PHP-Sicherheitslücke PHP2Shell: Was Unternehmen mit eigener Webseite jetzt prüfen sollten

Drei Felder in den procado-Farben mit den Kennzahlen 74 Prozent, 45 Prozent und Paragraf 38 BSIG

Eine PHP-Sicherheitslücke mit dem Namen PHP2Shell hat in dieser Woche zahlreiche Webseiten in Deutschland vom Netz gezwungen, darunter Angebote von Behörden, Kliniken und Hochschulen. Angreifer*innen können darüber ohne Anmeldung eigenen Code auf Webservern ausführen. Die Updates sind seit Mittwochnachmittag verfügbar, eingespielt sind sie aber längst nicht überall. Betreibt ihr eine Webseite, einen Onlineshop oder ein Kundenportal, solltet ihr deshalb heute prüfen, ob eure Systeme geschützt sind. Wir zeigen euch, worauf es jetzt ankommt.

Was ist PHP2Shell und was ist es nicht?

PHP ist die Programmiersprache, auf der ein großer Teil des Internets läuft. WordPress, TYPO3, Joomla, Drupal, Magento und Nextcloud bauen darauf auf, ebenso die Oberflächen von Firewalls wie pfSense und OPNsense. Unter den Kennungen CVE-2026-109618 und CVE-2026-109619 sind nun zwei Schwachstellen im PHP-Interpreter selbst bekannt geworden. Beide stecken in der internen Speicher- und Fehlerbehandlung und erlauben im schlimmsten Fall die Übernahme des Webservers. Das PHP-Team bewertet beide mit 9,2 von 10 Punkten.

Wichtig ist die Abgrenzung: PHP2Shell ist kein Fehler in WordPress oder in einem Plugin. Ein WordPress-Update hilft deshalb nicht, das Problem liegt eine Ebene tiefer. Ebenso wenig betrifft die Lücke die Rechner von Besucher*innen, gefährdet sind die Server, auf denen PHP läuft. Der Name ist übrigens bewusst an Log4Shell angelehnt, also an jene Lücke, die Ende 2021 IT-Abteilungen weltweit in den Ausnahmezustand versetzt hat.

Wie weit reicht die PHP-Sicherheitslücke?

Laut W3Techs läuft PHP auf rund 69 Prozent aller Webseiten, deren Serversprache bekannt ist. Gut ein Drittel davon nutzt noch PHP 7 oder sogar PHP 5. Für diese Versionen gibt es vom PHP-Projekt keine Updates mehr. Folglich bleibt dort nur der Weg über Distributionen, Hoster oder einen Versionswechsel.

Wie ernst die Lage ist, zeigt der Verlauf. Amazon registrierte einen ersten Angriffsversuch bereits am 17. Oktober, also vier Tage vor der Veröffentlichung. Das BSI warnte am 21. Oktober mit Warnstufe 3 (Orange), und viele Betreiber*innen nahmen ihre Seiten vorsorglich vom Netz, unter anderem das Berliner Stadtportal. Laut Cloudflare-Chef Matthew Prince gab es weltweit bereits Millionen Angriffsversuche.

Abgesichert sind diese Versionen:

PHP 8.5.12, 8.4.27 und 8.3.36, jeweils mit regulärem Support
PHP 8.2.35, allerdings nur noch bis Jahresende mit Sicherheitsupdates versorgt
PHP 8.1 und älter erhalten kein Update mehr vom PHP-Projekt

Welche Risiken entstehen für euer Unternehmen?

1. Datenschutz

Über eine übernommene Webseite können Angreifer*innen Kontaktformulare, Kundenkonten oder Bestelldaten abgreifen. Werden personenbezogene Daten verletzt, müsst ihr das nach Art. 33 DSGVO innerhalb von 72 Stunden an die Aufsichtsbehörde melden.

2. Regulatorik und NIS-2

Fallt ihr unter NIS-2, gilt eine bekannte und ausgenutzte Lücke mit verfügbarem Patch als klassischer Prüfpunkt. Zusätzlich greifen eigene Meldefristen gegenüber dem BSI, sobald ein erheblicher Vorfall vorliegt.

3. Haftung der Geschäftsführung

Geschäftsführer*innen haften für die Sorgfalt in der Unternehmensführung, und dazu gehört eine angemessene IT-Sicherheit. Für NIS-2-pflichtige Einrichtungen verlangt das BSI-Gesetz zudem ausdrücklich, dass die Geschäftsleitung das Risikomanagement billigt und überwacht.

4. Der wirtschaftliche Schaden

Laut Bitkom entstand der deutschen Wirtschaft in den vergangenen zwölf Monaten ein Schaden von mindestens 211 Milliarden Euro durch Diebstahl, Spionage und Sabotage. Rund drei Viertel davon gehen auf Cyberangriffe zurück.

Wie ihr euch jetzt absichert

Drei Schritte reichen, um die Lage für eure Systeme sauber zu klären.

Erstens: Version prüfen.
Findet heraus, welche PHP-Version wirklich läuft. In WordPress zeigt das der Website-Zustand unter „Werkzeuge“. Denkt dabei auch an Testsysteme, alte Portale und Geräte mit PHP-Oberfläche.
Zweitens: Update einspielen.
Spielt das Update ein oder lasst es euch vom Hoster schriftlich bestätigen. Für PHP 8.1 und älter braucht ihr einen Versionswechsel oder eine Korrektur der Linux-Distribution. Am höchsten ist das Risiko laut PHP-Team bei Apache mit mod_php, gefährdet sind aber auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed.
Drittens: Spuren suchen.
Prüft Logs, Dateien und Admin-Konten ab dem 17. Oktober. Ein Update schließt die Tür, wirft aber niemanden hinaus, der schon drin ist. Bei einem Verdacht isoliert ihr das System, erneuert Zugangsdaten und API-Schlüssel und dokumentiert alles.

Was procado übernimmt

Bei Webservern fällt das Patchen oft zwischen Hoster, Agentur und interne IT. Genau diese Lücke schließen wir.

Patchmanagement und Betrieb. Mit unseren Managed Services überwachen wir eure Systeme und spielen kritische Updates zeitnah ein, damit nichts liegen bleibt.
Bestandsaufnahme. Wir prüfen mit euch, wo PHP in eurer Infrastruktur läuft, in welcher Version und wer dafür zuständig ist.
NIS-2 und Informationssicherheit. Wir klären, ob ihr unter NIS-2 fallt, und begleiten euch als externe ISB beim Aufbau eures Risikomanagements.
Notfall üben. Wie reagiert euer Team, wenn die Webseite plötzlich vom Netz muss? Genau das trainieren wir in Tabletop-Übungen.

Fazit: Abschalten ist kein Plan

PHP2Shell zeigt, wie kurz der Abstand zwischen Veröffentlichung und Angriff inzwischen ist. Die Forscher*innen von Wiz berichten sogar, dass KI-Modelle geholfen haben, aus einem lange bestehenden Fehler einen funktionierenden Angriff zu machen. Viele Betreiber*innen hatten diese Woche deshalb nur eine Wahl, nämlich ihre Seite abzuschalten.

Wer dagegen klare Zuständigkeiten und ein eingespieltes Patchmanagement hat, kann einfach updaten und weiterarbeiten. Diese Woche war dafür ein deutlicher Weckruf.

Ihr wisst nicht genau, auf welchen Systemen bei euch PHP läuft? Genau dafür ist die Bestandsaufnahme da. Meldet euch, wir schauen gemeinsam drauf.

Jetzt unverbindlich Kontakt aufnehmen

FAQ: PHP-Sicherheitslücke PHP2Shell

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Schwachstellen im PHP-Interpreter (CVE-2026-109618 und CVE-2026-109619). Sie erlauben Angreifer*innen, ohne Anmeldung eigenen Code auf Webservern auszuführen. Beide Lücken sind mit 9,2 von 10 Punkten bewertet.

Welche PHP-Versionen sind sicher?

Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere Versionen liefert das PHP-Projekt keine Updates mehr.

Reicht ein WordPress-Update?

Nein. Die Lücke sitzt in PHP selbst und nicht in WordPress. Entscheidend ist die PHP-Version auf dem Server, die bei Shared und Managed Hosting der Anbieter aktualisiert.

Müssen Besucher*innen einer Webseite etwas tun?

Nein, die Lücke betrifft die Server und nicht die Endgeräte. Indirekt können Nutzer*innen nur betroffen sein, wenn Dienste ausfallen oder Daten von nicht geschützten Seiten abfließen.

Was tun bei Verdacht auf einen erfolgreichen Angriff?

Isoliert das System, erneuert Zugangsdaten und API-Schlüssel und dokumentiert alles. Sind personenbezogene Daten betroffen, gilt die Meldepflicht nach Art. 33 DSGVO innerhalb von 72 Stunden.

Weitere Links und Hinweise

Stand dieses Beitrags: 22. Oktober 2026. Die Lage entwickelt sich weiter.