Zum Hauptinhalt springen

Kritische PHP-Sicherheitslücke (PHP2Shell): Was passiert ist — und wie wir reagiert haben

· Superscreen Team · Php

Am 22. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP öffentlich — zusammengefasst unter dem Namen „PHP2Shell". Beide sind mit dem höchsten Schweregrad bewertet (CVSS 9.2) und erlauben nicht authentifizierte Remote Code Execution: Ein Angreifer kann ohne Login eigenen Code auf dem Server ausführen. PHP betrifft den Großteil des Webs — entsprechend ernst ist die Lage. Hier, was passiert ist und was wir unternommen haben.

Was passiert ist

Das PHP-Projekt hat die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619) als kritisch eingestuft und umgehend Notfall-Updates veröffentlicht. Die abgesicherten Versionen sind:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Wichtig: Es gibt keinen echten Workaround. Firewall-Regeln (WAF) können das Risiko dämpfen, ersetzen das Update aber nicht — nur das Einspielen der gepatchten PHP-Version schließt die Lücke zuverlässig. Besonders exponiert sind Systeme auf älteren, nicht mehr gepflegten PHP-Versionen, für die es gar keine Fixes mehr gibt.

Warum das ernst ist

Eine nicht authentifizierte Remote Code Execution ist das Worst-Case-Szenario: kein gültiges Passwort nötig, kein Nutzerkonto — der Angriff zielt direkt auf den PHP-Prozess, der die Website ausliefert. Erfolgreiche Angriffe können zur vollständigen Übernahme des Servers führen. Dass die Lücke öffentlich bekannt ist, erhöht den Zeitdruck: Je länger ein ungepatchtes System online ist, desto größer das Risiko.

Was wir gemacht haben

Wir haben unmittelbar reagiert und die von uns betreuten Systeme abgesichert:

  • Bestandsaufnahme. Wir haben für alle betreuten Projekte geprüft, welche PHP-Version wo läuft — über Hosting-Umgebungen und Kunden hinweg.
  • PHP hochgesetzt, wo technisch möglich. Betroffene Systeme haben wir auf die gepatchten Versionen gehoben (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12).
  • Altlasten identifiziert. Systeme auf veralteten, nicht mehr unterstützten PHP-Versionen haben wir markiert und — wo möglich — direkt auf eine aktuelle, gepatchte Version gebracht. Wo ein sofortiger Sprung nicht möglich war, haben wir das Risiko eingegrenzt und das Update eingeplant.
  • Kontrolle. Nach den Updates haben wir gegengeprüft, dass die Fixes greifen, und die Systeme auf Auffälligkeiten gesichtet.

Was das für unsere Kunden heißt

Die von uns betreuten Systeme sind auf einem aktuellen, abgesicherten Stand. Wer Hosting oder PHP-Version in eigener Hand hat, sollte jetzt prüfen, welche Version läuft, und — falls nötig — zügig aktualisieren. Dabei unterstützen wir gern.

Sicherheit ist kein einmaliges Projekt, sondern laufende Pflege. Genau deshalb halten wir PHP-Versionen und Abhängigkeiten der von uns betreuten Systeme kontinuierlich im Blick — damit im Ernstfall schnell gehandelt werden kann.