Zusammenfassung
- PHP2Shell sind zwei Lücken in PHP. Angreifer können damit ohne Passwort fremden Code auf Ihrem Webserver ausführen.
- Sicher sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer. Alles davor ist verwundbar.
- Nach dem Update prüfen, ob schon jemand eingedrungen ist. Das Update wirft niemanden hinaus.
Am 20. Oktober 2026 wurden zwei schwere Lücken in PHP bekannt. PHP ist die Programmiersprache hinter einem großen Teil aller Websites, von WordPress bis zum Online-Shop. Die Lücken haben den Namen PHP2Shell bekommen. Seit wenigen Tagen werden sie aktiv ausgenutzt.
Was passiert ist
Die Lücken wurden früher bekannt als geplant. Einen Tag später, am 21. Oktober, erschienen die Updates. Kurz danach bestätigten Sicherheitsforscher die ersten erfolgreichen Angriffe.
Beide Lücken haben die Kennungen CVE-2026-109618 und CVE-2026-109619 und eine Bewertung von 9,2 von 10. Das ist sehr hoch.
Warum das so gefährlich ist
Ein Angreifer braucht kein Passwort. Er schickt eine präparierte Anfrage an Ihre Website und kann danach eigene Befehle auf dem Server ausführen.
Solche Angriffe laufen automatisch. Programme suchen das ganze Internet nach verwundbaren Servern ab. Ob Ihre Firma groß oder klein ist, spielt dabei keine Rolle.
Bin ich betroffen?
Wenn Sie eine Website, einen Online-Shop, ein Kundenportal, Webmail oder eine Nextcloud betreiben, läuft dahinter sehr wahrscheinlich PHP.
Sicher sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer. Für PHP 5, 7, 8.0 und 8.1 gibt es keine Updates mehr. Wer so eine Version nutzt, muss auf eine aktuelle Version umsteigen.
Webhosting oder eigener Server?
Bei Webhosting ist meist der Hoster für PHP zuständig. Fragen Sie nach und lassen Sie sich das Update bestätigen.
Bei einem eigenen Server ist Ihre IT oder Ihr Dienstleister zuständig. Das Update sollte heute passieren.
Update gemacht. Alles gut?
Nicht unbedingt. Ein Update schließt die Tür. Wer schon drin ist, bleibt drin. Angreifer hinterlassen oft versteckte Zugänge, um später wiederzukommen.
Warnzeichen sind unbekannte Dateien im Upload-Ordner, neue Administrator-Konten, ungewohnt hohe Serverlast oder Verbindungen zu fremden Adressen.
Konkrete nächste Schritte
- PHP-Version herausfinden, beim Hoster oder in der Server-Verwaltung.
- Auf 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer aktualisieren.
- Nicht mehr unterstützte Versionen wie PHP 7 ersetzen.
- Nach Warnzeichen suchen oder suchen lassen.
- Passwörter für Website-Administration und Datenbank ändern, wenn der Server vor dem Update erreichbar war.
Unsicher, ob Ihr Server sauber ist? vetosec prüft Linux-Server bis tief ins System und sagt Ihnen klar, ob Sie ihm noch trauen können.