Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Sie erlauben es Angreifern unter bestimmten Bedingungen, auf einem Webserver eigenen Code auszuführen, ohne sich anmelden zu müssen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu eine Warnung herausgegeben und empfiehlt, die Updates unverzüglich einzuspielen. In Fachkreisen heißen die Lücken „PHP2Shell“.
Für die meisten Betriebe klingt das weit weg. Ist es aber nicht, denn PHP steckt in sehr vielen Systemen, die im Mittelstand täglich laufen.
Was ist PHP, und warum betrifft das so viele?
PHP ist eine Programmiersprache, mit der Websites und Webanwendungen auf dem Server arbeiten. Laut einem Bericht von TechCrunch laufen rund 70 Prozent der Websites mit PHP, darunter alles, was auf WordPress, Joomla oder Drupal basiert.
Im Betrieb begegnet Ihnen PHP an mehr Stellen, als man denkt:
- auf der eigenen Website, besonders wenn sie mit WordPress gebaut ist
- in Webshops und Buchungssystemen
- in internen Anwendungen, die im Browser laufen, etwa Zeiterfassung, Ticketsystem oder Intranet
- in manchen Netzwerkgeräten, deren Verwaltungsoberfläche PHP nutzt. Hersteller solcher Geräte haben inzwischen eigene Hinweise veröffentlicht.
Was ist genau passiert?
Wird die Lücke schon ausgenutzt?
Welche Versionen sind sicher?
| PHP-Version | Sicher ab |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 und älter | kein offizielles Update mehr |
Für PHP 8.1 und ältere Versionen gibt es vom PHP-Projekt keine regulären Updates mehr, nur Code-Korrekturen für Fachleute, die PHP selbst bauen. Wer noch eine dieser Versionen einsetzt, sollte jetzt auf eine aktuelle Version wechseln. Auch PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates.
Das PHP-Projekt sagt dazu deutlich: Es gibt keine vollständige Umgehungslösung. Nur das Update schließt die Lücke.
Ein Nachtrag vom 23. Oktober: Für eine seltene Kombination aus Einstellungen und Programmcode empfiehlt das PHP-Projekt zusätzlich, die Funktion „Session Upload Progress“ bis zum nächsten regulären Update abzuschalten. Das ist eine Aufgabe für den Hoster oder IT-Dienstleister und betrifft nur wenige Anwendungen.
Was Sie jetzt tun sollten
- Website prüfen lassen. Fragen Sie Ihren Hoster oder Ihre Agentur, welche PHP-Version auf Ihrer Website läuft und ob das Update eingespielt ist. Eine schriftliche Bestätigung reicht.
- Interne Webanwendungen auflisten. Alles, was im Browser läuft und auf einem eigenen Server im Betrieb steht, ist ein Kandidat. Fragen Sie bei den Herstellern nach.
- Netzwerkgeräte nicht vergessen. Prüfen Sie, ob die Hersteller Ihrer Firewall, Ihres Speichersystems oder Ihrer Telefonanlage einen Hinweis zu den Lücken veröffentlicht haben.
- Alte Systeme ehrlich bewerten. Läuft irgendwo noch PHP 8.1 oder älter, ist das jetzt ein konkretes Risiko und keine Aufgabe für später.
Was der Fall über IT-Sicherheit im Mittelstand zeigt
Zwischen der Veröffentlichung der Updates und der bestätigten Ausnutzung lagen fünf Tage. Wer Updates nur gelegentlich einspielt, ist in genau diesem Zeitfenster ungeschützt.
Deshalb gehört ein fester Update-Prozess zu den wichtigsten Schutzmaßnahmen überhaupt, für Rechner und Server genauso wie für Website und Netzwerkgeräte. Welche weiteren Stellen dazugehören, zeigen unsere Beiträge Cybersicherheit im Unternehmen und Ransomware-Schutz.
Wenn Sie nicht sicher sind, wo in Ihrem Betrieb PHP läuft und ob alles aktuell ist: Der Update-Stand ist Teil unseres kostenfreien Cybersicherheits-Checks.
Häufige Fragen
Was ist PHP2Shell?
Ist meine WordPress-Website betroffen?
Reicht es, bestimmte Einstellungen zu ändern?
Nein. Das PHP-Projekt nennt einige Einstellungen, die einzelne Angriffswege erschweren, betont aber ausdrücklich, dass nur das Update die Lücke schließt.
Wissen, ob Ihre Systeme aktuell sind
Wir prüfen den Update-Stand Ihrer Systeme und zeigen Ihnen, wo Handlungsbedarf besteht. Kostenfrei und ohne Verpflichtung.
