Version 4.0 // Digital Astronauts
LautundKlar GmbH
Ludwigstraße 2
94032 Passau
PHP-SICHERHEITSLÜCKE „PHP2SHELL“: IST DEINE WEBSITE BETROFFEN?
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht. PHP ist die Grundlage für einen Großteil aller Websites, darunter WordPress, WooCommerce, Shopware, TYPO3 und viele weitere Systeme. Wenn deine Website oder dein Shop auf PHP läuft, solltest du jetzt handeln.
Was ist passiert?
Die Lücken mit dem Spitznamen „php2shell“ (CVE-2026-109618 und CVE-2026-109619) stecken in PHP selbst, also nicht in einem einzelnen Plugin oder CMS. Angreifer können darüber unter Umständen ohne Anmeldung Schadcode auf dem Webserver ausführen und so die Kontrolle über die Website übernehmen. Beide Lücken sind mit 9,2 von 10 Punkten als kritisch eingestuft. Weil Details schon vor der offiziellen Veröffentlichung durchgesickert sind, wurden bereits erste Angriffsversuche beobachtet. Abwarten ist deshalb keine gute Idee.
Bin ich betroffen?
Grundsätzlich ist jede Website betroffen, die eine noch nicht aktualisierte PHP-Version nutzt. Ein Update deines CMS, Shops oder deiner Plugins allein hilft hier nicht, denn das Problem liegt eine Ebene tiefer.
Diese PHP-Versionen sind abgesichert:
- PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (offizielle Updates)
- PHP 7.4, 8.0 und 8.1: Für diese älteren Versionen gibt es keine offiziellen Updates mehr. Viele Hoster und Anbieter wie Plesk oder TuxCare liefern aber bereits abgesicherte Versionen aus. Die Versionsnummer bleibt dabei oft gleich.
- PHP 7.3 und älter: Hier sind Korrekturen nur teilweise und nur über kostenpflichtige Anbieter verfügbar. Diese Versionen solltest du als gefährdet betrachten.
Was soll ich jetzt tun?
- PHP-Version prüfen: Welche Version deine Website nutzt, siehst du meist im Kundenbereich deines Hosters oder in den Website-Zustandsinformationen von WordPress.
- Beim Hoster nachfragen: Wurde das Update bereits eingespielt? Gerade bei älteren PHP-Versionen lohnt sich die direkte Nachfrage.
- Eigene Server aktualisieren: Wenn du deinen Server selbst betreibst, spiele die Updates ein und starte anschließend PHP bzw. den Webserver neu. Ohne Neustart läuft weiter die alte Version.
- Docker-Images neu bauen, falls du PHP in Containern nutzt.
- Geräte nicht vergessen: Auch Router, NAS-Systeme und andere Geräte mit Weboberfläche nutzen teils PHP. Prüfe, ob der Hersteller ein Firmware-Update anbietet.
Wichtig: Nur ein Update schließt die Lücken vollständig. Änderungen an der Konfiguration können das Risiko senken, ersetzen das Update aber nicht.
Langfristig: Veraltete PHP-Versionen sind ein Risiko
Dieser Fall zeigt, warum eine aktuelle PHP-Version so wichtig ist: Für veraltete Versionen gibt es bei neuen Sicherheitslücken oft gar keine oder nur verspätete Korrekturen. Wenn deine Website noch auf PHP 7.x oder älter läuft, ist jetzt ein guter Zeitpunkt, ein Update der Website zu planen.
Weiterführende Informationen
