Zwei kritische Sicherheitslücken in PHP (CVSS 9.2) ermöglichen Angreifern, Code auf Ihrem Server auszuführen. Was betroffen ist und was Sie jetzt tun sollten.
Das PHP-Entwicklerteam hat eine Notfall-Warnung herausgegeben: Zwei kritische Sicherheitslücken in PHP selbst werden am 21. Oktober 2026 um 16:00 Uhr (MESZ) per Update geschlossen. Da Details schon vorab durchgesickert sind und bereits ein Proof-of-Concept-Exploit kursiert, ist schnelles Handeln Pflicht.
Was ist passiert?
Die Lücken laufen unter dem Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). Beide erhalten die Bewertung 9.2 von 10 (kritisch). Angreifer können darüber im schlimmsten Fall beliebigen Code auf dem Server ausführen. Das bedeutet die komplette Übernahme Ihrer Webseite, Ihres Shops oder Ihrer Webanwendung.
Es geht also nicht um ein Plugin oder ein CMS, sondern um PHP selbst. Betroffen sind damit potenziell alle Systeme, die auf PHP laufen: WordPress, Shopware, TYPO3, Drupal, Joomla, Laravel-Anwendungen und viele mehr.
Welche Versionen sind betroffen?
Nach bisherigen Berichten sind nahezu alle PHP-Versionen ab 5.4 betroffen. Offizielle Patches gibt es nur für die noch unterstützten Versionen:
PHP-Version | Erwartete Fix-Version |
|---|---|
8.5 | 8.5.12 |
8.4 | 8.4.27 |
8.3 | 8.3.36 |
8.2 | 8.2.35 |
Achtung: PHP 8.1, 8.0, 7.x und 5.x sind veraltet und erhalten kein offizielles Update. Wer noch auf diesen Versionen unterwegs ist, hat ein echtes Problem.
Was Sie jetzt tun sollten
- PHP-Version prüfen: Im Hosting-Panel, per
php -voder im WordPress-Dashboard unter Werkzeuge → Website-Zustand. - Update sofort einspielen, sobald es verfügbar ist, bzw. prüfen, ob Ihr Hoster schon aktualisiert hat.
- Veraltete PHP-Version? Jetzt auf PHP 8.2 oder neuer umsteigen. Alternativ beim Hoster oder Linux-Distributor nach einem Sicherheits-Backport fragen.
- Vorher Backup machen, damit ein Versionswechsel kein Risiko wird.
- Logs im Blick behalten: Ungewöhnliche Zugriffe oder neue, unbekannte Dateien auf dem Server sind Warnsignale.
Wichtig: Laut PHP-Entwicklern gibt es keinen Workaround. Nur das Update schützt zuverlässig.
Im Zweifel lieber offline: Wenn Sie nicht sofort patchen können, z. B. weil Ihr Hoster noch kein Update bereitstellt oder Sie auf einer veralteten PHP-Version festhängen, nehmen Sie die Webseite oder Webanwendung vorübergehend vom Netz. Eine Wartungsseite für ein paar Stunden ist deutlich günstiger als ein kompromittierter Server, Datenabfluss oder eine aufwändige Bereinigung danach.
Fazit
PHP2Shell gehört zu den schwersten PHP-Lücken der letzten Jahre. Wer eine PHP-basierte Webseite betreibt, sollte heute aktiv werden und nicht bis zum nächsten Wartungsfenster warten.
Sie sind unsicher, ob Ihre Webseite betroffen ist, oder brauchen Unterstützung beim Update? Wir von ITS Greuel prüfen Ihre Systeme und spielen die Updates für Sie ein. [Jetzt Kontakt aufnehmen]
