Die aktuelle PHP-Sicherheitslücke betrifft jede Website und Webanwendung, die auf PHP läuft. Am 21. Oktober 2026 hat das PHP-Team zwei kritische Fehler (CVE-2026-109618 und CVE-2026-109619) behoben, die unter dem Namen PHP2Shell bekannt sind. Für Betriebe in Wertheim und im Main-Tauber-Kreis heißt das: Update einspielen, Dienste neu starten, und zwar jetzt.
Was ist PHP2Shell und warum ist die Lücke so gefährlich?
PHP2Shell ist der Name für zwei Speicherfehler im Kern von PHP. Ein Angreifer kann sie über eine einzelne Anfrage aus dem Internet ausnutzen, ohne sich anzumelden. Möglich sind die Ausführung eigener Befehle auf dem Server und das Auslesen von Speicherinhalten wie Passwörtern, Sitzungsdaten oder API-Schlüsseln.
Besonders heikel: Der Angriff greift an, bevor der eigentliche Anwendungscode läuft. Ein aktuelles WordPress, Joomla oder Shopsystem schützt deshalb nicht, solange PHP darunter veraltet ist. PHP selbst bewertet beide Lücken mit 9,2 von 10 Punkten. Cloudflare meldet erste Angriffe bereits einige Stunden vor der Veröffentlichung des Patches, ein Exploit-Werkzeug ist öffentlich verfügbar.
Kurz gesagt: Die Lücke wird bereits ausgenutzt, der Patch ist verfügbar. Wer PHP auf einem Server betreibt, sollte nicht auf den nächsten Wartungstermin warten.
Bin ich von der PHP-Sicherheitslücke betroffen?
Betroffen sind alle PHP-Versionen ab 5.4 und jede Betriebsart, ob PHP-FPM, Apache mit mod_php oder LiteSpeed. Die Berichte nennen Anwendungen wie WordPress, Joomla, Drupal, Magento, Nextcloud, Roundcube und phpMyAdmin als nachweislich angreifbar. Entscheidend ist die PHP-Version auf dem Server, nicht die der Anwendung.
| PHP-Version | Status | Was zu tun ist |
|---|---|---|
| 8.5, 8.4, 8.3, 8.2 | Gepatcht in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 | Update einspielen, Dienste neu starten |
| 7.4 bis 8.1 | Kein offizielles Release, nur Quellcode-Korrekturen vom PHP-Team | Paket vom Distributor oder Hoster erfragen, sonst auf 8.2 oder neuer wechseln |
| 5.4 bis 7.3 | Ausgelaufen, kein Fix | Migration auf eine unterstützte Version, bis dahin vom Netz nehmen |
Wer eine Website bei einem Hoster betreibt, ist ebenfalls betroffen. Dort liegt das Update beim Anbieter. Eine kurze Nachfrage, ob und wann gepatcht wird, lohnt sich.
Was tun gegen die PHP-Sicherheitslücke? Schritt für Schritt
Bestandsaufnahme
Wo läuft PHP? Website, Online-Shop, Webmail, Intranet, Kundenportal, Nextcloud, phpMyAdmin. Auch vergessene Testsysteme zählen, sie sind oft die ältesten.
PHP-Version prüfen
Die installierte Version mit der Tabelle oben abgleichen. Bei Paketen aus Linux-Distributionen die Hinweise des Herstellers beachten, die Backports tragen teils eine ältere Versionsnummer.
Update einspielen und Dienste neu starten
Nach dem Update müssen PHP-FPM, Apache und alle PHP-Worker neu gestartet werden. Ohne Neustart läuft weiter der alte, verwundbare Code.
Auf Spuren eines Angriffs prüfen
Webserver-Logs ab dem 21. Oktober auf auffällige Anfragen mit Datei-Upload-Format (multipart/form-data) und neue, unbekannte Dateien im Webverzeichnis durchsehen.
Zugangsdaten und Schlüssel erneuern
Weil die Lücke Speicherinhalte preisgeben kann, sind Passwörter, API-Schlüssel und Zertifikatsschlüssel auf betroffenen Servern im Zweifel neu zu vergeben.
Notlösungen, wenn der Patch nicht sofort möglich ist
Ein Update ist laut PHP die einzige vollständige Lösung. Wo es nicht sofort geht, gibt es Übergangsmaßnahmen, die das Risiko senken, aber nicht beseitigen:
- Upload-Fortschritt abschalten:
session.upload_progress.enabled = 0in der PHP-Konfiguration. - Speicherlimit fest setzen:
memory_limit = -1, so hinterlegt, dass Anwendungen den Wert nicht überschreiben können. Das hat einen Preis, denn ein einzelner Request kann dann den gesamten Serverspeicher belegen. Die Auslastung muss beobachtet werden. - Uploads blockieren: Anfragen mit multipart/form-data am Webserver ablehnen. Dann funktionieren aber auch Datei-Uploads und unter Umständen Formulare nicht mehr.
- Seite vorübergehend offline nehmen: Eine statische Wartungsseite ausliefern und PHP stoppen. Der Wartungsmodus von WordPress oder Magento reicht dafür nicht, weil PHP die Anfragen schon vorher verarbeitet. Diese Linie vertreten auch das EU-Cyberteam CERT-EU und das britische NCSC.
Cloudflare hat Filterregeln für bekannte Angriffswege ausgerollt, auch für den kostenlosen Tarif. Sie greifen nur für Datenverkehr, der über Cloudflare läuft, und Cloudflare selbst bezeichnet sie als Übergangslösung.
Warum veraltetes PHP jetzt zum Betriebsrisiko wird
Die Lücke zeigt ein Problem, das viele kleine Betriebe kennen: PHP läuft seit Jahren im Hintergrund und niemand fasst es an. Für alles unterhalb von PHP 8.2 gibt es keinen regulären Patch mehr.
Praxisbeispiel aus der Region
Ein Handwerksbetrieb im Main-Tauber-Kreis hat seine Firmenwebsite vor einigen Jahren von einer Agentur bauen lassen. Sie läuft auf einem günstigen Hosting-Paket mit PHP 7.4, das CMS wird nur gelegentlich aktualisiert. Im Alltag fällt nichts auf, die Seite funktioniert. Bei der PHP2Shell-Lücke liegt das Problem aber unterhalb des CMS: Ein Update der Website-Software ändert nichts. Hier hilft nur ein PHP-Wechsel beim Hoster, was bei alten Themes und Plugins eine Kompatibilitätsprüfung erfordert. Wer das vor der Lücke erledigt hat, spart sich jetzt den Zeitdruck.
Website und Shop
CMS und Shopsysteme wie WordPress, Joomla oder Magento hängen am PHP des Servers. Beim Hoster nachfragen, welche Version aktiv ist.
Webmail und Portale
Roundcube, Nextcloud oder ein selbst gehostetes Kundenportal laufen auf PHP und sind aus dem Internet erreichbar.
Interne Systeme
Auch Intranet, Wikis und Verwaltungsoberflächen wie phpMyAdmin sind betroffen, sobald jemand sie von außen erreicht.
Eigene Entwicklungen
Individuelle PHP-Anwendungen laufen auf demselben Interpreter. Sie schützt nur ein Update von PHP, nicht der eigene Code.
Häufige Fragen zur PHP-Sicherheitslücke
Reicht ein Update von WordPress oder meinem CMS?
Nein. Die Lücke liegt in PHP selbst. Das CMS-Update ersetzt das PHP-Update nicht, beides ist unabhängig voneinander nötig.
Ist Windows oder IIS betroffen?
Die Berichte nennen vor allem Webserver mit PHP-FPM, Apache und LiteSpeed. Zu IIS gibt es keine gesonderten Hinweise. Grundsätzlich gilt: Wo PHP Webanfragen bedient und die Version unter dem gepatchten Stand liegt, besteht Handlungsbedarf.
Muss ich Passwörter ändern?
Wenn ein Server seit dem 21. Oktober ungepatcht aus dem Internet erreichbar war, ist das eine sinnvolle Vorsichtsmaßnahme. Die Lücke kann Speicherinhalte preisgeben, und ob jemand sie genutzt hat, lässt sich ohne Log-Auswertung nicht sicher sagen.
Hilft eine Firewall oder WAF?
Nur eingeschränkt. Der Angriff läuft innerhalb von PHP und damit vor dem Anwendungscode. Eine WAF kann bekannte Angriffsmuster abfangen, ersetzt aber das Update nicht.
Wie schnell muss ich handeln?
So schnell wie möglich. Exploit-Code ist öffentlich, Cloudflare hat Angriffe beobachtet. Ein Server mit alter PHP-Version, der aus dem Internet erreichbar ist, sollte noch heute gepatcht oder vom Netz genommen werden.
Fazit: Bei der PHP-Sicherheitslücke zählt der Neustart nach dem Patch
PHP2Shell ist eine der ernstesten PHP-Lücken der letzten Jahre. Wer die PHP-Version kennt, auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisiert und anschließend alle Dienste neu startet, ist auf der sicheren Seite. Systeme mit PHP 8.1 oder älter brauchen einen Plan für den Versionswechsel.
Die CoKom GmbH unterstützt Unternehmen in Wertheim, im Main-Tauber-Kreis und in Baden-Württemberg dabei, ihre PHP-Systeme zu finden, zu patchen und auf Spuren zu prüfen. Mehr dazu unter IT-Sicherheit für KMU. Wie Angreifer auch Firewalls und VPN-Zugänge ins Visier nehmen, steht im Beitrag Sicherheitslücke im VPN-Gateway, und eine Vorlage für den Ernstfall liefert der IT-Notfallplan für KMU.