22. Oktober 2026· 10 Min. Lesezeit· Sandor Farkas

PHP2Shell: Was Unternehmen jetzt wissen und tun müssen

SicherheitPHPCVESicherheitslückenPHP2Shell

Seit dem 21. Oktober 2026 hat die Sicherheitslücke einen Namen, den man sich merkt: PHP2Shell. Universitäten haben ihre Websites abgeschaltet. Kantone und Behörden ebenso. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt mit der zweithöchsten Stufe.

Vielleicht haben Sie davon in den Nachrichten gehört. Und jetzt fragen Sie sich: Betrifft das auch unsere Website? Unseren Onlineshop? Die Verwaltungssoftware, die seit 2015 zuverlässig läuft?

Dieser Artikel ordnet die Lage ein. Er zeigt, wer betroffen ist und was Sie heute tun sollten. Technische Details stehen in unserem Beitrag zu CVE-2026-109618 und CVE-2026-109619.

Was ist PHP2Shell?

PHP2Shell ist der Spitzname für zwei Sicherheitslücken in PHP. Offiziell heißen sie CVE-2026-109618 und CVE-2026-109619. Eine CVE-Nummer ist eine öffentliche Kennung für eine bekannte Sicherheitslücke. Mehr dazu erklärt unser Glossar: Was ist ein CVE?

Der Name spielt laut BSI bewusst auf Log4Shell an. Log4Shell war Ende 2021 eine Lücke in einer weit verbreiteten Java-Bibliothek. Sie hielt IT-Abteilungen weltweit wochenlang in Atem. Der Vergleich soll zeigen, dass die neuen Lücken in dieselbe Kategorie fallen.

PHP ist die Programmiersprache hinter einem großen Teil des Webs. WordPress, TYPO3, Joomla, Drupal, Magento und Nextcloud sind damit gebaut. Auch Firewalls wie pfSense und OPNsense nutzen PHP. Der Dienst Censys zählte laut Medienberichten fast 55 Millionen Webangebote mit PHP.

Die Lücken stecken in PHP selbst. Ein Update von WordPress oder einem Plugin schließt sie deshalb nicht. Das BSI stellt klar: Die PHP-Laufzeitumgebung selbst muss aktualisiert werden.

Wie wurden die Lücken entdeckt?

Gefunden haben die Lücken Forscher der Sicherheitsfirmen Calif und Wiz. Sie arbeiteten dabei mit OpenAI zusammen und nutzten KI-Modelle. Die Veröffentlichung war für den 22. Oktober geplant. Weil vorab Details durchsickerten, zog das PHP-Team den Termin um einen Tag vor. Die Updates erschienen am 21. Oktober um 16 Uhr deutscher Zeit.

Wie gefährlich ist PHP2Shell?

Die PHP-Entwickler bewerten beide Lücken mit 9,2 von 10 Punkten. Ein Angreifer kann damit unter Umständen eigenen Code auf Ihrem Server ausführen. Fachleute nennen das Remote Code Execution. Ein Login ist dafür nicht nötig.

Das BSI hat die Lage mit Stufe 3 von 4 eingestuft, also Orange. Das bedeutet laut BSI: Maßnahmen müssen unverzüglich ergriffen werden. Eine massive Beeinträchtigung des Regelbetriebs ist möglich.

Wie ernst Betreiber das nehmen, zeigt ihre Reaktion. Die Universität Genf, die ETH Lausanne und der Kanton Basel-Stadt nahmen Websites vorsorglich vom Netz. In Österreich traf es zeitweise die Uni Wien und die TU Wien. Der deutsche Hoster Uberspace deaktivierte laut heise vorübergehend seine PHP-Dienste. Das BSI berichtet von eingeschränkt erreichbaren Websites auch in Deutschland.

Werden die Lücken schon ausgenutzt?

Die Angaben dazu gehen auseinander. Das BSI kannte am 21. Oktober noch keine bestätigten Angriffe. Berichte aus sozialen Medien konnte es nicht überprüfen. Cloudflare dagegen meldet Angriffsverkehr gegen seine Kunden. Die Sicherheitsfirma watchTowr hat nach eigenen Angaben Angriffe in ihren Ködersystemen beobachtet.

Für Ihre Entscheidung spielt das kaum eine Rolle. Das BSI erwartet eine breite Ausnutzung kurz nach Erscheinen der Updates. Seine Begründung: Mit KI-Werkzeugen lassen sich Updates heute schnell analysieren und Angriffe daraus bauen. Ein öffentliches Beispielprogramm für den Angriff gibt es laut BSI bereits.

PHP-Sicherheitslücke: Bin ich betroffen?

Die kurze Antwort: Wenn Sie irgendwo PHP einsetzen, sehr wahrscheinlich ja. Laut BSI sind alle bekannten PHP-Versionen verwundbar, mindestens bis zurück zu PHP 5. Entscheidend ist, wer für das Update zuständig ist. Das hängt davon ab, wie Ihre Website betrieben wird.

Website bei einem Webhoster

Läuft Ihre Website im Shared Hosting, zum Beispiel bei Strato oder IONOS? Dann spielt in der Regel der Hoster das PHP-Update ein. Sie müssen trotzdem aktiv werden. Prüfen Sie im Kundenbereich, welche PHP-Version eingestellt ist. Lesen Sie die Statusseite oder Kundenmitteilungen Ihres Hosters. Ist dort nichts zu finden, fragen Sie schriftlich nach.

Bei vielen Hostern können Sie die PHP-Version selbst wählen. Steht dort noch PHP 7.4 oder älter? Dann bekommt diese Version vom PHP-Projekt kein reguläres Update mehr. Dazu weiter unten mehr.

Eigener Server, VPS oder Container

Betreiben Sie einen eigenen Server, einen virtuellen Server (VPS) oder Docker-Container? Dann liegt das Update bei Ihnen oder Ihrem Dienstleister. Der Hoster kümmert sich hier nur um die Hardware. Wie Sie Version und Update prüfen, zeigt unser erster Beitrag zu den PHP-Lücken.

WordPress, Shopware und andere Systeme

Hier herrscht oft Verwirrung. WordPress, Shopware oder TYPO3 selbst sind nicht fehlerhaft. Sie laufen aber auf PHP. Ein Update von WordPress und allen Plugins schützt deshalb nicht. Erst das Update von PHP auf dem Server schließt die Lücke.

NAS, Router und Firewalls

Viele Geräte haben eine Weboberfläche, die intern mit PHP arbeitet. Als Beispiele nennt heise Geräte von QNAP, Synology, pfSense und Citrix. Ob ein bestimmtes Gerät betroffen ist, kann nur der Hersteller sagen. Die niederländische Cybersicherheitsbehörde NCSC-NL sammelt betroffene Produkte in einer öffentlichen Liste.

Bis zum Firmware-Update gilt eine einfache Regel. Die Verwaltungsoberfläche eines Geräts gehört nicht ins offene Internet. Ist sie von außen erreichbar, schalten Sie diesen Zugang ab. Für den Fernzugriff nutzen Sie besser ein VPN, also eine verschlüsselte Verbindung ins Firmennetz.

Software von Agenturen und Dienstleistern

Hat eine Agentur Ihre Website gebaut? Betreut ein Dienstleister Ihr Kundenportal? Dann fragen Sie heute nach, ob PHP aktualisiert wurde. Lassen Sie sich die neue Versionsnummer nennen. Eine Antwort wie "Wir kümmern uns" reicht bei einer Lücke dieser Größe nicht.

Welche PHP-Versionen sind betroffen?

Betroffen sind alle Versionen bis mindestens PHP 5. Geschlossen ist die Lücke ab diesen Versionen:

PHP-Version	Abgesichert ab	Unterstützung durch das PHP-Projekt
PHP 8.5	8.5.12	aktiv
PHP 8.4	8.4.27	aktiv
PHP 8.3	8.3.36	Sicherheitsupdates bis Ende 2027
PHP 8.2	8.2.35	Sicherheitsupdates bis Ende 2026
PHP 7.4 bis 8.1	nur Korrektur im Quellcode	End of Life
PHP 7.3 und älter	kein Update	End of Life

Wie Sie die PHP-Version Ihrer Website prüfen, hängt von der Umgebung ab. Im Shared Hosting zeigt es meist der Kundenbereich. In WordPress finden Sie die Angabe unter Werkzeuge und dann Website-Zustand. Auf einem eigenen Server hilft der Befehl php -v.

PHP-Sicherheitslücke beheben: Was Sie jetzt tun sollten

1. Überblick verschaffen

Listen Sie alle Systeme auf, die PHP nutzen könnten. Dazu gehören Websites, Shops, interne Werkzeuge, NAS-Geräte und Firewalls. Notieren Sie, wer für das jeweilige Update zuständig ist. Wenn Ihnen diese Liste schwerfällt, sind Sie nicht allein. Unser Artikel zum Software-Inventar zeigt, wie Sie sie dauerhaft pflegen.

2. Updates einspielen oder einfordern

Das Update ist die einzige vollständige Lösung. Wo Sie selbst zuständig sind, spielen Sie es heute ein. Wo Hoster, Agentur oder Hersteller zuständig sind, fordern Sie es schriftlich ein.

3. Vom Netz nehmen, wenn kein Update möglich ist

Das klingt drastisch. Es ist aber die Empfehlung des BSI. Wer nicht sofort patchen kann, soll eine vorübergehende Trennung vom Internet erwägen. Laut BSI bieten die bekannten Übergangsmaßnahmen keinen vollständigen Schutz. Eine Website, die einen Tag offline ist, kostet weniger als ein übernommener Server.

4. Zusätzliche Schutzschicht nutzen

Cloudflare und andere Anbieter haben Filterregeln gegen bekannte Angriffswege veröffentlicht. Solche Filter heißen Web Application Firewall, kurz WAF. Cloudflare bietet die Regeln auch im kostenlosen Tarif an. Eine WAF ersetzt das Update aber nicht. Cloudflare selbst beobachtet, dass Angreifer ihre Methoden anpassen, um die Filter zu umgehen.

5. Auf Spuren eines Angriffs prüfen

Ein Update schließt die Lücke. Hat ein Angreifer vorher schon eine Hintertür eingebaut, bleibt diese bestehen. Prüfen Sie deshalb Systeme, die einige Tage ungeschützt erreichbar waren.

Ein Anhaltspunkt: Laut heise braucht ein Angriff meist Tausende bis Zehntausende Anfragen. Das hinterlässt Spuren in den Server-Protokollen. Achten Sie auf ungewöhnlich viele Anfragen, abgestürzte PHP-Prozesse und neue Dateien im Webverzeichnis. Bei konkretem Verdacht hilft unser Artikel Gehackt: Die ersten Schritte.

Das eigentliche Problem: alte PHP-Versionen

Bei aktuellen PHP-Versionen ist das Problem in wenigen Minuten gelöst. Sie spielen das Update ein und starten den Dienst neu. Für Unternehmen mit älteren Anwendungen sieht es anders aus.

PHP 5, PHP 7.0 bis 7.3 und ähnliche Versionen bekommen keinerlei Korrektur. Für PHP 7.4, 8.0 und 8.1 gibt es nur eine Korrektur im Quellcode. Daraus muss jemand erst ein fertiges PHP-Paket bauen. Manche Linux-Distributionen und Anbieter von Langzeit-Support tun das. Verlassen können Sie sich darauf nicht.

Gerade diese älteren Anwendungen sind oft geschäftskritisch, etwa eine Warenwirtschaft oder ein Kundenportal. Sie laufen seit Jahren ohne Probleme. Niemand hatte einen Grund, sie anzufassen. So geht es vielen Unternehmen, und das ist verständlich. Die Lücke macht aber sichtbar, was sich dort über die Jahre angesammelt hat.

Für solche Systeme gibt es drei realistische Wege:

Kurzfristig isolieren. Die Anwendung ist dann nur noch aus dem Firmennetz oder per VPN erreichbar.
Einen Backport einsetzen. Ein Spezialist baut dafür PHP mit der Korrektur selbst. Alternativ liefert ein Anbieter mit Langzeit-Support das Paket.
Ein PHP-Upgrade durchführen. Die Anwendung wird auf eine unterstützte Version gehoben, mindestens PHP 8.3.

Die ersten beiden Wege verschaffen Zeit. Nur der dritte löst das Problem dauerhaft. Das BSI empfiehlt ausdrücklich, auf eine unterstützte PHP-Version zu migrieren. Mehr dazu lesen Sie in unseren Artikeln zu PHP 5.6 und PHP 7 End of Life.

Auch PHP 8.2 hat nur noch eine kurze Frist. Ende 2026 endet die Unterstützung. Müssen Sie ohnehin an die Anwendung? Dann planen Sie den Sprung auf 8.3 oder 8.4 gleich mit.

Was die Lücke über die Zukunft verrät

Die Lücken wurden mithilfe von KI gefunden. Das BSI erwartet, dass Angreifer dieselbe Technik nutzen, um aus Updates schnell Angriffe zu bauen. Die Zeit zwischen Veröffentlichung und Angriff wird damit kürzer.

Für Unternehmen heißt das: Ein Update-Prozess, der Wochen braucht, ist zu langsam. Sie sollten wissen, wo Ihre Software läuft und wer sie aktualisiert. Außerdem brauchen Sie jemanden, der von neuen Lücken früh erfährt und kurzfristig handelt.

Genau das leistet eine laufende Software-Wartung. Wie die Überwachung neuer Sicherheitslücken in der Praxis funktioniert, zeigt unser Artikel zum CVE-Monitoring.

Fazit: Heute prüfen, Altsysteme jetzt angehen

PHP2Shell betrifft fast jedes Unternehmen mit Website, Shop oder Webanwendung. Für aktuelle PHP-Versionen gibt es Updates, und die gehören heute eingespielt. Schwierig wird es bei Anwendungen auf alten PHP-Versionen. Dort reicht ein schneller Patch nicht.

Prüfen Sie heute, wo bei Ihnen PHP läuft und wer zuständig ist. Wo kein Update möglich ist, nehmen Sie das System vom Netz. Und planen Sie den Umstieg für Anwendungen auf PHP 8.1 oder älter.

Sie wissen nicht, ob Ihre Anwendung betroffen ist? Oder Ihr ehemaliger Entwickler ist nicht mehr erreichbar? Sprechen Sie uns an. Das Erstgespräch ist kostenlos. Wir prüfen Ihre Systeme und sichern alte PHP-Anwendungen kurzfristig ab. Danach planen wir mit Ihnen den Weg auf eine unterstützte Version.