PHP-Sicherheitslücke

Was ist passiert?

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619, bekannt unter dem Namen „PHP2Shell“. PHP ist eine weit verbreitete Programmiersprache, die unter anderem von WordPress und vielen weiteren Webanwendungen genutzt wird. Die Schwachstellen können es Angreifenden ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen.

Betroffen sein können daher auch Websites, Online-Shops und andere Anwendungen, die auf verwundbaren PHP-Versionen basieren.

Was wird jetzt empfohlen?

1. PHP-Version prüfen: Unternehmen sollten klären, ob ihre Website oder andere Anwendungen eine betroffene PHP-Version verwenden. Auch eingebundene Software und Hosting-Umgebungen sollten berücksichtigt werden.
2. Sicherheitsupdates einspielen: Betroffene Systeme sollten unverzüglich auf eine gepatchte, unterstützte PHP-Version aktualisiert werden. Wenn ein Unternehmen seine Server nicht selbst verwaltet, sollte es umgehend den Hosting-Anbieter oder IT-Dienstleister kontaktieren.
3. Bei Verzögerungen Risiken minimieren: Ist eine sofortige Aktualisierung nicht möglich, sollten Verantwortliche gemeinsam mit ihrem IT-Dienstleister geeignete Schutzmaßnahmen prüfen. Dazu kann bei exponierten Systemen auch eine vorübergehende Abschaltung gehören.
4. Auf mögliche Angriffszeichen achten: Nach dem Update sollten betroffene Systeme auf verdächtige Aktivitäten überprüft werden. Ein Update allein schließt eine bereits erfolgte Kompromittierung nicht aus.

Weitere Informationen und praktische Handlungsempfehlungen finden Sie
in der Meldung des BSI von 21.10.26 und
im Blogartikel von Transferstelle Cybersicherheit im Mittelstand.