PHP2Shell: Was Unternehmen jetzt über ihre Website wissen sollten

• PHP2Shell: Was Unternehmen jetzt über ihre Website wissen sollten
• 24. Okt. 2026 · @altil-produktion
• Am 21. Oktober 2026 hat das PHP-Team Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht. PHP ist die Sprache, auf der WordPress, Joomla, Drupal und unzählige Firmenwebsites laufen. Wer eine Website betreibt, sollte deshalb diese Woche beim Hoster nachfragen, ob das Update schon eingespielt ist.
• Was ist passiert?
  
  Die beiden Lücken heißen CVE-2026-109618 und CVE-2026-109619, zusammen werden sie "PHP2Shell" genannt. Beide sind mit 9,2 von 10 Punkten bewertet (CVSS 4.0). Angreifer können damit unter Umständen ohne Anmeldung Programmcode auf einem Server ausführen.
• Betroffen sind laut Google Cloud alle PHP-Versionen von 5.4 bis 8.5.11. Behoben ist es in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Das PHP-Team schreibt dazu klar: Es gibt keine vollständigen Gegenmaßnahmen, nur das Update ist sicher.
• Warum ein WordPress-Update nicht reicht
• Stell dir deine Website wie ein Ladengeschäft vor. WordPress ist die Einrichtung, PHP ist das Fundament darunter. Die Lücke steckt im Fundament. Ein Klick auf "Plugins aktualisieren" ändert daran nichts.
• Das neue PHP muss von dem kommen, der den Server betreibt: dein Hosting-Anbieter, deine Agentur oder dein Webentwickler. Automattic hat laut Newsweek bestätigt, dass Seiten bei WordPress.com und einigen weiteren eigenen Diensten bereits geschützt sind. Bei allen anderen Anbietern lohnt sich die Nachfrage.
• Wie ernst ist die Lage?
• Ernst genug, um nicht bis nächste Woche zu warten. Cloudflare meldete laut The Hacker News Angriffsversuche, die binnen 45 Minuten nach der Veröffentlichung von Zehntausenden auf Millionen anstiegen. Außerdem sind öffentliche Beispiel-Exploits im Umlauf, wie Rapid7 berichtet.
• Kein Grund zur Panik, aber einer zum Handeln.
• Eine dritte Lücke ist noch offen
• Zwei Tage später warnte PHP vor CVE-2026-115560. Sie betrifft nur Websites mit einer ungewöhnlichen Sitzungs-Konfiguration, PHP hält das Risiko für gering. Ausgenutzt wurde sie nach bisherigen Berichten nicht. Das Update dafür kommt mit der nächsten regulären Version. Bis dahin empfiehlt PHP, die Einstellung session.upload_progress.enabled=0 zu setzen. Das ist Sache deines Hosters. Stand: 24. Oktober 2026.
• Deine Checkliste für heute
• Finde heraus, wer PHP für deine Website betreibt (Hoster, Agentur, Webentwickler).
• Schreib kurz hin: "Läuft bei uns PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder neuer, und wurde der Server danach neu gestartet?"
• Lass vor Änderungen am Server ein frisches Backup anlegen.
• Prüfe die PHP-Version. PHP 8.1 und älter bekommt keine offiziellen Updates mehr, PHP 8.2 nur noch bis 31. Dezember 2026. Patchstack rät zu 8.4 oder 8.5.
• Betreibst du den Server selbst: sofort updaten und PHP-FPM oder den Webserver neu starten.
• Und was hat das mit Fotos und Videos zu tun?
• Ich mache Bilder und Videos, keine IT-Sicherheit. Dafür sind Profis zuständig. Aber ich sehe oft, wie viel Liebe in Firmenwebsites steckt: das perfekte Hotelfoto, das Imagevideo, das Team-Porträt. Das alles steht im digitalen Schaufenster. Es lohnt sich, dass die Tür dazu abgeschlossen ist.
• Kennst du jemanden mit eigener Website? Dann schick ihm diesen Beitrag weiter.
• Quellen
• CERT-EU Security Advisory 2026-018
• UK NCSC: Critical security issue affecting PHP
• PHP 8.5.12 Release (GitHub)
• The Hacker News: PHP warnt vor weiterer ungepatchter Lücke
• Rapid7: CVE-2026-109618 und CVE-2026-109619
• Patchstack: Major security alert
• Google Cloud: Responding to core PHP vulnerabilities
• Newsweek: PHP2Shell
• php.net: Supported Versions