21. Oktober 2026

PHP2Shell: Was Sie über die bekannt gewordenen PHP-Schwachstellen wissen sollten

Wir haben alle Managed Services Kunden, die PHP im Einsatz haben, über PHP2Shell informiert. Wenn Sie diese Leistungen nutzen, haben Sie bereits von uns gehört.

Das BACS rät zur sofortigen Installation der Sicherheitsupdates

Am 21. Oktober 2026 hat das Bundesamt für Cybersicherheit (BACS) vor zwei kritischen Schwachstellen in PHP gewarnt. Angreifer können darüber ohne Anmeldung Schadcode auf betroffenen Servern ausführen. Die Schwachstellen sind unter den Kennungen CVE-2026-109618 und CVE-2026-109619 erfasst. 

Die Empfehlung ist eindeutig: Betroffene Systeme sollen unverzüglich aktualisiert werden. Neben Webservern sind auch Anwendungen und Geräte zu prüfen, die PHP als integrierte Komponente verwenden.

Die Sicherheitsupdates sind inzwischen verfügbar. Die Schwachstellen werden mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Installieren Sie die korrigierte Version für Ihre jeweilige Versionslinie oder das entsprechende Sicherheitsupdate Ihres Betriebssystem- oder Produktanbieters. Den aktuellen Stand finden Sie in der Ankündigung des PHP-Projekts, in der Warnung des BACS und auf dem Cyber Security Hub (CSH) des BACS.

PHP steckt nicht nur in Ihren Websites

WordPress, Drupal und Magento sind in PHP geschrieben, ebenso viele Kundenportale und Buchungssysteme. Auch Verwaltungsoberflächen für Hosting-Umgebungen, Netzwerk-Appliances und Weboberflächen von Herstellerprodukten bringen häufig eine eigene PHP-Installation mit. Das gilt auch dann, wenn die Produktdokumentation nicht darauf hinweist.

Deshalb genügt es nicht, nur die eigenen Server zu aktualisieren. Das BACS rät, mit Softwarelieferanten und Dienstleistern zu klären, welche Produkte betroffen sind und welche Updates benötigt werden. Ist PHP in eine Appliance integriert, müssen Sie auf das Update des Herstellers warten.

Was Sie jetzt tun sollten

Das BACS empfiehlt, betroffene Systeme zu erfassen, die Updates unverzüglich zu installieren, laufende PHP-Dienste neu zu starten, die Behebung zu überprüfen und die Systeme auf Auffälligkeiten zu untersuchen. Vorrang haben Systeme, die aus dem Internet erreichbar sind, sowie Anwendungen mit Zugriff auf besonders schützenswerte Daten oder kritische Geschäftsprozesse. So setzen wir das in der Praxis um:

  • Erfassen Sie alle Systeme mit PHP. Beginnen Sie mit allem, was aus dem Internet erreichbar ist: öffentliche Websites, Microsites, Kampagnen-Landingpages, Kundenportale, APIs und Fernzugriffs-Gateways. Prüfen Sie anschliessend die internen Systeme. Berücksichtigen Sie auch Staging- und Entwicklungsserver, ältere Agentur-Websites ohne interne Zuständigkeit sowie Container, deren Basis-Images eine PHP-Laufzeitumgebung enthalten.

  • Dokumentieren Sie Version und Zuständigkeit. Halten Sie für jedes System fest, welche PHP-Version läuft, wie sie installiert wurde und wer für Updates verantwortlich ist. Die Installation kann beispielsweise über ein Betriebssystempaket, ein Container-Image, eine Verwaltungsoberfläche oder eine Hersteller-Appliance erfolgt sein. So wissen Sie, ob Ihr eigenes Team handeln kann oder ob Sie auf ein Update Ihrer Linux-Distribution oder eines Anbieters warten müssen.

  • Suchen Sie nach Versionen, deren Support ausgelaufen ist. Das PHP-Projekt stellt Sicherheitsupdates nur für unterstützte Versionszweige bereit. Wenn Sie eine ältere Version wie PHP 7.4 oder 8.0 einsetzen, erhalten Sie möglicherweise keinen Patch direkt vom PHP-Projekt. Linux-Distributionen übertragen Sicherheitskorrekturen teilweise in bestehende Paketversionen. Eine unveränderte PHP-Hauptversion bedeutet deshalb nicht automatisch, dass der Patch fehlt; entscheidend sind die genaue Paketversion und die Angaben des Anbieters. Für ältere Versionen rät das BACS, beim Anbieter nach Sicherheitskorrekturen zu fragen oder auf eine unterstützte Version zu wechseln.

  • Entscheiden Sie, welche Systeme Sie vom Netz nehmen können. Ist ein sofortiges Update nicht möglich, empfiehlt das BACS, den Zugriff auf die betroffenen Anwendungen auf die tatsächlich benötigten Personen und Systeme zu beschränken. Bei kritischen Anwendungen sollten Sie prüfen, ob eine vorübergehende Trennung vom Internet oder eine Ausserbetriebnahme erforderlich ist. Legen Sie fest, welche Systeme Sie abschalten können, wer das freigibt und wie Sie Ihre Kunden informieren. Dann muss niemand diese Entscheidung unter Zeitdruck treffen.

  • Überwachen Sie Ihre aus dem Internet erreichbaren Systeme. Stellen Sie sicher, dass die Protokolldaten Ihrer PHP-Webserver bei den Verantwortlichen für die Überwachung Ihrer Umgebung ankommen und diese über die aktuelle Warnmeldung informiert sind.

Was Sie nach der Veröffentlichung des Updates tun sollten

  • Lesen Sie die Sicherheitsmeldung und prüfen Sie, welche Ihrer Systeme betroffen sind.

  • Aktualisieren Sie zuerst die aus dem Internet erreichbaren Systeme und anschliessend die internen. Testen Sie die Updates, soweit möglich. Wägen Sie dabei das Risiko einer kurzen Verzögerung gegen das Risiko ab, weiterhin angreifbar zu bleiben.

  • Starten Sie die PHP-Dienste nach dem Update neu. Wenn Sie nur das Paket aktualisieren, kann unter PHP-FPM oder dem Webserver weiterhin die alte Version im Arbeitsspeicher laufen. Container müssen gegebenenfalls neu gebaut und bereitgestellt werden.

  • Fragen Sie regelmässig bei Ihren Herstellern und Hosting-Anbietern nach. Wann integrierte PHP-Installationen aktualisiert werden, richtet sich nach deren Zeitplan, nicht nach Ihrem. Das BACS empfiehlt, sich die Behebung bei Hosting-Angeboten und Herstellerprodukten bestätigen zu lassen.

  • Führen Sie anschliessend erneut einen Scan durch. So prüfen Sie, ob tatsächlich die aktualisierte Version läuft und keine Installation übersehen wurde.

Wie Claranet Sie unterstützen kann

Die Empfehlungen des BACS laufen im Kern auf zwei Fragen hinaus: Wissen Sie, wo PHP bei Ihnen läuft? Und würden Sie bemerken, wenn jemand eine dieser Schwachstellen gegen Sie einsetzt? Bei beiden Aufgaben unterstützen wir Unternehmen täglich.

  • Systeme erfassen
    Unser Service External Attack Surface Monitoring erfasst die Systeme, die bei Ihnen aus dem Internet erreichbar sind. Dazu gehören auch Systeme, die nicht mehr in Ihrem IT-Inventar verzeichnet sind. CREST-akkreditierte Analysten überprüfen die Ergebnisse und berichten monatlich darüber.Damit ist der Service ein praktischer Ausgangspunkt, um alle PHP-Systeme vollständig zu erfassen..
  • Systeme testen und nach dem Update erneut prüfen
    Continuous Security Testing verbindet Schwachstellenscans rund um die Uhr mit manuellen Penetrationstests durch unser Security-Team. Sobald Details zu den Schwachstellen veröffentlicht sind und entsprechende Prüfverfahren vorliegen, können Sie damit feststellen, welche Systeme betroffen sind und ob Ihre Patches wirksam waren.
    Lesen Sie auch, wie REaD Group mit Continuous Security Testing Kundendaten schützt.
  • Angriffe erkennen
    Das BACS rät, Protokolle und betroffene Systeme auf ungewöhnliche Anfragen, Abstürze, veränderte Dateien und unerwartete Prozesse zu untersuchen, denn ein Update beseitigt keine bereits erfolgte Kompromittierung. Unser Service Managed Detection and Response bietet Ihnen ein CREST-akkreditiertes Security Operations Center (SOC), also ein Sicherheitsbetriebszentrum. Es ist an jedem Tag des Jahres rund um die Uhr besetzt und arbeitet mit Microsoft Sentinel oder SentinelOne. Unsere Analysten untersuchen verdächtige Aktivitäten und unterstützen Sie bei der Reaktion. Besonders wichtig ist das in der Zeit zwischen der Veröffentlichung eines Patches und der Aktualisierung aller Systeme.
  • Während der Updates die Angriffsfläche begrenzen
    Eine Web Application Firewall (WAF), die den Datenverkehr zu Webanwendungen filtert, ersetzt kein Update. Auch das BACS betont, dass Übergangsmassnahmen nur einzelne Angriffswege reduzieren und eine WAF allein nicht genügt. Sie kann Angriffe aber erschweren, während Sie Ihre Systeme schrittweise aktualisieren. Unser Service DDoS Protection and Web Acceleration schaltet eine Schutzebene vor Ihre Webanwendungen. Für Softwareanbieter bieten wir ausserdem Managed WAF sowie DDoS- und API-Schutz mit Überwachung und Anpassung der Schutzmassnahmen rund um die Uhr. DDoS bezeichnet dabei Angriffe, die Dienste durch eine grosse Zahl verteilter Anfragen überlasten sollen.
  • Die Plattform aktuell halten
    Wenn Ihre Websites und Anwendungen auf einer Infrastruktur laufen, die Claranet im Rahmen von Managed Public Cloud oder Managed Private Cloud betreibt, wenden Sie sich an Ihr Service-Team. Klären Sie gemeinsam, welche Maßnahmen für das PHP-Update in Ihrer Umgebung erforderlich sind.

Was über diese Warnmeldung hinaus wichtig bleibt

Kritische Schwachstellen in weitverbreiteten Plattformen wird es auch künftig geben. Am besten kommen Unternehmen damit zurecht, die bereits wissen, welche Systeme sie betreiben, wer dafür verantwortlich ist und wie schnell sie Änderungen umsetzen können. Wenn diese Warnmeldung Lücken in einem dieser Bereiche aufgezeigt hat, ist jetzt der Zeitpunkt, sie zu schließen.

Möchten Sie klären, wo PHP in Ihrer IT-Landschaft zum Einsatz kommt oder wie schnell Sie auf die nächste Warnmeldung reagieren könnten? Kontaktieren Sie unser Team oder informieren Sie sich über unsere Cybersecurity-Services.

Quellen

Sprechen Sie mit unseren IT-Experten. Gemeinsam finden wir die passende Lösung.