PHP2Shell: Kritische Sicherheitslücke in PHP – was Unternehmen jetzt tun müssen
Das BSI warnt vor PHP2Shell, einer kritischen Lücke in PHP. Was das für Ihre Website, Ihren Shop oder Ihr Kundenportal bedeutet – und was jetzt zu tun ist.
Von Andreas Bögl-David, IT-Berater aus Fürth
Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik eine ungewöhnlich deutliche Warnung veröffentlicht. Die Überschrift: „Sicherheitsupdate noch heute notwendig". Es geht um zwei kritische Schwachstellen in PHP, die unter dem Namen PHP2Shell bekannt geworden sind – in Anlehnung an Log4Shell, eine der folgenreichsten Sicherheitslücken der letzten Jahre.
Wenn Sie jetzt denken „PHP? Damit habe ich nichts zu tun" – lesen Sie bitte trotzdem weiter. Die Wahrscheinlichkeit ist hoch, dass Ihr Unternehmen PHP nutzt, ohne es zu wissen.
Was ist PHP – und warum betrifft mich das?
PHP ist die Programmiersprache, auf der ein Großteil des Internets läuft. Schätzungen zufolge setzen drei von vier Websites auf PHP. Darunter fast alles, was kleine und mittlere Unternehmen typischerweise im Einsatz haben:
- WordPress – das mit Abstand verbreitetste System für Firmenwebsites
- Online-Shops wie Shopware, WooCommerce oder Magento
- Content-Management-Systeme wie TYPO3, Joomla oder Contao
- Nextcloud und ähnliche Lösungen für den Dateiaustausch
- Kundenportale, Terminbuchungen, Kontaktformulare und viele individuell entwickelte Webanwendungen
Sie müssen PHP also nicht selbst installiert haben, um betroffen zu sein. Es reicht, dass Ihre Website, Ihr Shop oder Ihr Portal darauf läuft.
Was macht PHP2Shell so gefährlich?
Die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619) sind mit 9,2 von 10 möglichen Punkten als kritisch eingestuft. Vereinfacht gesagt erlauben sie Angreifern, aus der Ferne eigene Befehle auf Ihrem Webserver auszuführen. Mehrere Faktoren machen die Lage besonders ernst:
Keine Anmeldung nötig. Ein Angreifer braucht weder ein Passwort noch ein Benutzerkonto. Eine präparierte Anfrage an Ihre Website kann genügen.
Es liegt nicht an Ihrer Website. Die Lücke steckt in PHP selbst, nicht im Code Ihrer Website. Auch eine sorgfältig programmierte und gepflegte Seite ist betroffen, solange die PHP-Version darunter veraltet ist.
Die Details sind vorzeitig durchgesickert. Eigentlich sollten die Informationen erst zusammen mit den Updates veröffentlicht werden. Stattdessen kursierten sie schon vorher im Netz, und Sicherheitsfirmen haben bereits erste Angriffsversuche beobachtet.
Angreifer sind heute schneller als früher. Das BSI rechnet mit einer großflächigen Ausnutzung innerhalb weniger Stunden nach Erscheinen der Updates – auch weil KI-Werkzeuge das Entwickeln von Angriffen beschleunigen.
Und wie im ersten Teil meiner IT-Sicherheits-Serie beschrieben: Angreifer suchen sich nicht die wertvollsten Ziele, sondern die einfachsten. Automatisierte Programme durchsuchen das Internet rund um die Uhr nach verwundbaren Servern. Ob dahinter ein Konzern steht oder ein Handwerksbetrieb aus Fürth, spielt keine Rolle.
Was im schlimmsten Fall passiert
Gelingt ein Angriff, hat der Angreifer weitgehende Kontrolle über Ihren Webserver. Was das konkret heißen kann:
- Datenabfluss: Kundendaten, Bestellungen, Formulareingaben oder Zugangsdaten werden gestohlen.
- Manipulierte Website: Ihre Seite verteilt Schadsoftware an Besucher oder leitet sie auf Betrugsseiten um.
- Missbrauch Ihres Servers: Er wird für Spam, weitere Angriffe oder Krypto-Mining genutzt – auf Ihre Kosten und unter Ihrem Namen.
- Sprungbrett ins Firmennetz: Ist der Webserver mit anderen Systemen verbunden, kann der Angriff von dort aus weitergehen.
Dazu kommt die rechtliche Seite: Sind personenbezogene Daten betroffen, müssen Sie den Vorfall nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der Datenschutzbehörde melden.
Die gute Nachricht: Es gibt Updates
Die PHP-Entwickler haben am 21. Oktober 2026 abgesicherte Versionen veröffentlicht. Sicher sind:
| PHP-Version | Abgesichert ab |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 und älter | kein offizielles Update |
Die letzte Zeile ist der kritische Punkt. Für PHP 7 und älter gibt es keine Updates mehr. Einige Linux-Distributionen und Anbieter mit Langzeit-Support liefern zwar eigene Korrekturen nach, darauf verlassen sollten Sie sich aber nicht. Wer noch auf einer solchen Version unterwegs ist, hat jetzt kein Update-Problem mehr, sondern ein Modernisierungsproblem.
Was Sie jetzt tun sollten
Was konkret zu tun ist, hängt davon ab, wie Ihre Website betrieben wird. Die meisten kleinen Unternehmen fallen in eine dieser drei Gruppen:
1. Ihre Website liegt bei einem Hoster oder wird von einer Agentur betreut
Das ist der häufigste Fall – und meist der einfachste. Seriöse Hoster spielen die Updates auf ihren Servern selbst ein. Verlassen Sie sich aber nicht darauf, sondern fragen Sie aktiv nach. Eine kurze E-Mail genügt (die Fragen finden Sie weiter unten).
Achtung: Bei vielen Hostern können Sie die PHP-Version im Kundenmenü selbst auswählen. Steht dort noch eine alte Version wie 7.4, weil „damals irgendwas nicht lief", nützt Ihnen das schönste Update des Hosters nichts.
2. Sie haben einen eigenen Server
Läuft Ihre Website auf einem eigenen oder gemieteten Server (oft „VPS" oder „Root-Server" genannt), sind Sie selbst für die Updates verantwortlich – oder derjenige, den Sie damit beauftragt haben. Klären Sie heute noch, wer das ist und ob das Update bereits eingespielt wurde.
3. Ihre Website läuft noch auf PHP 7 oder älter
Dann ist schnelles Handeln gefragt. Ohne offizielles Update bleibt die Lücke offen. Die PHP-Entwickler nennen zwar einige Einstellungen, die das Risiko verringern, betonen aber ausdrücklich, dass diese keinen vollständigen Schutz bieten. Langfristig führt kein Weg an einer Modernisierung vorbei – und kurzfristig sollte zumindest jemand prüfen, wie sich das Risiko eindämmen lässt.
Fünf Fragen an Ihren Dienstleister
Sie müssen die Technik nicht verstehen, um die richtigen Fragen zu stellen. Diese können Sie so per E-Mail an Ihren Hoster, Ihre Agentur oder Ihren IT-Dienstleister schicken:
- Ist auf allen unseren Websites und Servern eine gegen PHP2Shell (CVE-2026-109618 und CVE-2026-109619) abgesicherte PHP-Version installiert?
- Welche PHP-Version läuft konkret bei uns?
- Wann wurde das Update eingespielt?
- Gibt es Anzeichen dafür, dass unsere Systeme vor dem Update angegriffen wurden?
- Wer ist bei uns künftig dafür zuständig, solche Sicherheitsupdates zeitnah einzuspielen?
Wenn Sie auf diese Fragen keine klaren Antworten bekommen, ist das bereits eine wichtige Erkenntnis.
Warum das Update allein nicht reicht
Ein Update schließt die Lücke – es macht aber nicht ungeschehen, was vorher passiert ist. Da die Informationen schon vor den Updates im Umlauf waren, sollte bei Servern, die nicht sofort aktualisiert wurden, zusätzlich geprüft werden, ob es bereits Auffälligkeiten gab: unbekannte Dateien, veränderte Inhalte, ungewöhnliche Abstürze oder verdächtige Verbindungen nach außen.
Und noch eine Warnung: Im Netz tauchen bereits angebliche „Testprogramme" für PHP2Shell auf, von denen sich manche als Fälschung mit verstecktem Code herausgestellt haben. Führen Sie nichts davon auf Ihren Systemen aus.
Was sich daraus lernen lässt
PHP2Shell wird nicht die letzte kritische Sicherheitslücke sein. Die eigentliche Frage ist nicht, ob die nächste kommt, sondern ob Ihr Unternehmen dann vorbereitet ist. Drei Punkte machen dabei den Unterschied:
- Klare Zuständigkeit: Es muss feststehen, wer bei einer Warnung wie dieser handelt – nicht erst, wenn es so weit ist.
- Überblick: Sie sollten wissen, welche Websites, Shops und Server Ihr Unternehmen betreibt und auf welchem Stand sie sind. Oft gibt es noch eine alte Landingpage oder ein vergessenes Testsystem, an das niemand mehr denkt.
- Regelmäßige Pflege: Wer seine Systeme laufend aktuell hält, muss im Ernstfall nur ein Update einspielen – und nicht erst eine jahrelang aufgeschobene Modernisierung nachholen.
Unsicher, ob Ihr Unternehmen betroffen ist?
Als IT-Dienstleister aus der Region Fürth, Nürnberg und Erlangen unterstütze ich kleine und mittlere Unternehmen dabei, genau solche Situationen schnell und ohne Panik zu klären: Ich prüfe, welche PHP-Version bei Ihnen läuft, spiele Updates ein, sichere veraltete Systeme ab und kläre mit Ihrem Hoster oder Ihrer Agentur, was noch zu tun ist.
Meine eigenen Systeme waren übrigens am Tag der Veröffentlichung abgesichert. Kontaktieren Sie mich – dann sorgen wir gemeinsam dafür, dass das bei Ihnen auch so ist.