Kritische PHP-Sicherheitslücken „PHP2Shell“

Diese Mitteilung ist als kritisch eingestuft.

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken in PHP geschlossen, der Programmiersprache, auf der zum Beispiel WordPress und viele Online-Shops laufen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt die Lücken „PHP2Shell“ (Kennungen CVE-2026-109618 und CVE-2026-109619). Auf Servern ohne das Update können Angreifer darüber ohne Anmeldung Schadcode ausführen.

Wir haben alle eigenen Systeme, das gesamte Webhosting sowie alle Managed-Server und Managed-VDS aktualisiert.

Wir empfehlen dringend zu prüfen, ob auf selbst verwalteten Servern oder VDS noch eine alte PHP-Version läuft, und dann umgehend zu handeln (siehe unten).

Welche PHP-Installationen sind betroffen?

PHP2Shell betrifft jede PHP-Installation, die Webanfragen verarbeitet und das Update vom 21. Oktober 2026 noch nicht hat. Das gilt unabhängig davon, wie PHP mit dem Webserver verbunden ist, darunter PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed.

Die Lücken gelten als besonders gefährlich: Ein Angreifer braucht weder Zugangsdaten noch die Mithilfe eines Nutzers, etwa einen Klick auf einen Link, um einen ungeschützten Server zu übernehmen.

Wie schätzt das BSI die Lage ein?

Das BSI warnt in einer Cybersicherheitswarnung zu PHP vor den Lücken und rät, die Updates unverzüglich einzuspielen. Bestätigte Angriffe in großem Umfang sind dem BSI bislang nicht bekannt; es gibt aber unbestätigte Berichte über existierende Exploits, also fertige Angriffswerkzeuge.

Was bedeutet PHP2Shell für die Systeme bei uns?

Die Updates des PHP-Projekts waren am 21. Oktober 2026 ab 16 Uhr verfügbar. Wir haben alle eigenen Systeme, das gesamte Webhosting sowie alle Managed-Server und Managed-VDS unserer Kunden auf die bereitgestellten Sicherheitsupdates umgestellt. Eine Ausnutzung der Lücken haben wir auf unseren Systemen bisher nicht festgestellt.

Für Websites und Anwendungen auf diesen Systemen ist nach heutigem Stand nichts weiter zu tun. Das gilt auch für alle Webhosting-Pakete ohne eigenen Server.

Welche PHP-Version ist sicher?

Sicher sind diese Versionen oder neuer:

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Die eingesetzte PHP-Version zeigt die Verwaltungsoberfläche des Servers, zum Beispiel Plesk. Auch der Administrator oder die betreuende Agentur kann sie nennen. Die Tabelle zeigt, was je nach Version zu tun ist:

PHP-Version	Was zu tun ist
≤ 8.5.11	Update auf 8.5.12 einspielen
≤ 8.4.26	Update auf 8.4.27 einspielen
≤ 8.3.35	Update auf 8.3.36 einspielen
≤ 8.2.34	Update auf 8.2.35 einspielen, besser gleich auf 8.4 oder neuer wechseln (Sicherheitsupdates für 8.2 enden am 31. Dezember 2026)
≤ 8.1.34	unsicher, umgehend auf 8.4 oder neuer wechseln
≤ 8.0.30	unsicher, umgehend auf 8.4 oder neuer wechseln
≤ 7.4.33	unsicher, umgehend auf 8.4 oder neuer wechseln
≤ 7.3.33	unsicher, umgehend auf 8.4 oder neuer wechseln
≤ 7.2.34	unsicher, umgehend auf 8.4 oder neuer wechseln
≤ 5.6.40	unsicher, umgehend auf 8.4 oder neuer wechseln

PHP 8.1 und ältere Versionen werden vom PHP-Projekt nicht mehr gepflegt. Es gibt dafür kein offizielles Update. Einzelne Linux-Distributionen liefern eigene Korrekturen für ältere Versionen aus. Ob diese vollständig schützen, können wir nicht beurteilen. Der sichere Weg ist der Wechsel auf eine aktuelle Version.

Für PHP 8.2 enden die Sicherheitsupdates zum Jahresende 2026. Wir empfehlen deshalb allen Kunden, ihre Websites und Anwendungen auf mindestens PHP 8.3 umzustellen, besser auf das aktuelle PHP 8.4 oder 8.5, und raten, dies umgehend zu prüfen.

Was ist bei selbst verwalteten Servern und VDS zu tun?

PHP umgehend auf eine der sicheren Versionen aktualisieren und anschließend alle PHP-Dienste neu starten. Laut PHP-Projekt gibt es außer dem Update keine vollständige Abhilfe.

Die Version in der Verwaltungsoberfläche des Servers oder mit php -v prüfen. Der Befehl zeigt nur die Version der Kommandozeile.
Stammt PHP aus den Paketen der Linux-Distribution, deren Sicherheitsupdate einspielen.
Nach dem Update alle PHP-Dienste beziehungsweise den Webserver neu starten, damit die neue Version aktiv wird. Wenn die Dienste nicht neu gestartet werden, bleiben die alten unsicheren PHP-Versionen aktiv!

Wer Sicherheitsupdates wie dieses nicht selbst einspielen möchte, kann für Server und VDS unseren Managed Service hinzubuchen. Dann übernehmen wir die Updates. Anfragen dazu nimmt unser Kundenservice über das Kontaktformular entgegen.

Ist unklar, welche PHP-Version läuft, oder gibt es Fragen? Unser Kundenservice hilft gerne weiter.

Quellen

Stand: 21. Oktober 2026