PHP2Shell: Was Unternehmen jetzt über die kritische PHP-Lücke wissen müssen

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619), die am 21. Oktober 2026 veröffentlicht wurden. Über sie können Angreifer ohne Anmeldung und ohne Zutun eines Nutzers Schadcode auf Webservern ausführen. Das BSI stuft die Lage mit Warnstufe 3/Orange ein: Maßnahmen müssen unverzüglich ergriffen werden. Wirksam schützt nur das Update auf eine gepatchte PHP-Version.

PHP steckt hinter einem großen Teil des Internets: hinter WordPress, TYPO3, Joomla, Drupal, Shopware und Magento, aber auch hinter Weboberflächen von Firewalls, Routern und Netzwerkspeichern. Deshalb betrifft PHP2Shell nicht nur IT-Abteilungen, sondern fast jedes Unternehmen mit eigener Website. Dieser Beitrag fasst zusammen, was passiert ist und was Sie jetzt tun sollten. Stand: 24. Oktober 2026.

Was ist passiert?

Am 20. Oktober kündigten die PHP-Entwickler kurzfristig ein kritisches Sicherheitsupdate an, nachdem Details vorab bekannt geworden waren. Am 21. Oktober folgten die Patches und die technischen Beschreibungen. Laut Amazon Threat Intelligence gab es bereits am 17. Oktober einen Angriffsversuch, also vor der Veröffentlichung. Die Lücken wurden unter anderem von der Sicherheitsfirma Calif im Rahmen eines Projekts mit OpenAI sowie unabhängig davon von Wiz entdeckt – jeweils mit Unterstützung von KI-Modellen.

Die wichtigsten Fakten

Wer ist betroffen?

• Websites und Shops auf PHP-Basis, etwa WordPress, TYPO3, Joomla, Drupal oder Shopware – unabhängig davon, ob das CMS selbst aktuell ist. Entscheidend ist die PHP-Version auf dem Server.
• Gehostete Websites: Bei Shared Hosting und verwalteten Servern ist meist der Hoster für das PHP-Update zuständig. Fragen Sie nach.
• Eigene Server und Container: Wer selbst betreibt, muss PHP aktualisieren und Docker-Images neu bauen.
• Geräte mit Weboberfläche: Laut BSI sind unter anderem Produkte von F5, Citrix NetScaler, Palo Alto, OPNsense, pfSense, QNAP, Synology und cPanel mindestens teilweise betroffen. Hier helfen nur Firmware-Updates der Hersteller.

Was Sie jetzt tun sollten

1. Bestandsaufnahme: Welche Websites, Shops, Server und Geräte mit Weboberfläche betreiben Sie? Auch PHP als Teil anderer Software zählt.
2. PHP-Version prüfen und auf eine gepatchte Version aktualisieren. Wie das geht, zeigt Ist meine Website betroffen?.
3. Hoster und Dienstleister fragen, ob die Updates eingespielt sind – schriftlich, mit Versionsnummer.
4. Geräte-Firmware aktualisieren, sobald die Hersteller Updates bereitstellen.
5. Wenn kein Update möglich ist: Das BSI empfiehlt, die vorübergehende Trennung vom Internet zu erwägen, da Workarounds keinen vollständigen Schutz bieten.
6. Auf Spuren eines Angriffs prüfen, etwa neue PHP-Dateien oder ungewöhnliche Prozesse. Details in Website gehackt?.

Warum es diesmal so schnell geht

Das BSI weist darauf hin, dass Angreifer mit KI-gestützten Werkzeugen Patches heute in kurzer Zeit analysieren und daraus Angriffe entwickeln können. Es hielt eine breite Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich. Die Zeit zwischen Veröffentlichung und Angriff schrumpft also. Updates „irgendwann in den nächsten Wochen“ reichen nicht mehr.

Ein Web Application Firewall reicht nicht

Anbieter wie Cloudflare haben Regeln gegen bekannte Angriffswege veröffentlicht. Eine Web Application Firewall (WAF) kann Angriffe erschweren, ersetzt laut BSI und der US-Behörde CISA aber kein Update. Vollständigen Schutz bietet nur das Patchen oder die Trennung vom Internet.

Unsicher, ob Ihre Website, Ihr Online-Shop oder Ihre Geräte betroffen sind? Melden Sie sich bei uns. Wir prüfen Ihre Systeme, spielen Updates ein und sagen Ihnen ehrlich, was zu tun ist – auch wenn sich herausstellt, dass alles in Ordnung ist. Für den Anfang genügt ein kurzes Gespräch.

Häufig gestellte Fragen

Was ist PHP2Shell?

PHP2Shell ist die Bezeichnung für zwei kritische Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619). Sie erlauben es Angreifern, ohne Anmeldung Schadcode auf Webservern mit PHP auszuführen. Der Name spielt auf die bekannte Lücke Log4Shell an.

Welche PHP-Versionen sind sicher?

Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 gibt es Backport-Patches; Linux-Distributionen liefern teils eigene, zurückportierte Updates.

Ist meine WordPress-Seite betroffen?

Wenn sie auf einem Server mit ungepatchtem PHP läuft, ja. Ein WordPress-Update allein genügt nicht, denn die Lücke steckt in PHP selbst. Entscheidend ist, ob Ihr Hoster PHP aktualisiert hat.

Reicht es, wenn mein Hoster sich kümmert?

Bei Shared Hosting ist meist der Hoster zuständig. Lassen Sie sich trotzdem bestätigen, dass die Updates eingespielt sind, und prüfen Sie zusätzlich, ob Sie eigene Server oder Geräte mit Weboberfläche betreiben.

Stand: 24. Oktober 2026. Quellen: BSI-Sicherheitshinweis zu PHP2Shell, CISA.