PHP-Sicherheitslücke: Das sollten Website-Betreiber jetzt wissen
Beitrag von Emely Unger, Kommunikationsmanagerin bei der DiWiSH
Zwei kritische Schwachstellen im Kern von PHP betreffen Millionen Websites weltweit. Wir erklären, was passiert ist, wer handeln muss und welche Schritte jetzt wichtig sind.
Was ist passiert?
Am 20. und 21. Oktober 2026 wurden zwei kritische Schwachstellen in der Programmiersprache PHP öffentlich. Sie laufen unter dem Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). Angreifer können damit ohne Anmeldung aus der Ferne eigenen Schadcode auf einem Server ausführen und die Website praktisch übernehmen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Warnstufe „3 / Orange“ ausgerufen. Das PHP-Projekt stellte am 21. Oktober um 16 Uhr Sicherheitsupdates bereit. Mehrere Behörden, Hochschulen und Kliniken nahmen ihre Seiten vorsorglich vom Netz.
Wen betrifft es?
Betroffen sind Betreiber von Websites und Onlineshops, die auf PHP laufen. Das gilt auch für Systeme wie WordPress, Joomla, TYPO3 oder Shopware. Weil die Lücke in PHP selbst liegt, kann auch eine Website mit sauber programmiertem Code gefährdet sein.
Schätzungen zufolge sind 70 bis 80 Prozent der Websites betroffen.
Laut BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar. Das gilt für alle Varianten, die Webanfragen verarbeiten.
Was muss ich jetzt tun?
- PHP-Version prüfen: Finde heraus, welche PHP-Version eure Website nutzt (z. B. im Hosting-Panel).
- Korrigierte Version sicherstellen: Sicher sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer. Möglich sind auch vom Hoster entsprechend korrigierte Pakete. Informiere dich bei deinem Hoster, ob das Update eingespielt ist. Große Hoster wie IONOS haben ihre Systeme teils schon aktualisiert.
- Alte Versionen ersetzen: PHP 8.1 und älter erhalten vom PHP-Projekt kein Update mehr. Stellen Sie auf eine unterstützte Version um und legen Sie vorher eine Sicherung an.
- Notfalls vom Netz nehmen: Wenn kein Update möglich ist, empfiehlt das BSI, den Webserver vorübergehend vom Internet zu trennen.
- Auf Spuren eines Angriffs prüfen: Achten Sie auf neue oder veränderte PHP-Dateien und unbekannte Benutzerkonten.
- Dauerhaft aktuell bleiben: Halten Sie CMS, Plugins und Themes regelmäßig auf dem neuesten Stand.
Experten rechnen mit einer Angriffswelle, die sich über Wochen und Monate hinziehen kann. Warte deshalb nicht ab.
Du brauchst Unterstützung?
Du bist unsicher, welche PHP-Version eure Website nutzt, oder habt keine Zeit für Update und Prüfung? Dann wende dich umgehend an deinen IT-Dienstleister, deine Websitebetreuung oder deinen Hoster. Auch Fachleute raten dazu, sich jetzt unverzüglich mit diesen Ansprechpartnern in Verbindung zu setzen.
Auch unsere Fachgruppe IT-Security kann hier kurzfristig weiterhelfen.
Stand: 22. Oktober 2026. Die Lage entwickelt sich weiter. Aktuelle Hinweise finden Sie auf den Seiten des BSI.
Kommentare
Einen Kommentar schreiben