Aktuelles

Eilmeldung: PHP2Shell: Bundesweit Server heruntergefahren, BSI warnt.

Nur ganz kurz: Wer PHP betreibt, hört jetzt auf, diesen Text zu lesen, und patcht. Danach gerne weiterlesen.

Das BSI greift selten zu Formulierungen wie „Sicherheitsupdate noch heute notwendig“. Heute tut es das. Zwei kritische Lücken im PHP-Kern, getauft auf den sympathischen Namen PHP2Shell (CVE-2026-109618 und CVE-2026-109619), erlauben im schlimmsten Fall, dass Angreifer ohne Login Code auf dem Webserver ausführen. Bewertung: CVSS 9.2. Betroffen sind laut BSI alle bekannten PHP-Versionen bis mindestens zurück zu PHP 5. Also: praktisch jede WordPress-Seite, jeder Shop, jedes selbstgestrickte Kundenportal.

Eile ist geboten

Eigentlich sollte alles schön koordiniert am 22. Oktober veröffentlicht werden. Dann sind die Details am 20. Oktober geleakt worden und der Fahrplan war Makulatur. Cloudflare hat erste Angriffe schon heute Morgen um 07:43 Uhr UTC gesehen - Stunden bevor überhaupt ein Patch existierte. In den Niederlanden haben unter anderem das Parlament, das NCSC und Tweakers ihre Seiten vorsorglich vom Netz genommen. In Deutschland ist die Charité und jede Menge kommunale Webserver abgeschaltet oder heruntergefahren.

Das BSI rechnet damit, dass die Lücken innerhalb weniger Stunden großflächig ausgenutzt werden, weil sich Exploits mit KI-Werkzeugen inzwischen fix aus den Patches ableiten lassen. Die gute alte „Ich mach das am Wochenende“-Strategie ist damit offiziell zu Grabe getragen.

Diese Versionen müssen drauf

Seit heute 16 Uhr deutscher Zeit stehen die Updates bereit:

Wer noch PHP 7.x oder 8.0/8.1 fährt, bekommt von php.net keinen Fix. Einzelne Distributionen und LTS-Anbieter liefern eventuell Backports nach, darauf zu hoffen ist aber kein Sicherheitskonzept.

Was Sie jetzt tun sollten

• Version prüfen: per php -v auf der Konsole oder im Hosting-Panel. Achtung: CLI und Webserver (PHP-FPM, mod_php) können unterschiedliche Versionen nutzen!
• Updaten und neu starten: Paket aktualisieren und PHP-FPM bzw. Apache neu starten. Ein installiertes Update, das nicht geladen ist, schützt genau gar nichts.
• Managed Hosting? Beim Hoster nachfragen, ob die gepatchte Version schon läuft. Nicht vermuten - fragen!
• Kein Patch möglich? Dann Datei-Uploads per multipart/form-data am Webserver blockieren oder die Seite vorübergehend schreibgeschützt bzw. offline nehmen. Ja, wirklich.
• Logs im Blick behalten: Wer exponierte Server betreibt, sollte in den nächsten Tagen genau auf Auffälligkeiten achten. Wurde vor dem Patch schon angegriffen, ist das Update allein kein Freispruch.

Und die Moral von der Geschicht'

Veraltete PHP-Versionen sind kein Schönheitsfehler, sondern eine offene Tür mit Fußmatte. Wer noch auf 7.4 sitzt, weil „die Seite ja läuft“, bekommt heute die Rechnung präsentiert. Sie wissen nicht, welche PHP-Version auf Ihrer Website werkelt, oder Ihr Hoster reagiert nicht? Melden Sie sich bei uns, wir prüfen das, kurzfristig und ohne Panik-Aufschlag.

Quelle: BSI-Pressemitteilung vom 21.10.2026

Weitere Informationen:

• Sansec: PHP2Shell
• Help Net Security
• ma.ttias.be: Patch-Status
• watchTowr FAQ
• SOCRadar

21.10.2026