PHP2Shell: Was Sie über die bekannt gewordenen PHP-Schwachstellen wissen sollten

Das BSI rät zur sofortigen Installation der veröffentlichten Updates

Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Cybersicherheitswarnung zu zwei kritischen Schwachstellen in PHP veröffentlicht. Die Bewertung nach CVSS 4.0 mit 9.2 von 10 legt nahe, dass Angreifer über CVE-2026-109618 und CVE-2026-109619 aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen könnten, und zwar ohne Anmeldung und ohne Zutun der Nutzer. 

Das BSI stuft die Lage in die Kritikalität 3 / Orange ein und geht davon aus, dass alle bekannten PHP-Versionen seit PHP 5 betroffen sind. Die Empfehlung ist eindeutig: Die seit dem 21.10.2026 16:00 Uhr deutscher Zeit angekündigten Patches sollten unverzüglich installiert werden. Zudem rät das BSI, aus dem Internet erreichbare PHP-Webserver verstärkt auf Auffälligkeiten zu überwachen. 

Das BSI hat seine Warnung inzwischen aktualisiert: Die Entwickler haben Patches für verschiedene PHP-Versionen bereitgestellt und weitere Details zu den Schwachstellen veröffentlicht. Den aktuellen Stand finden Sie in der Ankündigung des PHP-Projekts und in der Cybersicherheitswarnung des BSI

PHP steckt nicht nur in Ihren Websites

WordPress, Drupal und Magento sind in PHP geschrieben, ebenso viele Kundenportale und Buchungssysteme. Auch Verwaltungsoberflächen für Hosting-Umgebungen, Netzwerk-Appliances und Weboberflächen von Herstellerprodukten bringen häufig eine eigene PHP-Installation mit. Das gilt auch dann, wenn die Produktdokumentation nicht darauf hinweist.

Deshalb genügt es nicht, nur die eigenen Server zu aktualisieren. Achten Sie auch auf Updates Ihrer Softwarelieferanten und Dienstleister. Ist PHP in eine Appliance integriert, müssen Sie auf das Update des Herstellers warten.

Was Sie vor dem Release tun sollten

Das BSI warnt davor, dass Angreifer die Schwachstellen innerhalb weniger Stunden nach Veröffentlichung der Updates großflächig ausnutzen könnten, auch mit Hilfe KI-gestützter Werkzeuge. Es empfiehlt Organisationen deshalb, personelle Ressourcen für das Patchen bereitzuhalten, die Updates umgehend zu installieren, den Patchstatus zu überprüfen und exponierte PHP-Webserver verstärkt zu überwachen. So setzen wir das in der Praxis um:

• Erfassen Sie alle Systeme mit PHP. Beginnen Sie mit allem, was aus dem Internet erreichbar ist: öffentliche Websites, Microsites, Kampagnen-Landingpages, Kundenportale, APIs und Fernzugriffs-Gateways. Prüfen Sie anschließend die internen Systeme. Berücksichtigen Sie auch Staging- und Entwicklungsserver, ältere Agentur-Websites ohne interne Zuständigkeit sowie Container, deren Basis-Images eine PHP-Laufzeitumgebung enthalten.

• Dokumentieren Sie Version und Zuständigkeit. Halten Sie für jedes System fest, welche PHP-Version läuft, wie sie installiert wurde und wer für Updates verantwortlich ist. Die Installation kann beispielsweise über ein Betriebssystempaket, ein Container-Image, eine Verwaltungsoberfläche oder eine Hersteller-Appliance erfolgt sein. Am Tag der Veröffentlichung wissen Sie dadurch, ob Ihr eigenes Team handeln kann oder ob Sie auf ein Update Ihrer Linux-Distribution oder eines Anbieters warten müssen.

• Suchen Sie nach Versionen, deren Support ausgelaufen ist. Das PHP-Projekt stellt Sicherheitsupdates nur für unterstützte Versionszweige bereit. Wenn Sie eine ältere Version wie PHP 7.4 oder 8.0 einsetzen, erhalten Sie möglicherweise keinen Patch direkt vom PHP-Projekt. Einige Linux-Distributionen übertragen Sicherheitskorrekturen auf ältere PHP-Versionen in ihren Paketen. Klären Sie dies mit Ihrem Anbieter, planen Sie aber in jedem Fall ein Upgrade.

• Entscheiden Sie jetzt, welche Systeme Sie vom Netz nehmen können. Lässt sich ein System nicht rechtzeitig aktualisieren, kann es sinnvoll sein, es vorübergehend abzuschalten. Legen Sie vorab fest, welche Systeme Sie abschalten können, wer das freigibt und wie Sie Ihre Kunden informieren. Dann muss niemand diese Entscheidung unter Zeitdruck treffen.

• Überwachen Sie Ihre aus dem Internet erreichbaren Systeme. Stellen Sie sicher, dass die Protokolldaten Ihrer PHP-Webserver bei den Verantwortlichen für die Überwachung Ihrer Umgebung ankommen und diese über die aktuelle Warnmeldung informiert sind.

Was Sie nach der Veröffentlichung des Updates tun sollten

• Lesen Sie die Sicherheitsmeldung und prüfen Sie, welche Ihrer Systeme betroffen sind.

• Aktualisieren Sie zuerst die aus dem Internet erreichbaren Systeme und anschließend die internen. Testen Sie die Updates, soweit möglich. Wägen Sie dabei das Risiko einer kurzen Verzögerung gegen das Risiko ab, weiterhin angreifbar zu bleiben.

• Starten Sie die PHP-Dienste nach dem Update neu. Wenn Sie nur das Paket aktualisieren, kann unter PHP-FPM oder dem Webserver weiterhin die alte Version im Arbeitsspeicher laufen.

• Fragen Sie regelmäßig bei Ihren Herstellern und Hosting-Anbietern nach. Wann integrierte PHP-Installationen aktualisiert werden, richtet sich nach deren Zeitplan, nicht nach Ihrem.

• Führen Sie anschließend erneut einen Scan durch. So prüfen Sie, ob tatsächlich die aktualisierte Version läuft und keine Installation übersehen wurde.

Wie Claranet Sie unterstützen kann

Die Empfehlungen des BSI laufen im Kern auf zwei Fragen hinaus: Wissen Sie, wo PHP bei Ihnen läuft? Und würden Sie bemerken, wenn jemand eine dieser Schwachstellen gegen Sie einsetzt? Bei beiden Aufgaben unterstützen wir Unternehmen täglich.

• Systeme erfassen
  Unser Service External Attack Surface Monitoring erfasst die Systeme, die bei Ihnen aus dem Internet erreichbar sind. Dazu gehören auch Systeme, die nicht mehr in Ihrem IT-Inventar verzeichnet sind. CREST-akkreditierte Analysten überprüfen die Ergebnisse und berichten monatlich darüber.Damit ist der Service ein praktischer Ausgangspunkt, um alle PHP-Systeme vollständig zu erfassen..
• Systeme testen und nach dem Update erneut prüfen
  Continuous Security Testing verbindet Schwachstellenscans rund um die Uhr mit manuellen Penetrationstests durch unser Security-Team. Sobald Details zu den Schwachstellen veröffentlicht sind und entsprechende Prüfverfahren vorliegen, können Sie damit feststellen, welche Systeme betroffen sind und ob Ihre Patches wirksam waren.
  Lesen Sie auch, wie REaD Group mit Continuous Security Testing Kundendaten schützt.
• Angriffe erkennen
  Das BSI rät, exponierte PHP-Webserver verstärkt auf Auffälligkeiten zu beobachten. Unser Service Managed Detection and Response bietet Ihnen ein CREST-akkreditiertes Security Operations Center (SOC), also ein Sicherheitsbetriebszentrum. Es ist an jedem Tag des Jahres rund um die Uhr besetzt und arbeitet mit Microsoft Sentinel oder SentinelOne. Unsere Analysten untersuchen verdächtige Aktivitäten und unterstützen Sie bei der Reaktion. Besonders wichtig ist das in der Zeit zwischen der Veröffentlichung eines Patches und der Aktualisierung aller Systeme.
• Während der Updates die Angriffsfläche begrenzen
  Eine Web Application Firewall (WAF), die den Datenverkehr zu Webanwendungen filtert, ersetzt kein Update. Sie kann Angriffe aber erschweren, während Sie Ihre Systeme schrittweise aktualisieren. Unser Service DDoS Protection and Web Acceleration schaltet eine Schutzebene vor Ihre Webanwendungen. Für Softwareanbieter bieten wir außerdem Managed WAF sowie DDoS- und API-Schutz mit Überwachung und Anpassung der Schutzmaßnahmen rund um die Uhr. DDoS bezeichnet dabei Angriffe, die Dienste durch eine große Zahl verteilter Anfragen überlasten sollen.
• Die Plattform aktuell halten
  Wenn Ihre Websites und Anwendungen auf einer Infrastruktur laufen, die Claranet im Rahmen von Managed Public Cloud oder Managed Private Cloud betreibt, wenden Sie sich an Ihr Service-Team. Klären Sie gemeinsam, welche Maßnahmen für das PHP-Update in Ihrer Umgebung erforderlich sind.

Was über diese Warnmeldung hinaus wichtig bleibt

Kritische Schwachstellen in weitverbreiteten Plattformen wird es auch künftig geben. Am besten kommen Unternehmen damit zurecht, die bereits wissen, welche Systeme sie betreiben, wer dafür verantwortlich ist und wie schnell sie Änderungen umsetzen können. Wenn diese Warnmeldung Lücken in einem dieser Bereiche aufgezeigt hat, ist jetzt der Zeitpunkt, sie zu schließen.

Möchten Sie klären, wo PHP in Ihrer IT-Landschaft zum Einsatz kommt oder wie schnell Sie auf die nächste Warnmeldung reagieren könnten? Kontaktieren Sie unser Team oder informieren Sie sich über unsere Cybersecurity-Services.

Quellen

BSI, „Kritische Schwachstellen bedrohen Webanwendungen weltweit“, 21. Oktober 2026.

The PHP Group, Ankündigung des bevorstehenden Sicherheitsupdates, 20. Oktober 2026.