Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung
PHP2Shell: Was Firmen jetzt tun müssen

PHP2Shell aktiv ausgenutzt: Was Unternehmen jetzt tun müssen

Kurz gesagt: Das BSI warnt seit dem 21. Oktober 2026 vor zwei kritischen Sicherheitslücken in PHP, und seit dem 26. Oktober führt die US-Behörde CISA beide Lücken als aktiv ausgenutzt. Angreifer können darüber ohne Anmeldung Schadcode auf dem Webserver ausführen. Geschlossen ist die Lücke ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wenn du PHP noch nicht aktualisiert hast, erledige das heute.

Stand: 03.11.2026

Auf PHP läuft ein Großteil aller Websites, darunter jede WordPress-Seite. Wenn du eine Website, einen Shop oder ein Kundenportal betreibst, kläre noch heute, ob dein Server aktualisiert ist.

Was ist passiert?

Unter dem Namen „PHP2Shell“ sind zwei Schwachstellen bekannt geworden, CVE-2026-109618 und CVE-2026-109619. Das PHP-Projekt bewertet beide mit 9,2 von 10 Punkten. Für einen Angriff genügt eine präparierte Anfrage an den Webserver. Eine Anmeldung ist nicht nötig, ein Klick eines Mitarbeiters auch nicht. Nach Medienberichten stuft das BSI die Lage mit Warnstufe 3 (orange) ein.

Die Zeit drängt: Sicherheitsforscher haben bereits funktionierenden Angriffscode vorgeführt, und der Netzwerkdienstleister Cloudflare meldet erste Angriffsversuche. Erfahrungsgemäß suchen automatisierte Scanner nach solchen Meldungen innerhalb weniger Stunden das ganze Internet nach verwundbaren Servern ab.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Update 27. Oktober: Sind Angriffe bestätigt?

Ja. Die US-Cybersicherheitsbehörde CISA hat CVE-2026-109618 und CVE-2026-109619 am 26. Oktober 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Damit gilt als belegt, dass die Lücken bereits für Angriffe genutzt werden. Ein Sicherheitsforscher hat am 24. Oktober zudem erfolgreiche Codeausführung auf Testsystemen (Honeypots) gemeldet, allerdings in einer bewusst angreiferfreundlichen Konfiguration.

Das BSI führt seine Warnung weiterhin in Version 1.2 vom 22. Oktober. Dort heißt es, eine erfolgreiche Ausnutzung in großem Umfang sei bisher nicht bekannt. Beide Aussagen widersprechen sich nicht, die Meldung der CISA ist schlicht neuer. Für dich ändert sich vor allem eins: Das Update ist nicht mehr nur Vorsorge, sondern dringend.

Ist mein Unternehmen betroffen?

Betroffen ist jeder Server, auf dem PHP Anfragen aus dem Web verarbeitet. Dabei spielt es keine Rolle, ob PHP über PHP-FPM, Apache mit mod_php oder LiteSpeed läuft. In der Praxis sind das vor allem:

  • die Firmenwebsite, wenn sie mit WordPress, TYPO3, Joomla oder Contao gebaut ist
  • Onlineshops, etwa mit WooCommerce oder Shopware
  • Kundenportale, Buchungs- und Terminsysteme
  • interne Webanwendungen auf eigenen Servern, zum Beispiel Wikis, Ticketsysteme oder Zeiterfassung

PCs, Smartphones und Office-Programme sind nicht direkt betroffen, denn die Lücke steckt auf Servern und auf Geräten mit Weboberfläche wie Firewalls und NAS-Systemen. Teuer werden kann sie trotzdem: Eine übernommene Website verteilt Schadsoftware an deine Besucher, greift Formulardaten ab oder wird zum Einfallstor ins Firmennetz, wenn der Webserver im eigenen Haus steht.

Windows-Server mit PHP: Am 26. Oktober hat das PHP-Team neue Windows-Pakete veröffentlicht (8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1). Sie enthalten zusätzlich eine korrigierte Brotli-Bibliothek gegen eine weitere Lücke (CVE-2026-111497). Diese ist nur erreichbar, wenn eine Anwendung über die cURL-Erweiterung HTTP-Antworten automatisch entpacken lässt, was ab Werk ausgeschaltet ist. Betreibst du PHP unter Windows, installier am besten gleich das Paket mit der Endung -1. An den PHP-Versionen selbst ändert sich nichts.

Update 23. Oktober: Sind auch Firewalls und NAS-Systeme betroffen?

Das BSI hat seine Warnung am 22. Oktober auf Version 1.2 aktualisiert: PHP steckt auch in Netzwerkprodukten, und deren Hersteller veröffentlichen nach und nach eigene Hinweise. Damit geht es nicht mehr nur um Websites, sondern auch um Geräte, die in vielen Betrieben und Praxen stehen. Stand 23. Oktober:

  • Palo Alto: Alle PAN-OS-Versionen (10.2 bis 12.2) und Panorama sind betroffen, und zwar die Verwaltungsoberfläche. Updates gibt es noch nicht. GlobalProtect-Portal und -Gateway sind laut Hersteller nicht betroffen, Angriffe auf Palo-Alto-Produkte sind nicht bekannt. Bis zum Update die Verwaltung nur von vertrauenswürdigen internen Adressen zulassen und die vom Hersteller genannten Threat-Prevention-Signaturen aktivieren.
  • Fortinet: FortiOS, FortiWeb, FortiMail, FortiManager, FortiAnalyzer, FortiClient und weitere Produkte sind laut Fortinet nicht betroffen. Einige Produkte wie FortiDDoS, FortiSOAR und FortiClient Cloud sind noch in Prüfung.
  • Synology: Betroffen sind nur PHP-abhängige Pakete wie Web Station, WordPress, phpMyAdmin oder MailStation. PHP-Updates gibt es für DSM 7.2 bis 7.4 im Paketzentrum, MailStation muss von Hand aktualisiert werden. Das in DSM eingebaute PHP stuft Synology als geringes Risiko ein.
  • QNAP: Mehrere Produkte sind betroffen, Updates folgen nach und nach. Bis dahin das NAS nicht aus dem Internet erreichbar lassen, also Portweiterleitung und UPnP am Router abschalten und für den Fernzugriff ein VPN nutzen.

Grundsätzlich gilt für jedes Gerät: Eine Verwaltungsoberfläche gehört nicht ins Internet. Hast du das schon so eingerichtet, bist du auch bei dieser Lücke deutlich weniger angreifbar.

Was ist jetzt zu tun?

  1. Bestand klären. Wo läuft bei dir PHP? Website, Shop, Portale, interne Tools. Frag im Zweifel deine Agentur oder deinen IT-Dienstleister.
  2. Version prüfen. Geschlossen ist die Lücke ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Linux-Distributionen liefern die Korrektur teils in Paketen mit älterer Versionsnummer aus. Dann zählt die Sicherheitsmeldung des Herstellers.
  3. Hoster fragen. Bei Webhosting oder gemanagten Servern spielt meist der Anbieter das Update ein. Lass dir bestätigen, dass dein Paket aktualisiert ist.
  4. Upload-Fortschritt abschalten. Bis zum nächsten regulären PHP-Release empfiehlt das PHP-Team seit dem 23. Oktober die Einstellung session.upload_progress.enabled=0. Sie schließt einen weiteren, seltenen Angriffsweg (CVE-2026-115560), der nur bei einer ungewöhnlichen Kombination aus Konfiguration und Programmcode auftritt. Die meisten Websites brauchen die Funktion nicht. Im Zweifel frag deinen Hoster oder uns.
  5. Alte Versionen ablösen. Für PHP 8.1 und älter gibt es keine regulären Updates mehr. Solche Systeme gehören auf eine unterstützte Version. Bis dahin rät das BSI, sie im Zweifel vom Netz zu nehmen.
  6. Spuren prüfen. Da Angriffe jetzt bestätigt sind, ist dieser Schritt wichtiger geworden: Bei Websites, die nach dem 21. Oktober nicht sofort aktualisiert wurden, solltest du gezielt nach Spuren suchen lassen, also nach neuen oder veränderten PHP-Dateien im Webverzeichnis, unbekannten Admin-Konten und auffälligen Einträgen in den Server-Protokollen.

Reicht eine Web Application Firewall?

Nein. Cloudflare hat zwar Filterregeln gegen die bekannten Angriffswege veröffentlicht, nennt sie aber selbst eine Übergangslösung. Die PHP-Entwickler sind eindeutig: Nur das Update schließt die Lücke. Auch Einstellungen in der php.ini schützen nicht zuverlässig.

Mehr zum Thema: Webhosting für Unternehmen, IT-Security und Backup und unser Beitrag Wer kümmert sich um die Firmenwebsite?

So unterstützen wir dich

Du bist nicht sicher, ob deine Website oder deine internen Systeme betroffen sind? Wir verschaffen uns kurzfristig einen Überblick, prüfen die eingesetzten PHP-Versionen und stimmen das Update mit deinem Hoster ab, in Osnabrück und Umgebung vor Ort, sonst per Fernwartung. Gibt es Hinweise, dass ein Server bereits angegriffen wurde, greift unsere Soforthilfe bei Hackerangriffen. Du erreichst uns Mo bis Fr von 8 bis 17 Uhr unter 0541 507 988 08 oder per E-Mail an info@team-data.de.

Häufige Fragen

Muss ich auf meinem PC oder Smartphone etwas tun?

Nein. Die Lücke betrifft Server, auf denen PHP Webseiten ausliefert. Auf Arbeitsplatzrechnern und Smartphones besteht kein direkter Handlungsbedarf.

Meine Website liegt bei einem Hoster. Muss ich mich trotzdem kümmern?

Ja. Das PHP-Update spielt in der Regel der Hoster ein, verantwortlich für die Website bleibst aber du. Frag nach und lass dir die Aktualisierung bestätigen.

Woran erkenne ich, welche PHP-Version meine Website nutzt?

In WordPress unter Werkzeuge, Website-Zustand, Bericht, Abschnitt Server. Sonst steht die Version im Kundenbereich deines Hosters, oder dein IT-Dienstleister sieht sie nach.

Ist meine Firewall oder mein NAS betroffen?

Das hängt vom Hersteller ab. Palo Alto ist bei der Verwaltungsoberfläche betroffen und hat noch kein Update, die meisten Fortinet-Produkte sind laut Hersteller nicht betroffen. Bei Synology betrifft es PHP-Pakete wie Web Station, bei QNAP mehrere Produkte. Wichtigste Sofortmaßnahme: Verwaltungsoberfläche und NAS nicht aus dem Internet erreichbar machen.

Wird PHP2Shell schon aktiv ausgenutzt?

Ja. Die US-Behörde CISA führt beide Lücken seit dem 26. Oktober 2026 als aktiv ausgenutzt. Das BSI hatte am 22. Oktober noch keine breite erfolgreiche Ausnutzung gemeldet. Hast du PHP noch nicht auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert, hol das sofort nach.

Quellen