PHP2Shell: Was die kritische PHP-Sicherheitslücke für Ihr Unternehmen bedeutet

Ihre Website läuft still im Hintergrund – wann haben Sie zuletzt nachgesehen?

Vielleicht kennen Sie das: Die Firmenwebsite läuft seit Jahren. Der Webshop nimmt Bestellungen entgegen, das Kundenportal zeigt Rechnungen an, und im Büro denkt niemand darüber nach. Es ist ja alles in Ordnung, solange nichts auffällt. Genau deshalb gerät eine Sicherheitslücke in einer Technik, die man nie sieht, leicht aus dem Blick.

Diese Woche gibt es einen guten Anlass, einmal hinzuschauen. Für PHP, die technische Grundlage vieler Websites und Webanwendungen, wurden am 21.10.2026 wichtige Sicherheitsupdates veröffentlicht. Die dazugehörige Lücke trägt den Namen „PHP2Shell“. Wir erklären Ihnen in diesem Beitrag, worum es geht, welche Systeme betroffen sein können und was Sie jetzt prüfen sollten. Ohne Panik, aber mit der nötigen Aufmerksamkeit.

Ob eine Lücke gefährlich wird, entscheidet nicht ihr Name, sondern die Frage, ob jemand in Ihrem Betrieb weiß, wo die betroffene Technik überhaupt läuft.

Was ist PHP? Der Motor unter der Haube

PHP ist eine Programmiersprache, die im Hintergrund arbeitet, wie ein Motor unter der Motorhaube. Besucher Ihrer Website sehen ihn nicht, aber er sorgt dafür, dass Seiten aufgebaut, Formulare verarbeitet und Bestellungen gespeichert werden.

PHP ist weit verbreitet: Von den Websites, deren Technik sich erkennen lässt, laufen rund sieben von zehn mit PHP. Dazu gehört auch WordPress, das viele Unternehmen für ihre Website nutzen. Das heißt nicht, dass PHP unsicher ist. Es heißt nur: Wenn dort eine Lücke auftaucht, kann das sehr viele Systeme betreffen.

Was ist PHP2Shell?

Am 21.10.2026 wurden zwei kritische Sicherheitslücken in PHP bekannt (CVE-2026-109618 und CVE-2026-109619). Die Bewertung liegt bei 9.2 von 10 Punkten (CVSS), also im kritischen Bereich. Dahinter steckt eine sogenannte Codeausführung: Im ungünstigen Fall kann ein Angreifer ohne Anmeldung eigenen Programmcode auf dem Server ausführen.

Mögliche Folgen sind, dass Daten abgegriffen werden, Schadsoftware eingeschleust wird oder die Website nicht mehr erreichbar ist. Ob und wie weit ein Angriff tatsächlich gelingt, hängt vom einzelnen System ab. Es gibt aber einen Grund, die Sache ernst zu nehmen: Angriffscode kursierte bereits, bevor die Korrekturen verfügbar waren.

Die gute Nachricht: Ein Update auf eine korrigierte PHP-Version schließt diese Lücke. Korrigiert ist die Lücke in diesen Versionen:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Eine neuere Ausgabe innerhalb derselben Versionsreihe ist ebenfalls korrigiert. Entscheidend ist also die genaue Versionsnummer, nicht nur die Reihe: Ein PHP 8.4 mit einer älteren Ausgabe als 8.4.27 ist weiterhin betroffen. Und: PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keinen offiziellen Fix. Wer dort noch läuft, muss auf eine unterstützte Version umstellen.

Wichtig für alle, die WordPress nutzen: Ein Update von WordPress oder Plugins allein reicht dafür nicht. Die Lücke steckt in PHP selbst, also unterhalb von WordPress. Nur eine korrigierte PHP-Version behebt sie. Updates von WordPress und Plugins bleiben trotzdem wichtig, denn sie schließen andere Lücken. Mehr dazu lesen Sie im Lexikon unter WordPress-Update.

Nicht nur die Website: Wo PHP noch laufen kann

Beim Stichwort PHP denken die meisten an die eigene Website. PHP kann aber auch an Stellen laufen, an die kaum jemand denkt. Auch außerhalb Ihrer Website kann PHP eingesetzt werden, etwa:

• in den Verwaltungsoberflächen bestimmter Netzwerkspeicher (NAS) und Firewalls
• in selbst betriebenen Webshops auf eigenen Servern
• in Software zur Kundenverwaltung (CRM) und anderen Webanwendungen auf eigenen Servern

Nicht jedes dieser Systeme nutzt PHP, und nicht jedes ist automatisch betroffen. Ob Ihre Systeme PHP verwenden und welche Version läuft, lässt sich aber nur prüfen, wenn jemand nachsieht.

Besonders zuerst prüfen sollten Sie alles, was aus dem Internet erreichbar ist. Das sind zum Beispiel die Website, ein Shop, ein Kundenportal oder eine Verwaltungsoberfläche, die von außen aufrufbar ist. Nutzt ein solches System eine betroffene PHP-Version, kann ein Angriff von außen möglich sein. Systeme, die nur im internen Netz laufen, sind nicht unwichtig, stehen aber in der Reihenfolge weiter hinten.

Erste Schutzmaßnahmen und die eigentliche Lösung

Es ist wichtig, zwischen zwei Dingen zu unterscheiden:

Übergangsschutz. Bis PHP aktualisiert ist, kann je nach System eine vorläufige Schutzmaßnahme Zeit verschaffen, ist aber ausdrücklich kein Ersatz für das Update. Technische Einzelheiten dazu gehören in die Hände Ihres Dienstleisters.

Die eigentliche Lösung. Das ist das Update auf eine korrigierte PHP-Version. Erst damit ist die Ursache beseitigt. Bei Websites erledigt das in der Regel der Hosting-Anbieter oder Ihr Dienstleister. Wie das bei einem Gerät wie einem NAS oder einer Firewall funktioniert, hängt vom jeweiligen System ab. Hier lohnt sich die Rückfrage, welche Aktualisierung für Ihr Gerät vorgesehen ist.

Ein regelmäßiges Patch-Management sorgt dafür, dass solche Aktualisierungen nicht vom Zufall abhängen. Wer seine Systeme kennt und pflegt, kann bei einer Meldung wie dieser gezielt handeln, statt erst nach der Technik zu suchen.

So prüfen Sie Ihren Stand: eine Checkliste

Sie müssen die technischen Details nicht selbst ermitteln. Die folgenden Fragen helfen Ihnen aber, sich einen Überblick zu verschaffen. Gehen Sie sie selbst oder gemeinsam mit Ihrem Dienstleister durch:

1. Wo kann PHP bei uns laufen? Denken Sie an Website, Webshop, Kundenportal, CRM, NAS und Firewall.
2. Was davon ist aus dem Internet erreichbar? Diese Systeme zuerst prüfen.
3. Welche PHP-Version ist dort installiert? Ist es eine korrigierte Version (8.2.35, 8.3.36, 8.4.27 oder 8.5.12 beziehungsweise eine neuere Ausgabe innerhalb der jeweiligen Reihe)?
4. Läuft noch PHP 8.1 oder älter? Dafür stellt das PHP-Projekt keinen offiziellen Fix bereit. Hier ist eine Umstellung der nächste Schritt.
5. Wer ist zuständig? Wissen Sie, wer bei Ihnen Updates einspielt: Ihr Hosting-Anbieter, ein Dienstleister oder ein Mitarbeiter?

Wenn Sie eine dieser Fragen nicht beantworten können, ist das kein Vorwurf. Genau dafür gibt es externe Unterstützung. Mit regelmäßiger Website-Wartung bleibt der Stand Ihrer Website nachvollziehbar.

Was wir für unsere betreuten Websites getan haben

Als Dienstleister für Website-Wartung haben wir sofort reagiert. Für die von uns betreuten WordPress-Websites heißt das:

• Wir haben alle betreuten WordPress-Websites geprüft, WordPress und Plugins aktualisiert und eine vorläufige Schutzmaßnahme bis zur PHP-Aktualisierung gesetzt.
• Die Hosting-Anbieter stellen korrigierte PHP-Versionen bereit. Die meisten von uns betreuten Websites laufen bereits darauf.
• Websites, die noch mit PHP 8.1 laufen, stellen wir gerade um.

Betreuen wir Ihre WordPress-Website, kümmern wir uns um die weiteren Schritte. Brauchen wir Ihre Mitwirkung, melden wir uns bei Ihnen. Läuft Ihre Website woanders, lohnt sich heute noch die Nachfrage beim jeweiligen Betreiber.

Häufige Fragen zu PHP2Shell

Bin ich betroffen, wenn ich kein WordPress nutze?

Möglich ist es. PHP ist nicht an WordPress gebunden. Auch andere Websites, selbst betriebene Webshops, CRM-Systeme und Webanwendungen auf eigenen Servern können PHP nutzen, ebenso die Verwaltungsoberflächen bestimmter NAS-Systeme und Firewalls. Ob Ihre Systeme PHP verwenden und eine betroffene Version laufen lassen, muss geprüft werden.

Was ist mit PHP 8.1 und älteren Versionen?

Für PHP 8.1 und ältere Versionen stellt das PHP-Projekt keinen offiziellen Fix bereit. Die korrigierten Ausgaben gibt es nur für die Reihen 8.2 bis 8.5. Wer PHP 8.1 oder älter einsetzt, sollte auf eine unterstützte und korrigierte Version umstellen. Das ist je nach Anwendung ein kleiner Schritt oder ein Projekt, weil die Software dazu passen muss. Hier hilft eine Prüfung im Einzelfall.

Reicht ein Plugin- oder WordPress-Update?

Nein. Die Lücke liegt in PHP selbst, nicht in WordPress oder einem Plugin. Updates von WordPress und Plugins sind weiterhin sinnvoll, beheben diese Lücke aber nicht. Dafür braucht es eine korrigierte PHP-Version.

Wie dringend ist das?

Die Lücke ist als kritisch eingestuft, und Angriffscode kursierte bereits vor den Korrekturen. Deshalb sollten Sie die Prüfung zeitnah angehen, am besten zuerst bei allem, was aus dem Internet erreichbar ist. Das ist ein Grund für Aufmerksamkeit, aber keiner für Hektik: Mit einer klaren Reihenfolge lässt sich das gut abarbeiten.

Unsicher? Wir prüfen Ihre Systeme

Wenn Sie nicht sicher sind, ob bei Ihnen ein betroffenes System läuft, beraten wir Sie gern. Wir prüfen Website, Server, NAS, Firewall und Webanwendungen wie Shop oder CRM. Sie erfahren, wo Handlungsbedarf besteht, und auf Wunsch kümmern wir uns um die Aktualisierung. Wie wir IT-Sicherheit für kleine und mittlere Unternehmen angehen, lesen Sie auf unserer Leistungsseite.

Bei LNIT sprechen Sie direkt mit dem Inhaber, also mit der Person, die Ihre Systeme kennt. Bei Bedarf ziehen wir Spezialisten aus unserem Partnernetzwerk hinzu.

Kontakt aufnehmen – oder rufen Sie uns an unter 05121 676 3000. Sie erreichen uns auch per E-Mail an anfrage@lnit.de.