PHP2Shell – was ist zu tun?

PHP2Shell: Kritische Lücke in PHP – was Website- und Shop-Betreiber jetzt tun müssen

Oberberg-Online Informationssysteme GmbH · 22. Oktober 2026

Kurzfassung: In der Programmiersprache PHP wurden zwei schwere Sicherheitslücken entdeckt. Betroffen sind unzählige Websites, Onlineshops und Unternehmensanwendungen. Patches sind seit dem 21. Oktober verfügbar und sollten sofort installiert werden. Wer PHP-Versionen betreibt, für die es keine Updates mehr gibt, hat ein ernstes Problem.
Bei Oberberg-Online Wartungskunden wurden direkt nach Erscheinen die Patches eingespielt.

Worum geht es?

PHP ist die Technik hinter einem großen Teil des Internets, von WordPress-Seiten über Shopsysteme bis zu Kundenportalen und Fachanwendungen. Zwei Schwachstellen (CVE-2026-109618 und CVE-2026-109619) erlauben es nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI), aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen. Beide Lücken erreichen auf der gängigen Bewertungsskala (CVSS) den Wert 9,2 von 10. Laut BSI sind weder eine Anmeldung noch eine Nutzerinteraktion für die Ausnutzung erforderlich.

Das bedeutet: Ein Angreifer muss kein Passwort kennen und niemanden zum Klicken bringen. Er schickt gezielt präparierte Anfragen an den Server und kann im schlimmsten Fall die Kontrolle übernehmen.

Warum der Name „PHP2Shell“?

Die Lücken werden in der Berichterstattung PHP2Shell genannt. Das soll laut BSI die Ähnlichkeit mit der Schwachstelle „Log4Shell“ zeigen. Log4Shell hat Ende 2021 weltweit Unternehmen in Alarm versetzt. Der Vergleich passt: Beide Lücken stecken in einer Basiskomponente, die fast überall im Einsatz ist, und beide lassen sich ohne Vorkenntnisse über das Netz ausnutzen.

Wie ernst ist die Lage?

Sehr ernst. Das BSI hat die Warnstufe „3 / Orange“ ausgerufen und das Risiko als außerordentlich hoch eingestuft. Mehrere Punkte verschärfen die Situation:

• Fast alle Versionen betroffen. Nach Einschätzung von CERT-EU könnten sämtliche PHP-Versionen ab Version 5 betroffen sein. Auch heise berichtet, dass die Lücken in jeder PHP-Version seit PHP 5 enthalten sind.
• Angriffe laufen bereits. Der Sicherheitsanbieter Patchstack berichtet von frühen Angriffen auf PHP-Systeme. Das BSI rechnete schon vor Veröffentlichung der Patches mit rascher Ausnutzung.
• Nicht nur Websites. Laut heise können auch Router und NAS-Geräte betroffen sein, sofern darauf PHP läuft.
• Kein Übergangstrick. Ein zunächst kursierender Behelf (die Abschaltung einer PHP-Funktion namens „upload progress“) gilt laut heise nach dem bisherigen Kenntnisstand als unwirksam. Manche Distributoren empfehlen die Abschaltung zusätzlich zum Update, aber nur als Ergänzung. Verlassen Sie sich nicht darauf.

Was kann im Ernstfall passieren?

Wer PHP-Code auf Ihrem Server ausführen kann, kann in der Regel:

• Kundendaten, Bestellungen und Zugangsdaten auslesen,
• Websites verändern oder Schadsoftware einschleusen (zum Beispiel Zahlungsdaten-Skimmer im Shop),
• den Server für Spam, Angriffe auf Dritte oder Kryptomining missbrauchen,
• sich im Firmennetz weiter ausbreiten und Ransomware vorbereiten.

Für Unternehmen kommen dann Meldepflichten nach DSGVO, Imageschaden und Betriebsunterbrechung hinzu.

Welche Versionen sind sicher?

Das PHP-Projekt hat am 21. Oktober korrigierte Versionen veröffentlicht: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Ihre PHP-Version	Was zu tun ist
8.5, 8.4, 8.3, 8.2	Auf die oben genannte Fixversion aktualisieren (oder auf das Sicherheitsupdate Ihrer Linux-Distribution)
8.1 und älter (auch 7.x, 5.x)	Vom PHP-Projekt gibt es keine Updates mehr. Möglich sind Migration auf eine unterstützte Version oder kommerzielle Backports (etwa über Anbieter wie TuxCare). Bis dahin besteht ein erhebliches Risiko

Die Versionsnummer allein sagt nicht immer, ob ein System gepatcht ist: Linux-Distributionen wie Ubuntu behalten ihre ursprüngliche Versionsnummer und liefern die Korrektur als Backport. Ob ein System sicher ist, zeigt der Paketstand der Distribution, nicht allein die Ausgabe von „php -v“.

Ihre Checkliste für heute

1. Bestandsaufnahme: Wo läuft PHP? Webserver, Shop, Intranet, Fachanwendungen, Entwicklungs- und Testsysteme, Container, Hosting-Pakete, auch Router und NAS.
2. Version prüfen: Und zwar die Version, die der Webserver tatsächlich nutzt. Sie kann von der Kommandozeilen-Version abweichen.
3. Patchen: Fixversion oder Distributions-Update einspielen. Docker-Images neu bauen und ausrollen.
4. Dienste neu starten: Nach dem Update müssen alle PHP-Prozesse neu gestartet werden, sonst läuft weiter der alte Code im Speicher.
5. Bei Hosting-Paketen: Den Anbieter fragen, ob und wann gepatcht wurde, und das schriftlich festhalten.
6. Auf Anzeichen eines Einbruchs prüfen: unbekannte PHP-Dateien in Webverzeichnissen, auffällige Prozesse oder Serverlast, geänderte Dateien, ungewöhnliche Zugriffe in den Logfiles seit Anfang der Woche.
7. Nicht patchbare Systeme absichern: Wenn ein Update nicht sofort möglich ist, den Zugriff über Firewall oder Zugangsbeschränkung einschränken. Notfalls den Server vom Netz nehmen. Das ist laut ZDF-Bericht auch die Konsequenz des BSI für alle, die das Risiko nicht tragen wollen.
8. Zugangsdaten rotieren, falls Anzeichen für eine Kompromittierung vorliegen (Datenbank-, FTP-, Admin- und API-Zugänge).

Besonders wichtig für Geschäftsführung und IT-Verantwortliche

• Veraltete PHP-Versionen sind ein Geschäftsrisiko. Dieser Fall zeigt, was passiert, wenn für eine Kernkomponente keine Updates mehr erscheinen. Auch PHP 8.2 und 8.4 laufen laut Support-Plan Ende 2026 aus der regulären Wartung beziehungsweise Aktivphase. Planen Sie Migrationen rechtzeitig.
• Dokumentation hilft. Wenn es zu einem Vorfall kommt, sind nachweisbare Patch-Zeitpunkte für Datenschutzbehörden, Versicherer und Kunden wichtig.
• NIS-2 und Haftung: Wer unter NIS-2 fällt oder Dienstleister für solche Unternehmen ist, hat ohnehin Pflichten beim Schwachstellenmanagement.

So unterstützt Sie Oberberg-Online

Wir bieten Ihnen an:

• eine Schnellprüfung, welche Ihrer Systeme PHP nutzen und ob sie betroffen sind,
• das Einspielen der Updates und die Überprüfung nach dem Patch,
• einen Kompromittierungs-Check (Dateien, Logs, Auffälligkeiten),
• die Migration veralteter PHP-Anwendungen auf unterstützte Versionen,
• Beratung zu dauerhaftem Patch-Management und Monitoring.

Kunden mit Wartungsvertrag müssen nichts tun: Wir haben die Patches bereits gestern  – direkt nach Veröffentlichung – eingespielt und die betroffenen Kunden darüber informiert. Alle anderen erreichen uns unter vertrieb@oberberg.net. Je früher Sie sich melden, desto besser, denn die Angreifer sind bereits unterwegs.

Quellen

• BSI, Cybersicherheitswarnung „PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit“, 21.10.2026 (bsi.bund.de)
• heise online, Berichterstattung zu PHP2Shell und den PHP-Updates vom 21.10.2026 (heise.de)
• PHP-Projekt, Sicherheitshinweis und Release-Informationen vom 21.10.2026
• CERT-EU, Security Advisory 2026-018
• Artikel mit Hilfe von KI strukturiert
• Artikelbild KI-generiert