Kritische PHP-Sicherheitslücken im Oktober 2026 — was passiert ist und wie wir reagiert haben

Was ist PHP — und was ist passiert?

PHP ist eine Programmiersprache, die auf dem Webserver im Hintergrund arbeitet. Jedes Mal, wenn jemand Ihre Website aufruft, ein Kontaktformular abschickt oder sich einloggt, setzt PHP die Seite zusammen und liefert sie aus. Man kann sich PHP wie den Motor eines Autos vorstellen: Die Karosserie und die Ausstattung sind Ihre Website mit Design und Inhalten — fahren kann sie nur dank des Motors darunter.

Genau in diesem Motor wurden nun zwei schwere Fehler entdeckt. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden auf der internationalen Bewertungsskala jeweils mit 9,2 von 10 Punkten als „kritisch“ eingestuft. Vereinfacht gesagt geht es um Fehler in der Speicherverwaltung: Unter bestimmten Bedingungen räumt PHP nach einer Anfrage nicht sauber auf oder verwendet Datenreste aus einer früheren Anfrage weiter. Ein Angreifer kann das gezielt ausnutzen.

Das Besondere: Die Lücke steckt nicht in WordPress, TYPO3 oder einem Plugin, sondern eine Ebene tiefer. Deshalb hilft auch eine perfekt gepflegte Website mit aktuellen Plugins nichts, solange PHP selbst nicht aktualisiert ist. Laut Datadog Security Labs verarbeitet PHP die schädliche Anfrage, bevor die eigentliche Website überhaupt ins Spiel kommt — ein Login-Schutz der Website greift also nicht.

Die Lücke steckt nicht in WordPress oder TYPO3, sondern eine Ebene tiefer.

Warum diese Lücke so ernst ist

Fachleute sprechen von „Remote Code Execution“: Ein Angreifer kann aus der Ferne eigene Befehle auf dem Server ausführen — ohne Passwort und ohne Zugang zur Website. Im schlimmsten Fall kann er Schadsoftware einschleusen, Inhalte verändern, Daten abgreifen oder den Server für den Versand von Spam missbrauchen.

Hinzu kam ein ungünstiger zeitlicher Ablauf. Normalerweise werden solche Lücken still behoben und erst mit dem fertigen Update öffentlich gemacht. Diesmal sind Details bereits am 20. Oktober vorzeitig durchgesickert. Das PHP-Projekt kündigte daraufhin ein Notfall-Update für den 21. Oktober um 14:00 Uhr UTC an, also 16:00 Uhr deutscher Zeit. Der Sicherheitsdienstleister Patchstack meldete schon am Morgen dieses Tages erste aktive Angriffe, auch das europäische Computer-Notfallteam CERT-EU warnte.

Behoben sind die Lücken in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere Versionen wie PHP 8.1, 8.0 oder 7.4 erhalten keine offiziellen Updates mehr und bleiben angreifbar. Wichtig: Diese Updates spielen sich nicht von selbst ein — jemand muss sie auf jedem einzelnen Server installieren.

So haben wir reagiert

Wir haben die Lage seit dem Bekanntwerden der ersten Details eng verfolgt. Weil die von uns betreuten Websites auf den Plattformen mehrerer Hostingpartner liegen, verlief die Absicherung nicht überall gleich.

Raidboxes: Die dort gehosteten Websites waren durchgehend abgesichert. Einen Ausfall gab es nicht.

Domainfactory: Dort wurden bereits am 21. Oktober Maßnahmen ergriffen, um die Server abzusichern. Die Patches selbst waren am Vormittag des 22. Oktober gegen 11 Uhr eingespielt.

Mittwald: Hier wurden die betroffenen Server heruntergefahren und erst nach dem Einspielen der Patches wieder in Betrieb genommen. Für die dort gehosteten Websites bedeutete das einen Ausfall. Der Grund: Ein Teil der Projekte läuft in sogenannten Containern — abgeschottete, vorkonfigurierte Umgebungen, für die die angepassten PHP-Pakete erst im Laufe des Nachmittags bereitstanden. In der Zwischenzeit wären diese Websites ungeschützt im Netz gewesen. Eine geplante Unterbrechung war aus unserer Sicht das deutlich kleinere Risiko.

Wir wissen, dass eine nicht erreichbare Website für Sie ärgerlich ist. Bei einer Lücke dieser Tragweite, die bereits aktiv ausgenutzt wurde, halten wir diese Abwägung dennoch für richtig: Die Bereinigung einer kompromittierten Website kostet ein Vielfaches an Zeit, Geld und Vertrauen.

Angriffe haben wir nicht festgestellt. Auf den Websites, die wir oder unsere Hostingpartner hosten, gab es keine Anzeichen für Angriffe über diese Lücke.

Was Sie jetzt tun sollten

Wenn wir Ihre Website hosten, müssen Sie nichts weiter unternehmen — die Updates sind eingespielt. Liegt Ihre Website bei einem anderen Anbieter, empfehlen wir Ihnen drei Schritte:

1. Beim Hoster nachfragen: Lassen Sie sich schriftlich bestätigen, dass PHP auf Ihrem Server auf eine der abgesicherten Versionen aktualisiert wurde.
2. PHP-Version prüfen: Läuft Ihre Website noch auf PHP 8.1 oder älter, ist sie weiterhin gefährdet. Ein Umstieg auf eine aktuelle Version sollte jetzt Priorität haben — das setzt oft auch ein Update von CMS, Theme und Plugins voraus.
3. Auffälligkeiten ernst nehmen: Unbekannte Administrator-Konten, unerwartete Weiterleitungen, Warnungen von Google oder Hinweise des Hosters auf Spam-Versand können Anzeichen einer Kompromittierung sein. Sprechen Sie uns in diesem Fall sofort an.

Warum Hosting aus einer Hand den Unterschied macht

Die vergangenen zwei Tage haben gezeigt, wie wichtig kurze Wege im Ernstfall sind. Zwischen den ersten Warnungen und dem Erscheinen der Updates lagen nur wenige Stunden. In dieser Zeit mussten Informationen bewertet, Entscheidungen getroffen und Maßnahmen auf vielen Servern gleichzeitig koordiniert werden.

Das gelingt nur, wenn wir in engem Kontakt mit unseren Ansprechpartnern bei den Hostingpartnern stehen. Wir wissen, wie die Server aufgebaut sind, welche PHP-Versionen laufen und wann ein Patch für welche Umgebung bereitsteht. Und wir können gemeinsam abwägen, ob ein Update im laufenden Betrieb reicht oder ob ein Server vorsorglich vom Netz muss.

Liegt eine Website dagegen bei einem beliebigen Anbieter, sieht die Lage anders aus. Bei der großen Zahl an Webhostern auf dem Markt ist es für uns in einer solchen Situation so gut wie unmöglich, rechtzeitig an alle relevanten Informationen zu kommen und die Maßnahmen zu koordinieren. Wir können dann zwar Ihre Website pflegen — auf den Motor darunter haben wir aber keinen Einfluss.

Unsere Empfehlung ist deshalb klar: Beauftragen Sie uns nicht nur mit Ihrer Website, sondern auch mit dem Hosting bei unseren Hostingpartnern. So liegt die Verantwortung für Website und Server in einer Hand, und im Ernstfall handeln wir, bevor Sie davon erfahren müssen.

Fazit

„PHP2Shell“ gehört zu den schwersten Sicherheitslücken der letzten Jahre im Web, weil sie praktisch jede PHP-basierte Website betrifft. Die von uns gehosteten Projekte sind abgesichert, Angriffe über diese Lücke haben wir auf keinem davon festgestellt. Wenn Sie unsicher sind, ob Ihre Website betroffen ist, oder wenn Sie Ihr Hosting zu uns verlegen möchten, sprechen Sie uns an.

Quellen

Patchstack: Major security alert — PHP vulnerable to critical RCE
CERT-EU: Security Advisory 2026-018
Help Net Security: PHP2Shell — critical PHP vulnerabilities patched
Sophos Advisory: PHP2Shell Vulnerabilities
Datadog Security Labs: PHP2Shell — detection, analysis, and remediation
NCSC-NL: php2shell (GitHub)