veränderte Inhalte oder neue Benutzerkonten auf Ihrer Webseite.

Fazit

php2shell ist eine der schwerwiegendsten Sicherheitslücken in PHP seit Jahren, und Angreifer versuchen bereits, sie auszunutzen. Die Updates sind jedoch verfügbar. Wer jetzt nachfragt und aktualisiert, schließt die Lücke für seine Webseite und seine Geräte.

Unsicher, ob Ihre Webseite oder Ihr NAS betroffen ist? Wir prüfen das gern für Sie, vor Ort in Bad Nauheim und der Wetterau oder per Fernwartung, und unterstützen Sie rund um die IT-Sicherheit.

Quellen

• PHP: BSI warnt vor kritischen Schwachstellen – Sicherheitsupdate noch heute notwendig – BSI, abgerufen am 24.10.2026
• PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit (Cybersicherheitswarnung) – BSI, abgerufen am 24.10.2026
• PHP News: Security Advisory und Releases vom 21.10.2026 – The PHP Group, abgerufen am 24.10.2026
• php2shell: Critical flaws allow code injection in PHP – heise online, abgerufen am 24.10.2026
• php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen – heise online, abgerufen am 24.10.2026
• php2shell: Millionen PHP-Dienste in Deutschland verwundbar – heise online, abgerufen am 24.10.2026