Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßig neue Versionen veröffentlicht. Sie schließen zwei kritische Sicherheitslücken, die unter dem Namen PHP2Shell bekannt geworden sind. Über sie können Angreifer ohne Passwort eigenen Code auf dem Webserver ausführen. Das BSI warnt mit der Stufe Orange, Sicherheitsfirmen haben bereits Angriffe beobachtet.
Was ist passiert?
PHP ist die Programmiersprache, auf der ein großer Teil aller Websites läuft. Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind jeweils mit 9,2 von 10 Punkten bewertet. Sie stecken in PHP selbst, nicht in einem bestimmten Content-Management-System oder Plugin. Das PHP-Projekt hatte die Updates am 20. Oktober angekündigt und am 21. Oktober veröffentlicht.
Ist meine Website betroffen?
Betroffen ist grundsätzlich jede Website, die auf PHP läuft, also zum Beispiel Contao, WordPress, TYPO3, Shopware, Joomla oder Nextcloud. Ein Update des CMS hilft hier nicht, aktualisiert werden muss PHP auf dem Server.
Sicher sind diese Versionen und alle neueren:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Für PHP 8.1 und älter gibt es vom PHP-Projekt keine offiziellen Updates mehr. Manche Linux-Distributionen und Hoster liefern zwar nachgebaute Korrekturen, verlassen sollten Sie sich darauf aber nicht. Wer noch mit PHP 8.1 oder älter arbeitet, sollte jetzt auf eine unterstützte Version umsteigen.
So prüfen Sie Ihre PHP-Version
- Webhosting: Im Kundenmenü Ihres Hosters steht meist nur die Hauptversion, etwa „PHP 8.3“. Die genaue Versionsnummer zeigt eine Statusseite des Hosters oder eine kurze Anfrage beim Support. Viele große Hoster haben die Updates in den ersten Tagen nach dem 21. Oktober eingespielt.
- Eigener Server: Hier sind Sie selbst zuständig. PHP aktualisieren und anschließend alle PHP-Prozesse neu starten, zum Beispiel PHP-FPM oder den Webserver. Erst danach läuft die neue Version wirklich.
- Agentur oder Dienstleister: Fragen Sie nach, ob Ihre Website geprüft wurde und welche PHP-Version jetzt läuft.
Wenn das Update nicht sofort möglich ist
Das PHP-Projekt nennt Übergangslösungen für Server-Administratoren, etwa das Abschalten der Einstellung session.upload_progress.enabled. Diese Maßnahmen verringern das Risiko, machen den Server aber nicht sicher. Das BSI rät im Zweifel sogar, einen ungepatchten Server bis zum Update vom Netz zu nehmen. Die einzige vollständige Lösung ist das Update.
Woran Sie einen Angriff erkennen können
Da die Lücken schon ausgenutzt wurden, lohnt sich nach dem Update ein Blick zurück. Warnzeichen sind unbekannte PHP-Dateien im Webverzeichnis, unerwartet geänderte Dateien, neue Benutzerkonten im Backend, ungewöhnliche Weiterleitungen oder ein plötzlich langsamer Server. Im Verdachtsfall hilft ein Abgleich mit einer Sicherung von vor dem 17. Oktober.
Checkliste
- Genaue PHP-Version beim Hoster oder Dienstleister erfragen
- Auf PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer aktualisieren
- PHP 8.1 und älter durch eine unterstützte Version ersetzen
- Nach dem Update Website, Formulare und Shop testen
- Dateien und Benutzerkonten auf Auffälligkeiten prüfen
- Aktuelle Sicherung anlegen
Fazit
PHP2Shell ist eine der schwersten PHP-Lücken der letzten Jahre. Die gute Nachricht: Das Update steht bereit, und bei den meisten Hostern ist es schon eingespielt. Prüfen Sie trotzdem, welche Version auf Ihrem Server läuft. Läuft Ihre Website noch auf einer alten PHP- oder Contao-Version, ist jetzt ein guter Zeitpunkt für den Umstieg auf Contao 5. Updates und Wartung übernehmen wir gern, mehr dazu auf unserer Seite Webdesign.