PHP2Shell: Kritische PHP-Lücke betrifft viele Websites

Am 20. Oktober sind zwei kritische Lücken in PHP vorzeitig öffentlich geworden. Unter dem Namen PHP2Shell erlauben sie Angreifern, einen Webserver ohne Anmeldung zu übernehmen.

Was ist bekannt?

Die Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619. Betroffen ist praktisch jede PHP-Installation, die Webseiten ausliefert, ob über Apache, PHP-FPM oder LiteSpeed. Das PHP-Team hat sie am 21. Oktober in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Für PHP 8.1 und älter gibt es keine offiziellen Updates. Erste Angriffsversuche sind bereits gemeldet.

Was bedeutet das für KMU?

PHP steckt hinter den meisten Firmenwebsites mit WordPress, Joomla oder TYPO3 und hinter vielen Webshops. Ein Update von WordPress oder den Plugins hilft nicht, die Lücke liegt im PHP darunter. Liegt Ihre Website bei einem Hoster, muss dieser PHP aktualisieren. Bei einem eigenen Server ist Ihr Dienstleister zuständig.

Was Sie jetzt tun sollten

1. Beim Hoster nachfragen: Ist PHP auf Ihrem Hosting bereits aktualisiert?
2. PHP-Version prüfen: Läuft in der Verwaltung Ihres Hostings noch PHP 8.1 oder älter, auf 8.3 oder neuer wechseln und die Website danach testen. PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates.
3. Eigene Server aktualisieren: Updates einspielen und PHP-FPM bzw. Apache neu starten, sonst läuft der alte Code weiter.
4. Weitere Systeme prüfen: Auch Kundenportale, Intranets und Geräte mit Weboberfläche verwenden oft PHP. Fragen Sie beim Lieferanten nach.