PHP2Shell: Kritische Schwachstellen gefährden Websites und Geschäftsanwendungen

Zwei neue kritische Schwachstellen in der Programmiersprache PHP haben weltweit Sicherheitswarnungen ausgelöst. Europäische und nationale Institutionen rufen zu sofortigem Handeln auf, da Angreifer die Kontrolle über anfällige Webserver übernehmen könnten. In Slowenien hat das Informationssicherheitsamt der Republik Slowenien die Cyber-Bedrohungsstufe auf hoch angehoben.

Kurzgefasst

• Was: Zwei kritische Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2/10).
• Behobene Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
• Was jetzt zu tun ist: Überprüfen Sie die PHP-Version auf Ihren Servern und installieren Sie so schnell wie möglich die Patches.

Warum dies für fast jedes Online-Business wichtig ist

PHP ist eine der am weitesten verbreiteten Programmiersprachen für den Betrieb von Websites und Anwendungen. Sie wird von zahlreichen Systemen verwendet, von WordPress-basierten Websites bis hin zu Onlineshops, Benutzerportalen und Geschäftsanwendungen.

Laut Daten von W3Techs vom 21. Oktober 2026 nutzen 69,3 % der Websites, bei denen die serverseitige Programmiersprache identifiziert werden kann, PHP.

Das bedeutet nicht, dass fast 70 % des Internets bereits angegriffen wurden. Es bedeutet jedoch, dass eine Schwachstelle in einer so weit verbreiteten Technologie enorme Auswirkungen auf Unternehmen und Organisationen weltweit haben kann.

Zwei Schwachstellen mit einem Score von 9,2 von 10

Die als CVE-2026-109618 und CVE-2026-109619 gekennzeichneten Schwachstellen sind auch unter dem gemeinsamen Namen PHP2Shell bekannt.

Beide haben eine kritische Bewertung von CVSS 9,2/10. Sie hängen mit fehlerhafter Speicherverwaltung in PHP zusammen und können einem Angreifer unter bestimmten Umständen die Remote-Ausführung von Schadcode ohne vorherige Anmeldung ermöglichen.

Ein erfolgreicher Angriff könnte zu unbefugtem Datenzugriff, Änderungen an der Website, Geschäftsunterbrechungen oder der Übernahme des anfälligen Serverprozesses führen.

Besonders wichtig ist, dass es sich um Schwachstellen im PHP-Kern selbst handelt, nicht nur in einem einzelnen Plugin oder einer Anwendung. Daher reicht eine bloße Aktualisierung von WordPress oder seiner Plugins nicht aus, wenn der Server weiterhin eine anfällige PHP-Version verwendet.

Sicherheitsbehörden rufen zu sofortigem Handeln auf

Die Ernsthaftigkeit des Ereignisses wird auch durch die Reaktionen nationaler und internationaler Institutionen bestätigt.

Das slowenische Informationssicherheitsamt (URSIV) veröffentlichte am 21. Oktober eine Verordnung über dringende Maßnahmen aufgrund der PHP-Schwachstellen. Die Bedrohungsstufe für Netzwerke und Informationssysteme der Verpflichteten nach dem Informationssicherheitsgesetz (ZInfV-1) wurde auf hoch angehoben.

Die europäischen Behörden CERT-EU und ENISA empfehlen die sofortige Installation von Sicherheits-Patches sowie eine vorrangige Behandlung von über das Internet erreichbaren Systemen.

Auch die US-amerikanische National Security Agency (NSA) warnte Organisationen davor, betroffene Systeme zu aktualisieren. Wo eine sofortige Aktualisierung nicht möglich ist, wird geraten, das System vorübergehend außer Betrieb zu nehmen, bis das Risiko angemessen behoben werden kann.

Der Anbieter Cloudflare bestätigte unterdessen erkannte Angriffsversuche und führte zusätzliche Regeln für die Web Application Firewall (WAF) ein. Diese können die Exposition verringern, ersetzen jedoch keine Sicherheits-Patches.

Welche PHP-Versionen müssen aktualisiert werden?

Das PHP-Entwicklerteam hat am 21. Oktober 2026 Sicherheits-Patches veröffentlicht. Für die derzeit unterstützten Zweige wurden folgende Versionen korrigiert:

PHP-Versionen 8.1 und älter erhalten keine regulären Sicherheitsupdates mehr direkt vom PHP-Projekt. Für einige ältere Systeme sind möglicherweise spezielle Patches von Distributionsanbietern oder Long-Term-Support-Anbietern verfügbar, was für die jeweilige Umgebung geprüft werden muss.

Was empfehlen wir Unternehmen?

Wenn Ihr Unternehmen eine Website, einen Onlineshop oder eine Geschäftsanwendung auf PHP-Basis nutzt, empfehlen wir folgende Schritte:

1. Prüfen Sie die PHP-Version, die tatsächlich die jeweilige Website oder Anwendung betreibt. Vergessen Sie nicht alte Portale, Testsysteme und Anwendungen von Drittanbietern.
2. Installieren Sie den entsprechenden Sicherheits-Patch. Prüfen Sie vor dem Upgrade die Kompatibilität der Anwendung und erstellen Sie ein entsprechendes Backup.
3. Falls ein Update nicht sofort möglich ist, begrenzen Sie die Exposition. Nach einer Bewertung der geschäftlichen Auswirkungen schränken Sie den öffentlichen Zugriff vorübergehend ein oder führen Sie andere vom Hersteller empfohlene Maßnahmen durch.
4. Überprüfen Sie Sicherheitswarnungen und Protokolle. Überwachen Sie verdächtige Anfragen, ungewöhnliches Serververhalten und mögliche Anzeichen für unbefugten Zugriff.
5. Koordinieren Sie Maßnahmen mit Ihrem Hosting-Anbieter. Bei Managed Servern oder Hosting muss klar sein, wer für das PHP-Update verantwortlich ist.

Die PHP-Version lässt sich am häufigsten im Hosting-Control-Panel (z. B. cPanel oder Plesk), im Website-Zustands-Tool von WordPress überprüfen oder einfach bei Ihrem Hosting-Anbieter bzw. Entwickler anfragen.

Wenn Sie Cloudflare oder eine andere Web Application Firewall nutzen, sollte diese als zusätzlicher Schutz aktiviert bleiben. Für sich genommen bedeutet dies jedoch nicht, dass die Schwachstelle behoben ist.

Wie kann VitaliT helfen?

Für ein Unternehmen ist es nicht immer einfach festzustellen, welche Anwendungen PHP verwenden, ob das Update bereits installiert ist und ob ein Upgrade den Geschäftsbetrieb beeinträchtigen kann.

Bei VitaliT unterstützen wir Sie bei der technischen Überprüfung von Web- und Serverumgebungen, der Verifizierung von PHP-Versionen, der Bewertung der Exposition sowie der Koordination notwendiger Sicherheitsmaßnahmen. Mehr dazu auf der Seite Cybersecurity.

Bei Bedarf arbeiten wir auch mit Hosting-Anbietern und Anwendungsentwicklern zusammen, damit Patches kontrolliert durchgeführt und die Ergebnisse verifiziert werden können.

Offizielle Quellen und zusätzliche Informationen

Bin ich gefährdet, wenn ich WordPress verwende?

Ja. Die Schwachstellen befinden sich im PHP-Kern, nicht in WordPress oder Plugins. Wenn der Server eine anfällige PHP-Version verwendet, reicht ein WordPress-Update nicht aus. Die PHP-Version auf dem Server muss überprüft werden.

Reicht es aus, wenn ich Cloudflare oder eine andere Web Application Firewall verwende?

Nein. Zusätzliche WAF-Regeln können die Exposition verringern, ersetzen aber keine Sicherheits-Patches. PHP muss auf eine behobene Version aktualisiert werden.

Welche PHP-Versionen sind korrigiert?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Die Versionen 8.1 und älter erhalten keine regulären Sicherheitsupdates mehr vom PHP-Projekt, daher sollten für solche Systeme Optionen beim Distributionsanbieter geprüft oder ein Upgrade geplant werden.

• PHP: Offizielle Sicherheitswarnung und Patches
• CERT-EU: Critical Vulnerabilities in PHP, 2026-018
• SI-CERT: Kritische Schwachstellen in PHP
• URSIV: Verordnung über dringende Maßnahmen
• NSA: PHP Security Advisory
• Cloudflare: Schutz vor PHP2Shell-Schwachstellen

Der Artikel basiert auf Informationen, die am 21. Oktober 2026 veröffentlicht und überprüft wurden. Sicherheitsinformationen können im Zuge weiterer Untersuchungen und Reaktionen der Hersteller ergänzt werden.