Am 21. Oktober 2026 hat das PHP-Team Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht. Unter dem Namen PHP2Shell bekannt, erlauben sie Angriffe auf Webseiten und Server ohne Anmeldung. Die Lücken werden bereits aktiv ausgenutzt.
Was ist PHP?
PHP ist eine Programmiersprache für Webanwendungen. Ein großer Teil aller Webseiten im Internet läuft damit, zum Beispiel:
- Webseiten und CMS wie WordPress, TYPO3 oder Joomla
- Online-Shops wie Shopware, WooCommerce oder Magento
- Interne Anwendungen wie Nextcloud, Ticketsysteme, Warenwirtschaft oder Intranet-Portale
- Weboberflächen von Geräten und Appliances
Viele Unternehmen nutzen PHP, ohne es zu wissen.
Die aktuelle Lücke: CVE-2026-109618 und CVE-2026-109619
Am 21. Oktober 2026 hat das PHP-Team Notfall-Updates für zwei kritische Schwachstellen veröffentlicht. Sie wurden von Sicherheitsforschern von Wiz, OpenAI und Calif entdeckt. Beide Lücken haben dieselbe Ursache: PHP hinterlässt seinen Speicher in einem fehlerhaften Zustand, wenn eine Anfrage unerwartet abbricht.
Die Folge: Ein Angreifer kann ohne Anmeldung eigenen Code auf dem Server ausführen. Damit kann er Daten stehlen, die Webseite verändern oder eine Hintertür einrichten. In manchen Konfigurationen funktioniert der Angriff, bevor die eigentliche Webseite überhaupt geladen wird. Ob die Anwendung selbst sauber programmiert ist, spielt also keine Rolle.
Betroffen sind alle PHP-Versionen seit 5.4, also über zehn Jahre Software. Die Bewertung liegt bei 9.2 von 10, einzelne Sicherheitsfirmen vergeben sogar die Höchstnote 10.
Angriffe schon vor dem Update
Eigentlich sollten Details erst mit dem Update erscheinen. Doch die Informationen wurden vorab geleakt. Cloudflare hat bereits vor Veröffentlichung des Updates erste Angriffe beobachtet. Inzwischen bestätigen mehrere Sicherheitsfirmen, dass die Lücke aktiv ausgenutzt wird. Einige Betreiber haben ihre Webseiten vorsorglich offline genommen, bis das Update eingespielt war.
Wichtig: Für PHP 7.x, 8.0 und 8.1 veröffentlicht das PHP-Projekt keine neuen Versionen mehr. Einige Hoster haben die Korrektur trotzdem nachgerüstet, darauf verlassen kann man sich aber nicht. Wer diese Versionen einsetzt, sollte jetzt umstellen.
Updates bei KUHN-Computer
Alle von uns gehosteten Systeme mit PHP haben wir noch am Tag der Veröffentlichung aktualisiert und anschließend auf Spuren eines Angriffs geprüft. Kunden mit eigenen Servern oder Webseiten bei externen Hostern haben wir direkt informiert.
Was Sie jetzt tun sollten
- Webseite beim Hoster? Fragen Sie nach, ob das Update eingespielt ist. Bei klassischem Webhosting erledigt das in der Regel der Anbieter.
- Eigener Server oder vServer? Dann sind Sie selbst zuständig. Das Update muss sofort eingespielt werden.
- Interne Anwendungen nicht vergessen. Auch Systeme im Firmennetz können betroffen sein.
- Alte PHP-Versionen ersetzen. Ohne Update gibt es keinen Schutz.
Fazit
PHP2Shell betrifft einen großen Teil des Internets und wird bereits ausgenutzt. Anders als bei Phishing hilft hier keine Schulung: Ein Angriff braucht keinen Klick eines Mitarbeiters. Nur ein zeitnahes Update schützt.
Unsicher, ob Ihre Webseite oder Ihre Server betroffen sind? Sprechen Sie uns an.
