PHP2Shell: Was die kritischen PHP-Lücken für Ihr Unternehmen bedeuten

Im Kern der Programmiersprache PHP sind zwei Sicherheitslücken bekannt geworden: CVE-2026-109618 und CVE-2026-109619. CVE-Nummern sind die weltweit einheitlichen Kennungen für Schwachstellen; unter dem Namen „PHP2Shell" werden beide gemeinsam diskutiert.

Die Lücken sind deshalb so ernst, weil sie unter bestimmten Bedingungen eine sogenannte Remote Code Execution erlauben: Ein Angreifer schickt eine präparierte Anfrage an den Webserver und kann damit eigenen Programmcode ausführen – ohne Benutzername, ohne Passwort. Der Code läuft mit den Rechten des PHP-Prozesses, also mit genau den Rechten, mit denen auch Ihre Website auf Dateien und Datenbank zugreift.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die Lage als außerordentlich kritisch. Beide Schwachstellen haben im Bewertungssystem CVSS 4.0 einen Wert von 9,2 von 10 Punkten.

PHP ist eine Programmiersprache, die auf dem Webserver läuft. Sie nimmt Anfragen aus dem Browser entgegen, holt Daten aus der Datenbank und baut daraus die Seite, die Ihre Besucher sehen. Viele Unternehmen setzen PHP ein, ohne es zu wissen. Typische Beispiele:

• die Firmenwebsite, besonders wenn sie mit WordPress, Joomla oder Drupal betrieben wird
• Webshops und Bestellportale
• Kundenportale, Terminbuchungen und Anfrageformulare
• interne Webanwendungen wie Zeiterfassung, Intranet oder Ticketsysteme
• Schnittstellen, über die Programme untereinander Daten austauschen

Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten – unabhängig davon, ob PHP über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed betrieben wird. Für Sie als Geschäftsführung heißt das vereinfacht: Wenn eine Ihrer Anwendungen im Browser erreichbar ist und auf PHP aufbaut, sollten Sie die Version prüfen lassen.

Betroffen sind alle PHP-Versionen ab 5.4 bis einschließlich 8.5.11. Behoben sind die Lücken ab folgenden Versionen:

• PHP 8.5: ab Version 8.5.12
• PHP 8.4: ab Version 8.4.27
• PHP 8.3: ab Version 8.3.36
• PHP 8.2: ab Version 8.2.35

Für PHP 8.1 und ältere Versionen gibt es keine offiziellen Sicherheitsupdates mehr. Diese Systeme bleiben ohne Umstellung auf eine unterstützte Version angreifbar. Manche Linux-Distributionen liefern für ältere Versionen eigene, angepasste Pakete aus; ob das im Einzelfall zutrifft, muss für jedes System gesondert geklärt werden.

Das ist in der Praxis oft die wichtigste Frage – und die, bei der am meisten Zeit verloren geht. Je nachdem, wie Ihre Website betrieben wird, liegt die Verantwortung an unterschiedlichen Stellen:

• Eigener Server oder eigener virtueller Server: Das Update muss Ihre IT oder Ihr IT-Dienstleister einspielen. Ohne Auftrag passiert hier nichts von selbst.
• Managed Server: Bei einem betreuten Server übernimmt der Betreiber üblicherweise das Einspielen von Sicherheitsupdates. Lassen Sie sich trotzdem bestätigen, dass es erledigt ist.
• Webhosting-Paket: Beim klassischen Webhosting stellt der Hoster PHP bereit. Häufig können Kunden die PHP-Version im Verwaltungsbereich selbst wählen – steht dort eine alte Version, bleibt sie oft aktiv.
• Betreuung durch eine Webagentur: Agenturen kümmern sich meist um die Website selbst, nicht zwingend um den Server darunter. Klären Sie, wer für welche Ebene zuständig ist.

Eine kurze schriftliche Rückfrage an alle Beteiligten – „Welche PHP-Version läuft auf unseren Systemen, und ist das Update vom 21. Oktober eingespielt?" – schafft hier schnell Klarheit.

Für die Geschäftsführung genügen fünf Schritte:

1. Bestandsaufnahme: Welche Websites, Shops, Portale und internen Webanwendungen setzen PHP ein?
2. Zuständigkeit klären: Wer spielt bei welchem System das Update ein?
3. Update einspielen lassen und die erreichte Version schriftlich bestätigen lassen.
4. Alte Versionen ersetzen: Systeme mit PHP 8.1 oder älter zeitnah auf eine unterstützte Version umstellen.
5. Auffälligkeiten prüfen lassen: Protokolle der vergangenen Tage auf ungewöhnliche Zugriffe durchsehen.

Für Ihre IT-Verantwortlichen in Kurzform: Version mit php -v prüfen, Updates über die Paketverwaltung einspielen (apt update && apt upgrade bzw. dnf update), anschließend den PHP-Dienst neu starten, etwa mit systemctl restart php8.3-fpm. Erst danach läuft tatsächlich die neue Version. Webserver- und PHP-FPM-Protokolle sollten auf auffällige Anfragen, Meldungen über Speichermangel und unerwartete Neustarts von PHP-Prozessen geprüft werden.

Manche Anwendungen laufen nur mit einer bestimmten, alten PHP-Version – etwa weil eine Branchensoftware nicht mehr weiterentwickelt wird. Solange keine gepatchte Version läuft, sollte eine aus dem Internet erreichbare PHP-Anwendung als hochriskant gelten.

Gelingt ein Angriff, kann das zur Übernahme der Webanwendung führen, zum Zugriff auf Datenbanken und Kundendaten und dazu, dass Ihr Server für weitere Angriffe missbraucht wird. In solchen Fällen ist zu überlegen, ob die Anwendung vorübergehend vom Internet getrennt oder nur noch aus dem Firmennetz erreichbar sein soll. Solche Übergangslösungen ersetzen das Update aber nicht, sie verschaffen nur Zeit für die Umstellung. Ein aktuelles, getrenntes Backup sollte vor jedem größeren Eingriff vorhanden sein.

PHP2Shell ist kein Einzelfall. Sicherheitslücken in weit verbreiteter Software werden regelmäßig gefunden; entscheidend ist, wie schnell die Updates auf Ihren Systemen ankommen. Unternehmen, bei denen Updates nach einem festen Plan eingespielt und Server laufend überwacht werden, beantworten die Frage „Sind wir betroffen?" in Minuten statt in Tagen.

Genau das ist der Kern einer laufenden IT-Betreuung: eine aktuelle Übersicht über alle Systeme, eingespielte Sicherheitsupdates und ein Monitoring, das ungewöhnliches Verhalten eines Servers früh meldet.