Mitte Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP öffentlich – unter dem Namen „php2shell“ bekannt geworden als CVE-2026-109618 und CVE-2026-109619. Mehrere Behörden, darunter CERT-EU, stuften die Lage als kritisch ein, einzelne Websites gingen vorsorglich offline.
Worum es geht
Beide Schwachstellen liegen im Kern von PHP selbst und erlauben eine unauthentifizierte Remote-Code-Ausführung – ein Angreifer kann also ohne Login oder Passwort Code auf dem Server ausführen. Die Schwachstellen wurden mit einem CVSS-Wert von 9,2 (von maximal 10) als kritisch eingestuft. Betroffen sind praktisch alle PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed – also auch viele klassische Shared-Hosting-Pakete, auf denen CMS-Systeme wie WordPress, Joomla oder Magento laufen.
Welche Versionen betroffen sind
Die PHP-Entwickler haben die Lücken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen. Ältere, nicht mehr offiziell unterstützte Versionen (PHP 8.1 und früher) erhalten laut Hersteller in der Regel keinen offiziellen Patch mehr.
Was Unternehmen jetzt konkret tun sollten
Prüfen Sie zunächst, ob und mit welcher PHP-Version Ihre Website läuft – bei Shared Hosting übernimmt das oft der Hosting-Anbieter, eine kurze Nachfrage lohnt sich trotzdem. Danach gilt: auf eine der gepatchten Versionen aktualisieren, sobald wie möglich. Lässt sich ein Update nicht sofort umsetzen, empfiehlt sich eine vorübergehende Isolierung der betroffenen Anwendung vom öffentlichen Netz, bis der Patch eingespielt ist. Prüfen Sie außerdem Ihre Server-Logs auf ungewöhnliche Zugriffe.
Warum das auch kleinere Unternehmen betrifft
Viele Unternehmen wissen gar nicht genau, wo in ihrer IT-Landschaft überall PHP läuft – auch in Kontrollpaneelen oder vorinstallierter Software, die nicht offensichtlich danach aussieht. Als IT-Dienstleister unterstützen wir Unternehmen dabei, die eigene Infrastruktur auf solche Risiken zu prüfen und abzusichern.