Infromation · IT-Sicherheit
Aktualisiert: Oktober 2026 · ca. 10 Min. Lesezeit
Sicherheitslücke in PHP: Was Unternehmen jetzt wissen müssen
In der vergangenen Woche haben Behörden, Hochschulen und Unternehmen ihre Webseiten vorsorglich vom Netz genommen. Der Grund war eine kritische Sicherheitslücke in PHP, der Sprache hinter einem Großteil aller Webseiten. Dieser Beitrag erklärt deshalb verständlich, was passiert ist, was es für Ihr Unternehmen bedeutet und wie Sie für die nächste Lücke vorbereitet sind.
Inhalt dieses Beitrags
- Was ist passiert? Die Sicherheitslücke in PHP im Überblick
- Was ist eigentlich eine Sicherheitslücke?
- Kein Kavaliersdelikt: Was ein Datenabfluss bedeutet
- Warum KI das Tempo verändert
- Die 5 häufigsten Gründe, warum Systeme ungepatcht bleiben
- Sicherheitslücke in PHP: Was Sie jetzt konkret tun sollten
- Diese Fragen sollten Sie Ihrem IT-Dienstleister stellen
- Self-Check: Wie gut ist Ihr Unternehmen vorbereitet? (interaktiv)
Es beginnt oft mit einer Meldung, die erst einmal weit weg klingt. „Kritische Sicherheitslücke in PHP“: das betrifft doch Programmierer, nicht uns. Bis die eigene Webseite plötzlich eine Wartungsseite zeigt oder der Hoster eine dringende Mail schickt.
Genau das ist im Oktober 2026 vielen Unternehmen passiert. Und die meisten standen vor derselben Frage: Betrifft uns das und was müssen wir jetzt tun?
Dieser Beitrag gibt keine Panik und keine Fachsprache. Stattdessen gibt er Orientierung. Für alle, die verstehen wollen, was hinter der Sicherheitslücke in PHP steckt, und die intern eine fundierte Entscheidung treffen möchten.
Was ist passiert? Die Sicherheitslücke in PHP im Überblick
PHP ist eine Programmiersprache, die auf Servern im Hintergrund läuft. Darauf bauen viele Webseiten, Onlineshops und Webanwendungen auf, zum Beispiel alles, was mit WordPress oder WooCommerce betrieben wird. Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Lücken veröffentlicht. Seitdem kennt man sie unter dem Namen „PHP2Shell“.
Der Name ist dabei eine Anspielung auf Log4Shell, eine der schwersten Sicherheitslücken der vergangenen Jahre. Das Besondere: Diese Sicherheitslücke steckt im Kern von PHP selbst, nicht in einer bestimmten Anwendung. Zudem reicht laut den Entdeckern schon eine einfache Testseite auf einer verwundbaren PHP-Version.
| Merkmal | PHP2Shell |
|---|---|
| Kennungen | CVE-2026-109618 und CVE-2026-109619 |
| Art des Angriffs | Schadcode aus der Ferne ausführen, ohne Anmeldung (Remote Code Execution) |
| Schweregrad | 9,2 von 10 (CVSS v4.0), Einstufung „kritisch“ |
| Einschätzung BSI | Warnstufe 3 / Orange – außerordentlich hohes Risiko |
| Sicherheitsupdate | 21. Oktober 2026, 16:00 Uhr MESZ |
| Behoben in | PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 |
| Ältere Versionen | 8.1 und älter: kein offizielles Update mehr, nur Upgrade oder Backports |
| Entdeckt von | Wiz Research, OpenAI Codex Security und Calif – mithilfe von KI |
| Status | Erste Angriffe in freier Wildbahn gemeldet; seit 26. Oktober im Katalog aktiv ausgenutzter Lücken der US-Behörde CISA |
Quellen: NCSC-NL, der-windows-papst.de, SOCRadar, locaterisk.com, top agrar
Wichtige Einordnung
Ein Update allein reicht jedoch nicht. Nach dem Einspielen muss Ihr Dienstleister außerdem alle laufenden PHP-Prozesse neu starten. Konfigurationsänderungen können das Risiko senken, schließen die Lücke aber nicht.
Was ist eigentlich eine Sicherheitslücke?
Eine Sicherheitslücke ist ein Fehler in einer Software, über den Unbefugte etwas tun können, das eigentlich nicht vorgesehen ist. Man kann sie sich zum Beispiel wie ein Fenster vorstellen, das sich von außen öffnen lässt, obwohl es abgeschlossen sein sollte. Solange niemand davon weiß, passiert oft nichts. Sobald es jedoch bekannt ist, wird es zum Risiko.
Außerdem tauchen in den Meldungen immer wieder dieselben Begriffe auf. Deshalb erklären wir sie hier kurz:
| Begriff | Was er bedeutet |
|---|---|
| Schwachstelle | Ein Fehler in der Software, der sich für einen Angriff ausnutzen lässt. |
| CVE-Nummer | Eine weltweit eindeutige Kennung für eine bekannte Schwachstelle, etwa CVE-2026-109618. |
| CVSS-Wert | Eine Skala von 0 bis 10, die den Schweregrad beschreibt. Ab 9,0 gilt eine Lücke als kritisch. |
| Exploit | Ein Programm oder eine Anleitung, mit der sich eine Schwachstelle tatsächlich ausnutzen lässt. |
| Remote Code Execution | Angreifer können aus der Ferne eigene Befehle auf dem Server ausführen – die schwerste Kategorie. |
| Patch | Ein Update des Herstellers, das die Schwachstelle schließt. |
| End of Life | Eine Softwareversion, für die der Hersteller keine Updates mehr liefert. |
Die Frage, die immer gestellt werden sollte
„Betrifft uns das?“ ist bei jeder Sicherheitsmeldung berechtigt. Denn wer sie nicht innerhalb weniger Stunden beantworten kann, hat kein Technik-, sondern ein Organisationsproblem.
Kein Kavaliersdelikt: Was ein Datenabfluss bedeutet
Nutzen Angreifer eine Sicherheitslücke in PHP wie PHP2Shell aus, können sie die Kontrolle über einen Server übernehmen. Damit liegen alle Daten offen, die ein Unternehmen dort speichert oder verarbeitet. Bei einem Onlineshop sind das zum Beispiel Namen, Adressen, Bestellungen und Zahlungsinformationen. In der Pflege oder im Gesundheitswesen können es Patientendaten sein.
Ein solcher Vorfall ist jedoch mehr als ein technisches Problem. Denn er hat rechtliche, finanzielle und menschliche Folgen:
- Meldepflicht: Unternehmen müssen eine Verletzung des Schutzes personenbezogener Daten in der Regel innerhalb von 72 Stunden der Datenschutzaufsicht melden (Art. 33 DSGVO). Bei hohem Risiko müssen sie außerdem die Betroffenen informieren (Art. 34 DSGVO).
- Besonders geschützte Daten: Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Deshalb gelten hier strengere Maßstäbe.
- Schadensersatz: Betroffene können materiellen und immateriellen Schadensersatz fordern (Art. 82 DSGVO).
- Bußgelder: Bei Verstößen gegen die Pflicht zur Datensicherheit drohen zudem Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 DSGVO).
- Haftung der Geschäftsführung: Geschäftsführer und Vorstände sind zur Sorgfalt verpflichtet. Wer bekannte Risiken nicht angeht, haftet im Ernstfall unter Umständen persönlich.
- Vertrauen: Der Schaden, der sich am schwersten beziffern lässt. Denn Kunden, die ihre Daten in falschen Händen wissen, kommen selten zurück.
Wichtige Einordnung
Dieser Abschnitt gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für Ihre konkrete Situation sprechen Sie deshalb bitte mit Ihrem Datenschutzbeauftragten.
Warum KI das Tempo verändert
Die Fehler hinter PHP2Shell steckten über ein Jahrzehnt unentdeckt im Kern von PHP. Jetzt haben Sicherheitsforscher die Sicherheitslücke in PHP gefunden, indem sie gezielt mit KI nach Schwachstellen gesucht haben. Das ist eine gute Nachricht für die Verteidigung und eine Warnung zugleich.
Denn was Forschern hilft, steht auch Angreifern zur Verfügung. Laut Bitkom finden und nutzen Angreifer Schwachstellen dank moderner KI-Modelle inzwischen massiv schneller. Früher bedeutete eine bekannte Lücke nämlich noch nicht, dass jemand sie ausnutzen konnte. Denn man musste erst verstehen, was technisch dahintersteckt.
Heute hingegen liegt die Anleitung oft gleich mit auf dem Tisch. Das BSI weist darauf hin, dass Angreifer veröffentlichte Updates gezielt analysieren, um nicht aktualisierte Systeme anzugreifen. So lagen bei PHP2Shell zwischen Update und ersten gemeldeten Angriffen nur wenige Tage:
Details zur Lücke gelangen vor der geplanten Veröffentlichung ins Netz.
Das PHP-Projekt veröffentlicht die Updates, die Entdecker ihre Forschung.
Öffentliche Prüf- und Angriffswerkzeuge tauchen im Netz auf; erste Angriffe werden gemeldet.
Die US-Behörde CISA nimmt PHP2Shell in ihren Katalog aktiv ausgenutzter Lücken auf.
Quellen: SOCRadar, locaterisk.com, Stuttgarter Zeitung, web.de (Bitkom)
Die Patch-Regel
Sobald ein Sicherheitsupdate erscheint, beginnt ein Wettlauf. Denn jede Stunde, die ein System danach ungepatcht bleibt, ist eine Stunde, in der Angreifer die Lücke bereits kennen. Bei kritischen Lücken sollten Sie das Zeitfenster deshalb in Stunden messen, nicht in Wochen.
Die 5 häufigsten Gründe, warum Systeme ungepatcht bleiben
Das Update für PHP2Shell war schnell verfügbar. Trotzdem werden noch Wochen später verwundbare Systeme im Netz stehen. Das liegt jedoch selten an fehlendem Wissen, sondern fast immer an denselben fünf Ursachen.
1. Niemand fühlt sich zuständig
Zum Beispiel hat eine Agentur die Webseite gebaut, der Server läuft beim Hoster, der Shop wird intern gepflegt. Wenn eine Lücke bekannt wird, wartet jeder auf den anderen. Deshalb ist klare Verantwortung die wichtigste Sicherheitsmaßnahme überhaupt – und kostet nichts.
2. Alte Versionen ohne Updates
Viele Webseiten laufen auf PHP-Versionen, für die es längst keine Updates mehr gibt. So erscheint für PHP 8.1 und älter auch für PHP2Shell kein offizielles Update. Viele Unternehmen schieben den Umstieg jedoch auf, weil unklar ist, ob die Anwendung danach noch läuft.
3. Update eingespielt, aber nicht wirksam
Ein neues Paket auf dem Server bedeutet allerdings nicht, dass der Server es auch nutzt. Laufende PHP-Prozesse arbeiten weiter mit der alten Version, bis jemand sie neu startet. Ohne Kontrolle bleibt das daher unbemerkt.
4. Vergessene Webseiten
Die Landingpage der Messe von 2021, die alte Microsite, die Testumgebung des Dienstleisters: Systeme, die niemand mehr auf dem Schirm hat, werden auch nicht aktualisiert. Für Angreifer sind sie daher ein bequemer Einstieg.
5. Kein Überblick über die eigenen Systeme
Wer nicht weiß, welche Software in welcher Version wo läuft, kann die Frage „Betrifft uns das?“ nicht beantworten. Ein aktuelles Verzeichnis aller Systeme ist deshalb die Grundlage jeder schnellen Reaktion.
Sicherheitslücke in PHP: Was Sie jetzt konkret tun sollten
Für PHP2Shell gilt zunächst: Jedes System mit PHP vor 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 sollte jetzt aktualisiert sein. Wichtiger als dieser eine Fall ist aber, dass Sie für die nächste Lücke besser aufgestellt sind.
Sofort: Für PHP2Shell
- Alle Webseiten, Shops und Webanwendungen auflisten, die auf PHP laufen – auch ältere und vergessene.
- Für jedes System die PHP-Version prüfen lassen und das Update einspielen.
- Nach dem Update alle PHP-Prozesse neu starten und die aktive Version kontrollieren.
- Systeme mit PHP 8.1 oder älter umstellen oder vorübergehend vom Netz nehmen.
- Logdaten und Server auf Auffälligkeiten seit dem 20. Oktober prüfen lassen.
- Bei Unsicherheit beim Hoster oder Webdienstleister schriftlich nachfragen.
Mittelfristig: Für die nächste Lücke
- Verantwortung festlegen: Für jedes System ist klar, wer Updates einspielt und wer entscheidet.
- Systemverzeichnis führen: Alle Systeme mit Version, Betreiber und Ansprechpartner.
- Support-Modell klären: Second- und Third-Level-Support mit festen Reaktionszeiten.
- Monitoring einrichten: Systeme laufend überwachen, Auffälligkeiten früh erkennen.
- Notfallplan schreiben: Wer informiert wen, wer meldet an die Aufsichtsbehörde?
- Alte Versionen ablösen: Für PHP 8.2 endet der Support am 31.12.2026.
So handhaben wir das bei QUIS
Für Unternehmen mit einem Supportvertrag bei uns gehört ein laufendes Monitoring der Systeme dazu. So erkennen wir Auffälligkeiten frühzeitig und können reagieren, bevor aus einer Schwachstelle ein Schaden wird.
Diese Fragen sollten Sie Ihrem IT-Dienstleister stellen
Sie müssen keine Technikerin und kein Techniker sein, um IT-Sicherheit zu steuern. Stattdessen müssen Sie nur die richtigen Fragen stellen. Diese sieben eignen sich zum Beispiel für das nächste Gespräch mit Ihrem Hoster, Ihrer Agentur oder Ihrem IT-Partner:
- Welche unserer Systeme laufen auf PHP, und in welcher Version?
- Sind alle Systeme gegen PHP2Shell abgesichert und wurden die Prozesse nach dem Update neu gestartet?
- Wie schnell spielen Sie kritische Sicherheitsupdates ein, und ist das vertraglich geregelt?
- Wie erfahren wir, wenn eine Lücke uns betrifft und wann sind wir selbst gefordert?
- Werden unsere Systeme laufend überwacht, und wer reagiert bei Auffälligkeiten?
- Welche Systeme laufen auf Versionen ohne Herstellerupdates, und wie ist der Plan dafür?
- Gibt es einen Notfallplan für einen Datenabfluss, und wer ist darin wofür zuständig?
Was einen guten IT-Partner auszeichnet
Er beantwortet diese Fragen ohne Ausflüchte. Außerdem meldet er sich bei einer kritischen Lücke, bevor Sie anrufen. Und er sagt Ihnen klar, was er übernimmt und wo Sie selbst handeln müssen.
Self-Check: Wie gut ist Ihr Unternehmen auf die nächste Lücke vorbereitet?
Beantworten Sie zunächst 12 kurze Aussagen und erhalten Sie eine erste ehrliche Einschätzung, wie schnell Ihr Unternehmen auf eine kritische Sicherheitslücke reagieren kann.
Sicherheits-Self-Check
Klicken Sie alle Aussagen an, die auf Ihr Unternehmen zutreffen. Am Ende erhalten Sie eine Auswertung mit Empfehlung.
Häufige Fragen zur Sicherheitslücke in PHP
PHP2Shell ist der Name für zwei kritische Sicherheitslücken im Kern der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619). Sie ermöglichen es Angreifern, ohne Anmeldung aus der Ferne Schadcode auf betroffenen Servern auszuführen. Das PHP-Projekt hat am 21. Oktober 2026 Updates für diese Sicherheitslücke in PHP veröffentlicht.
Betroffen sind alle Server, die Webanfragen mit PHP vor den Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 verarbeiten. Das betrifft viele Webseiten und Onlineshops, etwa auf Basis von WordPress oder WooCommerce. Ob Sie betroffen sind, kann Ihr Hoster oder Webdienstleister schnell prüfen.
Nein. Microsoft Dynamics 365 Business Central basiert nicht auf PHP und ist von diesen Lücken nicht betroffen. Angebundene Webseiten oder Onlineshops sollten Sie trotzdem prüfen lassen.
Nicht ganz. Nach dem Update müssen Sie außerdem alle laufenden PHP-Prozesse neu starten, sonst arbeitet der Server weiter mit der verwundbaren Version. Für PHP 8.1 und älter gibt es kein offizielles Update, hier hilft nur der Umstieg auf eine unterstützte Version.
Sprechen Sie sofort mit Ihrem IT-Dienstleister und Ihrem Datenschutzbeauftragten. Eine Verletzung des Schutzes personenbezogener Daten müssen Sie in der Regel innerhalb von 72 Stunden der Datenschutzaufsicht melden.
KI hilft nicht nur Forschern, Schwachstellen zu finden, sondern auch Angreifern, sie auszunutzen. Zudem analysieren Angreifer veröffentlichte Updates gezielt. Bei PHP2Shell lagen zwischen Update und ersten gemeldeten Angriffen nur wenige Tage.
Fazit: Die nächste Lücke kommt bestimmt, entscheidend ist die Reaktion
PHP2Shell ist nicht die erste kritische Sicherheitslücke in PHP und wird nicht die letzte sein. Mit KI finden Angreifer Schwachstellen schneller und nutzen sie auch schneller aus. Die Frage ist deshalb nicht, ob die nächste Meldung kommt, sondern wie schnell Ihr Unternehmen darauf reagieren kann.
Dafür braucht es allerdings keine große IT-Abteilung. Stattdessen braucht es klare Zuständigkeiten, einen Überblick über die eigenen Systeme und einen Partner, der im Ernstfall nicht erst angerufen werden muss.
Der erste Schritt ist also keine große Investition, sondern ein Gespräch mit Ihrem IT-Dienstleister.
QUIS AG – Das Beratungsteam
ERP-Beratung, Betrieb & Support für den Mittelstand
Wir begleiten mittelständische Unternehmen bei der Einführung und dem Betrieb ihrer Systeme – von Microsoft Business Central bis zum Onlineshop. Mit einem klaren Grundsatz: Erst den Prozess verstehen, dann die Lösung. Ein fester Ansprechpartner, der bleibt – auch wenn es dringend wird.
Wissen Sie, wie schnell Ihr Unternehmen reagieren kann?
In einem Erstgespräch schauen wir gemeinsam auf Ihre Systeme und klären, wo Zuständigkeiten und Abläufe noch fehlen.