PHP2Shell: Kritische Sicherheitslücke in PHP – deine Website ist bereits geschützt
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt, über die Angreifer ohne Anmeldung Code auf Webservern ausführen können. Wir haben kurz nach Erscheinen der Patches reagiert und alle PHP-Versionen auf unseren Servern aktualisiert.
Unter dem Namen „PHP2Shell“ sind zwei schwerwiegende Sicherheitslücken in PHP bekannt geworden (CVE-2026-109618 und CVE-2026-109619). PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft – darunter auch TYPO3, WordPress und viele Onlineshops. Entsprechend groß ist die Tragweite.
Was steckt hinter PHP2Shell?
Beide Lücken erlauben es Angreifern, ohne Anmeldung eigenen Code auf einem Webserver auszuführen. Im schlimmsten Fall übernehmen sie damit die komplette Website samt Daten. Betroffen sind nahezu alle PHP-Versionen der letzten Jahre. Die Lücken wurden mit einem CVSS-Wert von 9,2 als kritisch eingestuft. Erschwerend kam hinzu, dass technische Details bereits vor der offiziellen Veröffentlichung der Patches öffentlich wurden.
Unsere Reaktion
Das PHP-Team hat am 21. Oktober 2026 abgesicherte Versionen veröffentlicht. Wir haben kurz nach Erscheinen reagiert und die betroffenen PHP-Versionen auf unseren Servern gepatcht. Damit ist die Lücke für alle Websites, die wir betreuen, geschlossen. Du musst nichts weiter tun.
Warum das wichtig ist
Sicherheitslücken wie PHP2Shell zeigen, wie schnell eine Website zum Einfallstor werden kann. Zwischen Bekanntwerden und ersten Angriffsversuchen vergehen oft nur Stunden. Regelmäßige Updates und ein funktionierendes Schwachstellenmanagement sind deshalb Pflicht. Das gilt erst recht für Unternehmen, die unter NIS-2 fallen.
Jetzt über NIS-2 informieren
Ein aktuelles PHP ist aber nur ein Baustein.Was können wir für dich tun?
Genauso wichtig ist das System, das darauf läuft: TYPO3, WordPress und deren Erweiterungen bekommen regelmäßig Sicherheitsupdates, die zeitnah eingespielt werden sollten. Wir übernehmen das für dich. Wir aktualisieren dein TYPO3 oder WordPress und die genutzten Erweiterungen und Plugins und schließen so bekannte Lücken, bevor sie zum Problem werden. Auch größere Versionssprünge begleiten wir, etwa wenn deine TYPO3-Version keine Sicherheitsupdates mehr erhält.
Sprich uns an. Wir prüfen den Stand deiner Website und sagen dir, was zu tun ist. Das gilt auch, wenn deine Website nicht von uns stammt: Wir übernehmen gern auch die Pflege von Websites, die andere erstellt haben.
