Ist Ihre Website von der PHP-Lücke php2shell betroffen?
Kurz gesagt
Wahrscheinlich, wenn Ihre Website auf PHP läuft und nicht seit dem 21. Oktober 2026 aktualisiert wurde. Die Lücken CVE-2026-109618 und CVE-2026-109619 erlauben Codeausführung ohne Anmeldung. Sicher sind nur PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer. Fragen Sie Ihren Hoster und prüfen Sie Ihr NAS.
Was ist passiert?
Das PHP-Projekt hat am 21. Oktober 2026 zwei kritische Sicherheitslücken geschlossen (CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 9.2). Über präparierte Anfragen können Angreifer aus der Ferne und ohne Anmeldung eigenen Code auf dem Webserver ausführen. Betroffen sind laut heise Security alle PHP-Versionen seit PHP 5. Das PHP-Team schreibt: Ein Update ist die einzige sichere Lösung.
Wie ernst ist die Lage?
Laut ZDF und heise hat das BSI die Warnstufe Orange ausgerufen und empfohlen, Server im Zweifel vom Netz zu nehmen. Viele Behörden haben ihre Webauftritte vorübergehend abgeschaltet. Die Sicherheitsfirma Censys hat laut heise in Deutschland rund 4,2 Millionen PHP-Dienste mit anfälliger Versionsnummer gezählt – eine Schätzung, denn manche Linux-Distributionen spielen Korrekturen auch in ältere Versionsnummern ein.
Was heißt das für Praxen, Kanzleien und Agenturen?
Viele Websites, Terminformulare und Kundenportale laufen auf PHP, oft bei einem Hoster oder einer Webagentur. Auch Geräte im eigenen Netz nutzen PHP für ihre Weboberfläche, etwa NAS-Systeme von QNAP oder Synology. Agenturen, die Kundenseiten betreuen, tragen hier besondere Verantwortung. Wer auf dem Mac lokal mit PHP entwickelt, aktualisiert dort ebenfalls.
Was Sie jetzt tun sollten
- Hoster oder Webagentur fragen: Welche PHP-Version läuft, ist das Update vom 21. Oktober eingespielt?
- Die Versionsnummer prüfen: 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer.
- Alte Versionen (7.4, 8.0, 8.1) nicht nur flicken, sondern auf mindestens PHP 8.3 umstellen.
- In der Softwareverwaltung des NAS nach Updates suchen.
- Bis zum Update prüfen, ob die Seite vorübergehend offline gehen kann.
Häufige Fragen
Bin ich betroffen, wenn ich keine eigene Website betreibe?
Möglicherweise über Geräte mit Weboberfläche, etwa ein NAS. Prüfen Sie dort die Updates.
Reicht eine Web Application Firewall?
Nein. Laut PHP-Team und heise sind Schutzregeln nur eine Übergangslösung; sicher ist allein das Update.
Welche PHP-Versionen sind sicher?
8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie neuere Versionen.
Passend für Ihr Umfeld
Was heißt das für Ihre Geräte?
Im Erstgespräch sehen wir uns an, was dieser Beitrag für Ihre Macs, iPhones und iPads konkret bedeutet. Sie bekommen eine klare Einschätzung, ohne dass Sie etwas bestellen müssen.
Erstgespräch vereinbaren
