php2shell: Was Unternehmen jetzt prüfen müssen

Am 21. Oktober 2026 hat das PHP-Projekt eine Aktualisierung veröffentlicht, die zwei Sicherheitslücken schließt: CVE-2026-109618 und CVE-2026-109619, beide mit dem CVSS-Wert 9,2 als kritisch eingestuft. Angreifer können darüber aus der Ferne Code auf betroffenen Systemen ausführen – eine Anmeldung ist dafür nicht nötig. Betroffen sind sämtliche PHP-Versionen der letzten 20 Jahre. Und die Angriffe laufen bereits: Laut Reuters spricht Cloudflare von Millionen Angriffsversuchen.

Für Geschäftsführer und IT-Verantwortliche in kleinen und mittleren Unternehmen lautet die Frage daher nicht, ob sie betroffen sind, sondern an wie vielen Stellen. Denn PHP steckt häufig an mehr Orten, als man auf dem Schirm hat.

Warum diese Lücke fast jedes Unternehmen erreicht

heise Security weist darauf hin, dass die Updates auf Servern, NAS-Systemen und anderen vernetzten Geräten eingespielt werden müssen, die eine webbasierte Oberfläche auf Basis von PHP verwenden. Das ist bewusst weit gefasst – und genau darin liegt die Botschaft.

Die Firmenwebseite beim Hoster, der Onlineshop, das NAS-Gerät im Serverraum, die interne Anwendung mit Weboberfläche: Überall dort kann PHP im Spiel sein. Hinzu kommen die Systeme, die leicht vergessen werden. Auch Bastler sollten dem Bericht zufolge prüfen, ob ihre Mini-Server oder Raspi-Geräte nicht doch irgendwo PHP benutzen. Was für Bastler gilt, gilt erst recht im Unternehmen: Irgendwo im Netz steht oft noch ein Gerät, das vor Jahren für einen einzelnen Zweck aufgesetzt wurde und seitdem unbeachtet vor sich hin läuft.

Ob Ihre eigene Webseite oder Ihr Shop tatsächlich auf PHP setzt, lässt sich der Meldung nicht entnehmen. Das ist eine der ersten Fragen, die Sie an Ihren Hoster oder IT-Dienstleister richten sollten.

Was die Lücken so gefährlich macht

Drei Punkte helfen bei der Einordnung der Dringlichkeit.

Erstens ist die Hürde für einen Angriff niedrig. Die Entdecker von Calif zeigten in Exploits, dass bereits mit zehntausenden HTTP-Anfragen in 38 Sekunden Code auf dem angegriffenen Server ausführbar war. Ein Login war nicht erforderlich. Es braucht also keinen gezielten, aufwendigen Angriff auf Ihr Unternehmen – die niedrige Hürde und die Millionen beobachteter Angriffsversuche sprechen dafür, dass wahllos und in großer Breite attackiert wird.

Zweitens ist das kein theoretisches Szenario für die Zukunft. Die Exploit-Versuche laufen bereits. Wer jetzt wartet, setzt darauf, dass die eigene Infrastruktur in dieser Masse zufällig übersehen wird – eine Wette, die man nicht eingehen sollte.

Drittens spricht die Reaktion vieler Dienste für sich: Zahlreiche Anbieter haben ihre Webseiten vorübergehend vom Netz genommen und auf die Patches gewartet. Wenn Betreiber lieber offline gehen, als das Risiko zu tragen, sagt das einiges über die Schwere der Lage aus.

Warum nur das Update hilft

Der wichtigste Satz der Meldung steht fast beiläufig im Text: „Eine andere Möglichkeit, um umfänglich sicher vor den Angriffen zu sein, gibt es nicht.“ Das Einspielen der Updates ist das einzig wirksame Mittel.

Für Sie heißt das: Es gibt keinen Workaround, auf den Sie ausweichen könnten, und kein vertretbares „Wir kümmern uns nächsten Monat darum“. Die einzige Alternative, die im Bericht auftaucht, ist das Vom-Netz-Nehmen der eigenen Seite – für eine Firmenwebseite oder einen Onlineshop allenfalls eine Notfallmaßnahme für Stunden, nicht für Wochen.

Die gute Nachricht: Die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 stehen für Windows, macOS und Linux direkt bei php.net bereit. Aktualisierte Pakete liefern mittlerweile alle großen Distributionen aus, darunter Debian, Ubuntu, Fedora, Red Hat, SUSE, Gentoo und Slackware. Die Voraussetzungen zum Handeln sind also gegeben.

Was Sie jetzt konkret tun sollten

1. Beim Hoster oder IT-Dienstleister nachfragen. Wenn Ihre Webseite oder Ihr Shop als gemanagter Dienst läuft, sollte der Anbieter die Updates im Griff haben. Aber wie der Bericht treffend formuliert: Es schadet nicht, nachzufragen, um auf Nummer sicher zu gehen. Stellen Sie die Frage konkret: Läuft unsere Seite auf PHP? Wenn ja, auf welcher Version? Wurde das Update eingespielt? Und wurden die PHP-Dienste anschließend neu gestartet?

Der letzte Punkt verdient einen eigenen Satz: Nach dem Einspielen der Updates müssen sämtliche PHP-Dienste neu gestartet werden. Das ist kein optionaler Schritt, sondern ausdrücklich Teil der Absicherung.

2. Eigene Server prüfen und aktualisieren. Auf eigenen apt-basierten Linux-Servern oder Raspi-Geräten sollten Admins schleunigst die Kommandozeile aufrufen und die Befehle zum Update anstoßen:

php -v              # Version prüfen
sudo apt update
sudo apt upgrade

Anschließend müssen alle PHP-Dienste neu gestartet werden.

3. Docker-Container einbeziehen. Anwendungen in Docker-Containern mit veralteten PHP-Versionen brauchen aktualisierte Images, etwa per docker compose pull && docker compose up -d. Prüfen Sie, wo bei Ihnen Container laufen – sie benötigen einen eigenen Update-Schritt.

4. NAS-Geräte nicht vergessen. Wer ein NAS-Gerät von Anbietern wie QNAP oder Synology betreibt, kann über die Softwareverwaltung nach Updates suchen. Gerade NAS-Systeme laufen in kleineren Unternehmen oft abseits des regulären Update-Prozesses – nehmen Sie sie jetzt ausdrücklich auf die Liste.

5. Nach den vergessenen Geräten suchen. Mini-Server, Raspi-Geräte, ältere interne Anwendungen mit Weboberfläche: Gehen Sie systematisch die Frage durch, wo in Ihrem Netz noch etwas läuft, das seit Langem niemand angefasst hat.

Was die Meldung offenlässt

Zur Ehrlichkeit gehört auch, was der Bericht nicht beantwortet.

Woran erkenne ich, ob ein System bereits kompromittiert wurde? Dazu sagt die Meldung nichts. Angesichts der bereits laufenden Angriffe ist das keine theoretische Frage. Wenn Systeme zwischen dem Bekanntwerden der Lücken und dem Update aus dem Internet erreichbar waren, sollten Sie das Thema mit Ihrem IT-Dienstleister besprechen.

Was tun, wenn ein System nicht sofort aktualisiert werden kann? Außer dem Update nennt der Bericht nur die vorübergehende Abschaltung, die viele Dienste gewählt haben. Ob es für Ihren Fall praktikable Übergangslösungen gibt, lässt sich nur individuell klären.

Sind wirklich alle eigenen Systeme erfasst? Die Meldung nennt Beispiele – Server, NAS, vernetzte Geräte mit PHP-Weboberfläche –, aber keine vollständige Liste. Ein Inventar Ihrer Systeme kann Ihnen niemand abnehmen. Die aktuelle Lage ist ein guter Anlass, eines anzulegen oder zu aktualisieren.

Fazit: Nachfragen ist jetzt keine Kür, sondern Pflicht

Die Lage ist ungewöhnlich klar: kritische Lücken mit niedriger Angriffshürde, laufende Angriffe in Millionenhöhe und ein einziges wirksames Gegenmittel – das Update. Für Unternehmen ohne eigene Server-Administration ist die wichtigste Maßnahme ein Anruf oder eine E-Mail an Hoster oder IT-Dienstleister, mit den konkreten Fragen nach PHP-Version, Update-Stand und Neustart der Dienste. Für alle anderen gilt der Rat aus der Meldung wörtlich: Es gilt, keine Zeit zu vergeuden.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.