PHP2Shell: Kritische Sicherheitslücken in PHP – was Website-Betreiber jetzt wissen müssen

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP öffentlich bekannt. Sie werden unter dem Namen „PHP2Shell“ zusammengefasst und tragen die offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen wurden mit einem Schweregrad von 9,2 von 10 Punkten bewertet und gelten damit als kritisch. Das Besondere: Die Sicherheitslücken befinden sich direkt in PHP und nicht in einzelnen Websites, Plugins oder Content-Management-Systemen. Damit können sie eine Vielzahl unterschiedlicher Webanwendungen betreffen.

PHP gehört zu den am weitesten verbreiteten Programmiersprachen im Internet. Sie wird auf Webservern eingesetzt, um dynamische Inhalte zu erzeugen und Funktionen von Websites auszuführen. Auch bekannte Content-Management-Systeme wie WordPress, TYPO3 und Drupal basieren auf PHP. Die Sicherheitslücken betreffen die zugrunde liegende PHP-Technologie. 

Das bedeutet: Selbst wenn ein Content-Management-System und seine Erweiterungen vollständig aktualisiert sind, kann eine Website durch eine veraltete PHP-Version gefährdet sein. 

Ob eine Website tatsächlich angreifbar ist, hängt unter anderem von der eingesetzten PHP-Version und der Serverkonfiguration ab.

Die beiden Schwachstellen ermöglichen unter bestimmten Voraussetzungen eine sogenannte Remote Code Execution (RCE). Das bedeutet, dass Angreifer aus der Ferne eigenen Programmcode auf einem betroffenen Server ausführen können, ohne sich zuvor anmelden zu müssen.

Ein erfolgreicher Angriff könnte schwerwiegende Folgen haben:

• Datendiebstahl: Vertrauliche Informationen oder Kundendaten könnten ausgelesen werden.

• Manipulation: Inhalte und Funktionen einer Website könnten unbemerkt verändert werden.

• Einschleusung von Schadsoftware: Angreifer könnten schädliche Programme auf dem Server platzieren.

• Ausfälle: Websites oder Webanwendungen könnten beeinträchtigt oder vollständig lahmgelegt werden.

Wichtig ist dabei: Eine vorhandene Sicherheitslücke bedeutet nicht automatisch, dass eine Website bereits angegriffen wurde. Sie eröffnet jedoch eine potenzielle Angriffsmöglichkeit, die schnellstmöglich geschlossen werden sollte.

Die Schwachstellen betreffen zahlreiche PHP-Versionen, darunter auch bisher unterstützte Versionen.Am 21. Oktober 2026 wurden deshalb Sicherheitsupdates für folgende PHP-Versionen veröffentlicht:

Auch ältere PHP-Versionen können betroffen sein. Für nicht mehr offiziell unterstützte Versionen sind gegebenenfalls Sicherheitsupdates des jeweiligen Betriebssystem- oder Softwareanbieters erforderlich.

Bei kritischen Sicherheitslücken zählt vor allem eine schnelle Reaktion. Website-Betreiber sollten daher zeitnah prüfen, ob ihre Systeme betroffen sind und ob die erforderlichen Updates bereits durchgeführt wurden.

1. PHP-Version überprüfen

Zunächst sollte geklärt werden, welche PHP-Version auf dem Webserver eingesetzt wird. Diese Information ist häufig im Hosting-Panel verfügbar oder kann beim Hosting-Anbieter erfragt werden.

2. Sicherheitsupdates durchführen

Betroffene PHP-Installationen sollten schnellstmöglich auf eine abgesicherte Version aktualisiert werden. Dabei ist auf die Kompatibilität mit dem eingesetzten Content-Management-System und weiteren Anwendungen zu achten.

3. Hosting-Anbieter kontaktieren

Wer seine Website nicht selbst technisch verwaltet, sollte beim Hosting-Anbieter nachfragen, ob die Sicherheitsupdates bereits eingespielt wurden und ob weiterer Handlungsbedarf besteht.

4. Website-Sicherheit langfristig gewährleisten

Nicht nur akute Sicherheitslücken, sondern auch veraltete Software, fehlende Updates oder unzureichend gewartete Systeme können Sicherheitsrisiken darstellen. Regelmäßige Wartung, Sicherheitsupdates, Backups und die Überwachung der Serverumgebung sind deshalb wesentliche Bestandteile eines sicheren Website-Betriebs.

Der aktuelle Fall zeigt, dass die Sicherheit einer Website nicht allein von ihrem Content-Management-System abhängt. Auch die darunterliegende Serverinfrastruktur muss kontinuierlich gepflegt und aktualisiert werden. Neue Schwachstellen können jederzeit entdeckt werden, selbst in Technologien, die seit vielen Jahren zuverlässig eingesetzt werden. Für Unternehmen bedeutet das: Eine professionell entwickelte Website ist nur dann langfristig sicher, wenn auch der technische Betrieb zuverlässig betreut wird. Entscheidend sind klar geregelte Verantwortlichkeiten, regelmäßige Updates und die Fähigkeit, bei neu bekannt gewordenen Sicherheitsrisiken schnell zu reagieren.

Auch innerhalb der Krick Unternehmensfamilie wurden unmittelbar nach Bekanntwerden der PHP2Shell-Sicherheitslücken entsprechende Maßnahmen eingeleitet.

Mit iWelt gehört ein erfahrener Internet-Service-Provider zur Krick Unternehmensfamilie, der ein eigenes Rechenzentrum betreibt und unter anderem die Hosting-Infrastruktur für Websites bereitstellt. Bereits am 21. Oktober 2026 wurden umgehend Sicherheitsmaßnahmen eingeleitet und die verfügbaren Updates durchgeführt. Die relevanten Sicherheitsupdates wurden auf den betroffenen iWelt-Webservern eingespielt. 

Damit sind die bekannt gewordenen Schwachstellen auf den entsprechend aktualisierten Systemen behoben. Für Kunden, deren Websites auf diesen Systemen gehostet werden, besteht nach aktuellem Kenntnisstand durch diese Sicherheitslücken kein weiteres Risiko. Die weitere Sicherheitsentwicklung wird selbstverständlich laufend beobachtet. 

Sie haben Fragen zur Sicherheit Ihrer Website oder benötigen Unterstützung bei der technischen Betreuung?

Unser Website-Team steht Ihnen gerne zur Verfügung. Jetzt Kontakt aufnehmen