PHP-Sicherheitslücken: Was Website-Betreiber jetzt wissen müssen
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, über die Angreifer ohne Anmeldung Schadcode auf Webservern ausführen können. Betroffen sind praktisch alle PHP-basierten Websites – von WordPress über Shopware bis TYPO3. Das BSI rät, die Updates unverzüglich einzuspielen.
Die Lücken: „PHP2Shell“
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 stecken im Kern von PHP und sind mit CVSS 9,2 von 10 bewertet. Gefährdet ist jede PHP-Installation, die Webanfragen beantwortet – besonders Apache mit mod_php. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es Patches nur noch über Linux-Distributionen oder Hoster.
Warum Eile geboten ist
Öffentliche Angriffsbeispiele kursieren bereits, erste Angriffsversuche wurden schon am Tag der Veröffentlichung gemeldet. Gelingt ein Angriff, drohen Datendiebstahl mit DSGVO-Meldepflicht, manipulierte Websites, Ausfälle und weitere Angriffe bis hin zu Ransomware.
Was Sie jetzt tun sollten
PHP-Version prüfen – im Kundenmenü des Hosters, etc.
Update einspielen oder sich vom Hoster schriftlich bestätigen lassen, dass gepatcht ist.
Alte Versionen ablösen: PHP 8.1 und älter wird nicht mehr gepflegt, PHP 8.2 nur noch bis Ende 2026.
Andere Systeme prüfen: PHP steckt auch in NAS-Systemen, Routern und Netzwerkkomponenten.
Wir unterstützen Sie
Sie sind unsicher, ob Ihre Systeme betroffen sind? TW Computersysteme prüft Ihre PHP-Umgebungen, spielt die Updates ein und begleitet die Migration veralteter PHP-Versionen. Sprechen Sie uns an – wir melden uns kurzfristig.
Quellen
BSI: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit