Kritische PHP-Sicherheitslücke: was Unternehmen jetzt tun sollten

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 21. Oktober 2026 einen Sicherheitshinweis zu zwei Schwachstellen in PHP veröffentlicht. Kritikalität: 3 von 4, „Maßnahmen müssen unverzüglich ergriffen werden“. PHP ist eine Programmiersprache, die laut BSI zu den zentralen Bausteinen von Webanwendungen weltweit gehört. Stand dieses Beitrags: 21. Oktober 2026, 17 Uhr.

Was passiert ist

Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind jeweils mit 9,2 von 10 Punkten bewertet. Nach Einschätzung des BSI könnten Angreifer damit aus der Ferne Schadcode auf Webservern ausführen, ohne Anmeldung und ohne dass jemand etwas anklicken muss. In Berichten heißt die Lücke auch „PHP2Shell“.

Laut BSI sind alle bekannten PHP-Versionen betroffen, mindestens bis zurück zu PHP 5. Bestätigte Angriffe waren zum Zeitpunkt der Warnung nicht bekannt, wohl aber unbestätigte Berichte über fertige Angriffswerkzeuge. Das BSI hält eine breite Ausnutzung innerhalb weniger Stunden nach Erscheinen der Updates für wahrscheinlich.

Wen es betrifft

Jedes Unternehmen, dessen Website oder Webanwendung auf PHP läuft. Das BSI nennt als Beispiele WordPress, Drupal, TYPO3, Joomla, Magento, Nextcloud, pfSense und OPNsense. Dazu kommen viele Kundenportale, Buchungssysteme, Intranets und Kontaktformulare.

Ob das bei Ihnen zutrifft, wissen Sie vermutlich nicht aus dem Kopf. Das muss auch nicht sein. Wichtig ist, dass heute jemand gefragt wird, der es weiß.

Die Updates sind da

Das PHP-Team hat am 21. Oktober um 16 Uhr deutscher Zeit die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Es schreibt dazu, es gebe keine vollständige Abhilfe außer dem Update. Linux-Distributionen haben die Korrekturen vorab erhalten und liefern sie über ihre eigenen Pakete aus, dort kann die Versionsnummer anders lauten.

PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. PHP 8.2 wird nur noch bis zum 31. Dezember 2026 versorgt. Läuft Ihre Anwendung auf einer dieser Versionen, ist jetzt der Zeitpunkt für die Umstellung.

Was Sie heute tun sollten

• Zuständigkeit klären. Wer betreut Ihre Website, Ihren Shop, Ihr Kundenportal? Agentur, IT-Dienstleister, Hoster oder jemand im Haus? Bei Paketen beim Webhoster spielt oft der Hoster das Update ein, nicht die Agentur.
• Nachfragen, nicht abwarten. Eine kurze Mail oder ein Anruf heute genügt. Die Fragen stehen unten.
• Bestätigung schriftlich geben lassen, mit der installierten PHP-Version. Das BSI empfiehlt, den Stand mit dem Advisory abzugleichen.
• Wenn das Update nicht kurzfristig möglich ist: Das BSI nennt als Möglichkeit, den Webserver vorübergehend vom Internet zu trennen. Das ist eine Abwägung, die Ihr Dienstleister mit Ihnen treffen sollte.
• Auf Auffälligkeiten achten. Ungewöhnliche Inhalte auf der Website, neue Benutzerkonten, Warnungen des Hosters: in den nächsten Tagen ernst nehmen und melden.

Diese Fragen an Ihren Dienstleister

• Laufen unsere Website und unsere Webanwendungen auf PHP?
• Welche PHP-Version ist installiert, und ist das Update vom 21. Oktober eingespielt?
• Wenn nein: bis wann, und was tun Sie bis dahin?
• Läuft bei uns noch PHP 8.2 oder älter, und was ist der Plan bis Jahresende?
• Gibt es Anwendungen in Containern oder Geräte wie Firewalls, die PHP enthalten?

Quellen

BSI-IT-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“, Nr. 2026-297981-1032, Version 1.0 vom 21. Oktober 2026, bsi.bund.de. Ankündigung und Advisory des PHP-Teams: php.net/archive/2026.php.

Und dann?

Bei solchen Warnungen geht die meiste Zeit mit der Frage verloren, wer für welches System zuständig ist. Wenn das bei Ihnen gerade niemand sicher sagen kann, kläre ich es mit Ihnen und frage bei den Dienstleistern nach. Das Erstgespräch ist kostenlos, telefonisch unter 0421 989 696 7-0. Wie ich Dienstleister dauerhaft für Sie steuere, steht auf der Seite Monatspaket.