Stand: 22. Oktober 2026 · Website-Wartung & Sicherheit
Bereits vor einem Monat haben wir vor den Risiken veralteter PHP- und CMS-Umgebungen gewarnt. Die aktuelle BSI-Warnung macht das Thema erneut dringend: Zwei kritische PHP-Sicherheitslücken können Websites und Onlineshops angreifbar machen. [1] [2] Wir helfen Unternehmen zu klären, ob ihre Systeme betroffen sind, und übernehmen die notwendigen Aktualisierungen in Abstimmung mit ihrem Hosting-Anbieter.
Die wichtigsten Fakten zu PHP2Shell
- 2 kritische Schwachstellen: CVE-2026-109618 und CVE-2026-109619 können die Ausführung fremden Codes ohne vorherige Anmeldung ermöglichen. [3] [4]
- 9,2 von 10: Beide Lücken wurden mit diesem CVSS-v4.0-Wert angekündigt. Er beschreibt die technische Schwere, keine Wahrscheinlichkeit eines erfolgreichen Angriffs. [2]
- 3 / Orange: Die BSI-Einstufung verlangt unverzügliche Maßnahmen; erhebliche Störungen des Regelbetriebs sind möglich. [1]
- 21. Oktober 2026: PHP veröffentlicht korrigierte Versionen für die vier unterstützten Zweige 8.2 bis 8.5. [2]
Warum auch eine funktionierende Website geprüft werden muss
Ein Shop nimmt Bestellungen an, das Kontaktformular funktioniert, die Startseite lädt. Ob die Software darunter eine Sicherheitslücke enthält, lässt sich daran nicht erkennen. Bei PHP2Shell sitzt der Fehler in PHP selbst, also in der Software, die den Anwendungscode auf dem Server ausführt. Ein WordPress- oder Plugin-Update allein behebt diese Lücken nicht. [2]
Die beiden Schwachstellen betreffen die interne Speicherverarbeitung. Unter bestimmten Bedingungen ermöglichen sie Angriffe ohne vorherige Anmeldung. [3] [4] Für Unternehmen geht es damit um die Verfügbarkeit ihrer Onlineangebote und um Daten, auf die eine kompromittierte Anwendung zugreifen könnte.
Unsere Warnung im September galt dem Weiterbetrieb veralteter PHP- und CMS-Versionen. PHP2Shell betrifft allerdings auch neuere, noch ungepatchte Versionen. Deshalb gehört jetzt jede eingesetzte PHP-Webumgebung auf die Prüfliste. [2]
Welche PHP-Versionen die Korrekturen enthalten
Das PHP-Projekt hat am 21. Oktober 2026 die folgenden Sicherheitsversionen veröffentlicht. [2]
| PHP-Zweig | Erste korrigierte Upstream-Version |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Bei Hosting- oder Distributionspaketen können die Korrekturen auch in eine ältere Versionsnummer zurückportiert sein. Wir gleichen deshalb den konkreten Paketstand mit den Angaben des Anbieters ab. [2]
Ein bloßer Wechsel auf die höchste auswählbare PHP-Version ist bei älteren Projekten keine gute Lösung. Zunächst prüfen wir, ob CMS, Erweiterungen und individuelle Funktionen damit kompatibel sind. Wo Anpassungen nötig sind, benennen wir Aufwand und Reihenfolge, bevor wir die Umstellung vornehmen.
Wenn ein altes CMS das Update blockiert
Gerade gewachsene TYPO3-Websites oder ältere Shops hängen häufig an Erweiterungen und Schnittstellen, die seit Jahren unverändert laufen. Dann wird aus einem PHP-Update eine Entwicklungsaufgabe. Wir prüfen, welche Bestandteile aktualisiert oder angepasst werden müssen und ob sich die vorhandene Installation weiterführen lässt.
PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine regulären Updates mehr. Die ausnahmsweise bereitgestellten Quellcode-Korrekturen für 7.4, 8.0 und 8.1 ändern daran nichts. [2] Für solche Systeme erarbeiten wir einen Übergang zu einer unterstützten Umgebung. Eine komplette Neuentwicklung empfehlen wir nur, wenn der technische Befund dafür spricht.
Bis eine Korrektur aktiv ist, kann eine Einschränkung der Erreichbarkeit notwendig sein. Das PHP-Team weist ausdrücklich darauf hin, dass reine Konfigurationsänderungen keinen vollständigen Schutz bieten. [2] Welche Zwischenmaßnahme für Ihr Angebot infrage kommt, klären wir mit dem zuständigen Betreiber.
Was wir nach dem Update kontrollieren
Nach der Umstellung testen wir die Funktionen, auf die Ihr Unternehmen angewiesen ist: etwa Formulare, Anmeldung, Bestellabschluss oder angebundene Systeme. Außerdem prüfen wir, ob tatsächlich die korrigierte PHP-Laufzeit eingesetzt wird. Das Ergebnis halten wir für Sie fest.
Bei PHP2Shell lohnt sich auch ein Blick auf die Zeit davor. Amazon meldet einen Angriffsversuch gegen sein MadPot-Beobachtungssystem vom 17. Oktober, vier Tage vor der Veröffentlichung der Patches. Das belegt keinen Einbruch auf Ihrer Website, begründet aber die Prüfung vorhandener Protokolle und auffälliger Dateiänderungen. [5] Bei Hinweisen auf einen Angriff stimmen wir die weitere Untersuchung mit Ihnen ab.
So unterstützen wir Ihr Unternehmen
Wir klären den Handlungsbedarf
Wir erfassen Ihre PHP- und CMS-Versionen, prüfen den Patchstatus und zeigen, welche Maßnahmen für Ihre Installation erforderlich sind.
Wir kümmern uns um die Umsetzung
Wir übernehmen die Arbeiten an Ihrer Anwendung und koordinieren Änderungen an der Serverumgebung mit Ihrem Hoster oder Ihrer IT.
Wir lösen technische Abhängigkeiten
Verhindern alte Erweiterungen oder Eigenentwicklungen das Update, prüfen wir die Anpassungsmöglichkeiten und erstellen einen konkreten Umsetzungsplan.
Wir übernehmen die Wartung
Auf Wunsch betreuen wir Ihr System dauerhaft. Dazu vereinbaren wir den Umfang der Updates, regelmäßige Prüfungen und Ansprechpartner für dringende Fälle.
Sie wissen nicht, wie es um Ihre Website steht?
Schicken Sie uns die Adresse Ihrer Website oder Ihres Shops. Wenn bekannt, nennen Sie auch das verwendete System und Ihren Hosting-Anbieter. Wir klären mit Ihnen den Prüfungsumfang und die nächsten Schritte.
Wir unterstützen Sie auch dann, wenn Ihre Website von einer anderen Agentur entwickelt wurde.
Prüfung Ihrer Website anfragenQuellen und Datenstand
Redaktionsstand: 22. Oktober 2026. Versionsangaben beziehen sich auf die genannten Sicherheitskorrekturen. Die betrieblichen Empfehlungen und Schlussfolgerungen sind unsere redaktionelle Einordnung.
- BSI: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit, 21.10.2026. Warnung und Kritikalität.
- PHP-Projekt: Security advisory und Release-Mitteilungen, 20.–21.10.2026. Bewertung, Betriebsarten, korrigierte Versionen und Grenzen temporärer Maßnahmen.
- PHP-Sicherheitsadvisory: RCE via OOM corruption, CVE-2026-109618.
- PHP-Sicherheitsadvisory: RCE via stale global state, CVE-2026-109619.
- Amazon Threat Intelligence: PHP2Shell exploitation prior to public disclosure in MadPot, 21.10.2026. Beobachtete Versuche und Untersuchungsempfehlungen.
