Am 21. Oktober 2026 hat das PHP-Team Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht. Unter dem Namen PHP2Shell bekannt, ermöglichen sie im schlimmsten Fall die Übernahme ganzer Webserver aus der Ferne. Betroffen sind potenziell alle Websites, Onlineshops und Webanwendungen, die auf PHP laufen, darunter WordPress, Shopware und Nextcloud. Dieser Beitrag ordnet die PHP-Sicherheitslücke ein: Was ist passiert, welche PHP-Versionen sind geschützt und warum macht die Lücke ein Problem sichtbar, das weit über diese Woche hinausreicht, nämlich veraltete PHP-Versionen im Unternehmen.
Stand: 21. Oktober 2026. Wir aktualisieren den Beitrag, sobald neue Informationen vorliegen.
PHP-Sicherheitslücke PHP2Shell: Was ist passiert?
In PHP wurden zwei kritische Schwachstellen entdeckt, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden. Beide sind auf der CVSS-Skala mit 9,2 von 10 Punkten bewertet. Sie ermöglichen eine sogenannte Remote Code Execution: Angreifer können unter Umständen ohne Anmeldung aus der Ferne eigenen Programmcode auf einem Server ausführen.
Eigentlich sollten die Details erst nach Erscheinen der Updates veröffentlicht werden. Am 20. Oktober sickerten jedoch erste Informationen durch. Das PHP-Team zog den Termin daraufhin vor und veröffentlichte am 21. Oktober die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ruft dazu auf, die Updates umgehend einzuspielen. Einige Anbieter haben ihre Dienste vorsorglich vom Netz genommen, bis die Updates installiert sind.
Ein zusätzlicher Engpass: Weil weltweit gleichzeitig aktualisiert wird, sind viele Update-Server derzeit stark ausgelastet. Updates kommen dadurch teils verzögert an.
Quellen: DSIN, t-online, netzwelt
Was ist PHP und warum betrifft das fast jedes Unternehmen?
PHP ist eine Programmiersprache, die im Hintergrund von Webservern arbeitet. Sie erzeugt die Inhalte, die Besucher im Browser sehen, verarbeitet Formulare und verbindet Websites mit Datenbanken. Wer eine Website aufruft, merkt davon nichts.
Genau deshalb wird PHP leicht übersehen. Viele Unternehmen setzen PHP ein, ohne es zu wissen:
- Website: WordPress, TYPO3, Joomla oder Drupal
- Onlineshop: WooCommerce, Shopware oder Magento
- Zusammenarbeit: Nextcloud für Dateien, Kalender und Kontakte
- Interne Werkzeuge: Ticketsysteme, Intranets, Formulare oder selbst entwickelte Anwendungen
Die Lücken stecken in PHP selbst und nicht in diesen Anwendungen. Ein Update von WordPress oder der Shop-Software reicht deshalb nicht aus. Entscheidend ist die PHP-Version auf dem Server.
Welche PHP-Versionen sind geschützt?
Updates gibt es nur für PHP-Versionen, die offiziell noch unterstützt werden. Ältere Versionen bleiben dauerhaft verwundbar.
| PHP-Version | Sichere Version | Sicherheitsupdates bis | Status |
|---|---|---|---|
| 8.5 | 8.5.12 | 31.12.2029 | unterstützt |
| 8.4 | 8.4.27 | 31.12.2028 | unterstützt |
| 8.3 | 8.3.36 | 31.12.2027 | nur Sicherheitsupdates |
| 8.2 | 8.2.35 | 31.12.2026 | nur Sicherheitsupdates, endet in zehn Wochen |
| 8.1 und älter | kein Update | bereits beendet | ungeschützt |
PHP 8.1 erhält seit dem 31. Dezember 2025 keine Sicherheitsupdates mehr, PHP 8.0 seit November 2023 und PHP 7.4 seit November 2022. Wer eine dieser Versionen betreibt, kann die aktuellen Lücken nicht per Update schließen. Hier hilft nur der Wechsel auf eine unterstützte Version.
Quelle: php.net – Supported Versions
PHP 8.2 Supportende am 31. Dezember 2026
Auch wer heute auf PHP 8.2.35 aktualisiert, ist nur für kurze Zeit auf der sicheren Seite. Am 31. Dezember 2026 endet der Support für PHP 8.2. Ab dann gibt es auch für diese Version keine Sicherheitsupdates mehr.
Taucht im kommenden Jahr die nächste kritische Lücke auf, stehen Systeme mit PHP 8.2 ohne Schutz da. Das jetzige Update ist deshalb ein guter Anlass, gleich auf PHP 8.4 oder 8.5 zu wechseln. Damit ist die Plattform für mehrere Jahre abgesichert.
Dabei gilt dasselbe wie bei jedem Versionswechsel: Website, Shop und Erweiterungen müssen mit der neuen PHP-Version kompatibel sein. Ein Test auf einer Kopie vor der Umstellung vermeidet böse Überraschungen.
Damit reiht sich PHP in eine Folge von Supportenden ein, die viele Unternehmen gerade gleichzeitig beschäftigen. Mehr dazu in unseren Beiträgen zur Windows Server 2016 Migration und zur Exchange-Alternative auf Open-Source-Basis.
So lässt sich die eigene PHP-Version prüfen
Die PHP-Version lässt sich meist ohne technisches Vorwissen herausfinden:
- WordPress: Im Dashboard unter Werkzeuge > Website-Zustand > Bericht, Abschnitt Server
- Hosting-Kundenbereich: Die meisten Anbieter zeigen die PHP-Version in der Verwaltung der Website oder Domain an
- Nextcloud: In den Administrationseinstellungen unter Übersicht beziehungsweise Systeminformationen
- Eigene Server: Der Befehl
php -vauf der Kommandozeile zeigt die installierte Version
Wichtig ist die vollständige Versionsnummer. „PHP 8.3“ allein sagt noch nichts. Erst ab 8.3.36 ist die Lücke geschlossen. Lässt sich die Version nicht selbst prüfen, genügt eine kurze Anfrage beim Hosting-Anbieter oder IT-Dienstleister. Am besten schriftlich, mit der Frage, ob und wann das Update eingespielt wird.
Was Unternehmen bezüglich der PHP-Sicherheitslücke jetzt tun sollten
- Bestand erfassen: Alle Systeme mit PHP auflisten, also Website, Shop, Nextcloud, Testumgebungen und interne Werkzeuge. Gerade vergessene Testsysteme sind ein beliebtes Einfallstor.
- Version prüfen: Für jedes System die vollständige PHP-Versionsnummer festhalten.
- Nach Dringlichkeit patchen: Öffentlich erreichbare und geschäftskritische Systeme zuerst aktualisieren.
- Veraltete Versionen ersetzen: Systeme mit PHP 8.1 oder älter auf eine unterstützte Version umstellen. Ist das kurzfristig nicht möglich, das System vorübergehend vom Netz nehmen oder den Zugriff stark einschränken.
- Auf Auffälligkeiten achten: Unbekannte Dateien, neue Benutzerkonten oder ungewöhnliche Serverlast können auf einen Angriff hindeuten. Im Zweifel ein Backup aus der Zeit vor dem 20. Oktober bereithalten.
- Wechsel weg von PHP 8.2 planen: Das Supportende am 31. Dezember ist nicht mehr weit.
So gehen wir bei Compose IT vor
Wir haben die Lage seit der ersten Warnung im Blick. Alle von uns betreuten Systeme werden nach Dringlichkeit aktualisiert. Öffentlich erreichbare Systeme haben dabei Vorrang, das gilt auch für die Nextcloud-Umgebungen in der Compose Cloud.
Die hohe Auslastung der Update-Server verzögert die Verteilung der neuen Versionen aktuell weltweit. Wir spielen die Updates ein, sobald sie verfügbar sind, und prüfen die Systeme anschließend.
Kunden mit Managed Server oder Managed Security müssen nichts weiter tun. Patch-Management und Überwachung sind dort Teil des Services.
PHP-Sicherheitslücke: Unser Fazit
PHP2Shell zeigt, wie schnell aus einer unsichtbaren Software-Komponente ein akutes Risiko werden kann. Das Update von heute schließt die beiden Lücken. Das grundlegende Problem bleibt aber bestehen, solange veraltete PHP-Versionen im Einsatz sind.
Sicherheitslücken lassen sich nicht verhindern. Entscheidend ist, wie schnell Updates eingespielt werden. Dafür braucht es einen vollständigen Überblick über alle Systeme und ein festes Patch-Management, statt Updates nur bei Gelegenheit einzuspielen.
Wir unterstützen bei der Bestandsaufnahme, beim Update und beim Wechsel auf eine aktuelle PHP-Version, auf Wunsch dauerhaft über unsere Managed Services!
Häufige Fragen zur PHP-Sicherheitslücke PHP2Shell
Was ist PHP2Shell?
PHP2Shell ist der Spitzname für zwei kritische Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619). Sie können es Angreifern ermöglichen, aus der Ferne Schadcode auf Webservern auszuführen.
Welche Versionen schließen die PHP-Sicherheitslücke?
Geschützt sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie jeweils neuere Versionen. Für PHP 8.1 und älter gibt es kein Update.
Reicht es, WordPress oder den Shop zu aktualisieren?
Nein. Die Lücken stecken in PHP selbst. Entscheidend ist, dass die PHP-Version auf dem Server aktualisiert wird.
Ist auch Nextcloud betroffen?
Nextcloud läuft auf PHP und ist deshalb potenziell betroffen, wie jede andere PHP-Anwendung. Abhilfe schafft das Update der PHP-Version auf dem Server.
Wann endet der Support für PHP 8.2?
PHP 8.2 erhält bis zum 31. Dezember 2026 Sicherheitsupdates. Danach sollte mindestens PHP 8.3 im Einsatz sein, besser 8.4 oder 8.5.
