PHP2Shell: Kritische PHP-Lücke, jetzt handeln

Eine Schwachstelle, die Millionen Websites betrifft, aktiv ausgenutzt wird und für die öffentliche Exploit-Codes kursieren: Die Ende Oktober 2026 bekannt gewordenen PHP-Lücken mit dem Namen "PHP2Shell" gehören zu den gravierendsten Sicherheitsereignissen des Jahres. Das BSI hat eine Warnung herausgegeben (t3n), die US-Behörde CISA hat beide Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken aufgenommen (Greenbone).

Für Geschäftsführer und IT-Verantwortliche in KMU stellt sich weniger die Frage "Was ist PHP2Shell?" als vielmehr: Betrifft uns das, und warum erfahren wir von solchen Lücken oft erst aus der Presse? Dieser Beitrag beantwortet beides: die akuten Schritte und die strukturelle Lehre für das eigene Patch-Management.

Was ist PHP2Shell? Die Fakten zur PHP Sicherheitslücke 2026

Hinter dem Namen PHP2Shell stehen zwei kritische Schwachstellen in der Skriptsprache PHP, auf der ein Großteil aller Websites läuft, von WordPress über Onlineshops bis zu Intranet-Anwendungen (Greenbone, Oktober 2026):

• CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9.2 (kritisch) bewertet,
• ermöglichen unauthentifizierte Remote Code Execution, Angreifer können aus der Ferne ohne Zugangsdaten eigenen Code auf dem Server ausführen,
• betroffen sind alle PHP-Versionen unterhalb 8.2.35; die fehlerbereinigten Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12,
• für die nicht mehr unterstützten Versionen PHP 8.1 und älter gibt es keine regulären Updates, lediglich Quellcode-Backports und teils Distributions-Patches,
• die Fixes erschienen am 21. Oktober 2026, die BSI-Warnung folgte am 22. Oktober; bereits ab dem 17. Oktober wurden Ausnutzungsversuche gegen Honeypots beobachtet, und am 26. Oktober nahm CISA beide CVEs in den KEV-Katalog aktiv ausgenutzter Schwachstellen auf,
• öffentliche Proof-of-Concept-Exploits sind im Umlauf, die Hürde für Nachahmer ist damit minimal.

Übersetzt heißt das: Jeder ungepatchte, aus dem Internet erreichbare PHP-Server ist seit Tagen ein Ziel automatisierter Scans, unabhängig davon, wie klein oder uninteressant das Unternehmen dahinter zu sein glaubt.

Warum KMU besonders exponiert sind

Großunternehmen haben Inventarlisten, Patch-Fenster und Security-Teams. In KMU liegt die Unternehmens-Website dagegen oft bei einer Agentur, der Shop bei einem Hoster, das Intranet-Tool "läuft einfach", und niemand weiß genau, welche PHP-Version wo im Einsatz ist. Genau diese unklare Verantwortlichkeit ist das eigentliche Risiko: Die Lücke selbst ist binnen Stunden gepatcht, wenn man weiß, wo sie klafft.

Dazu kommt das Dienstleister-Problem: Verträge mit Webagenturen regeln häufig Design und Inhalte, aber nicht die zeitnahe Einspielung von Sicherheitsupdates. Im Schadensfall haftet trotzdem zuerst das Unternehmen, gegenüber Kunden, Datenschutzaufsicht und gegebenenfalls im Rahmen von NIS2 (mehr zur beginnenden NIS2-Durchsetzung: NIS2-Durchsetzung: BSI plant Prüfungen ab 2027).

Akut-Checkliste: Das sollten Unternehmen jetzt tun

1. Alle PHP-Installationen finden

Website, Shop, Buchungstools, Monitoring-Oberflächen, NAS-Weboberflächen, "vergessene" Subdomains: PHP steckt oft auch dort, wo es niemand vermutet. Fragen Sie Hoster und Agentur schriftlich nach der eingesetzten PHP-Version aller für Sie betriebenen Systeme.

2. Auf eine abgesicherte Version aktualisieren

Ziel sind die Versionen 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, beziehungsweise der Backport Ihrer Linux-Distribution. Systeme mit PHP 8.1 oder älter sollten zügig auf eine unterstützte Version migriert werden; der Support für PHP 8.2 endet bereits zum 31. Dezember 2026, sodass 8.4 oder 8.5 das sinnvollere Ziel ist (Greenbone).

3. Nicht patchbare Systeme isolieren

Was nicht sofort aktualisiert werden kann, gehört hinter eine Zugangsbeschränkung oder vorübergehend vom Netz, das entspricht auch der Empfehlung der CISA für Altsysteme. Konfigurations-Workarounds ersetzen das Update nicht.

4. Auf Kompromittierung prüfen

Da die Lücke schon vor Veröffentlichung der Patches angegriffen wurde, gilt: Patchen allein beweist nicht, dass nichts passiert ist. Prüfen Sie Webserver-Logs auf auffällige Anfragen und Systeme auf neu angelegte Dateien oder Prozesse, die von PHP gestartet wurden. Im Verdachtsfall unterstützen wir Sie bei der forensischen Klärung. Incident Response: Kompromittierung prüfen lassen

Die eigentliche Lehre: Vom Einzelfall zum Schwachstellenmanagement

PHP2Shell ist spektakulär, aber kein Ausnahmefall: Im Schnitt werden täglich weit über hundert neue Schwachstellen bekannt (BSI-Lagebericht, via Resilienzmagazin). Die Frage ist nicht, ob die nächste kritische Lücke kommt, sondern ob Ihr Unternehmen sie vor den Angreifern bemerkt. Ein belastbares Patch-Management für KMU besteht aus vier Bausteinen:

Inventar: Eine aktuelle Übersicht aller Systeme, Anwendungen und Versionen, intern wie bei Dienstleistern. Ohne Inventar ist jede Warnung wie die des BSI nicht umsetzbar, weil unklar bleibt, ob man betroffen ist.

Priorisierung: Nicht jede Lücke ist ein Notfall. Kritikalität (CVSS), aktive Ausnutzung (z. B. CISA-KEV-Listung) und Exponierung des Systems bestimmen die Reihenfolge, PHP2Shell erfüllte alle drei Kriterien.

Verbindliche Prozesse: Definierte Patch-Fristen (z. B. kritische, aktiv ausgenutzte Lücken binnen 24 bis 72 Stunden), klare Verantwortliche und schriftliche Update-Pflichten in Dienstleisterverträgen.

Verifikation von außen: Regelmäßige Schwachstellenscans und Penetrationstests zeigen, ob die Prozesse wirken, und finden die Systeme, die durchs Raster gefallen sind. Penetrationstest & Schwachstellenanalyse von Valyros

Wer zusätzlich eine kontinuierliche Überwachung etabliert, erkennt auch den Fall der Fälle: Ein Managed-Detection-&-Response-Service bemerkt die Webshell, die trotz allem auf dem Server gelandet ist, bevor daraus Datenabfluss oder Ransomware wird. MDR: Angriffe erkennen, bevor Schaden entsteht

Fazit

PHP2Shell zeigt im Zeitraffer, wie moderne Schwachstellen-Lagen ablaufen: Patch am 21. Oktober, BSI-Warnung am 22., belegte aktive Ausnutzung und öffentliche Exploits wenige Tage später. Unternehmen, die ihre Systeme kennen, klare Update-Prozesse haben und Erkennung etabliert haben, arbeiten solche Ereignisse in Stunden ab, für alle anderen bleibt es Glückssache. Wenn Sie Ihr Patch- und Schwachstellenmanagement auf ein belastbares Fundament stellen möchten, unterstützen wir Sie gern dabei. Schwachstellen-Check anfragen

Quellen

• Greenbone: PHP2Shell Remote Code Execution (CVE-2026-109618, CVE-2026-109619): https://www.greenbone.net/en/blog/php2shell-remote-code-execution-cve-2026-109618-cve-2026-109619/
• t3n: PHP2Shell-Lücke, BSI warnt: https://t3n.de/news/php2shell-sicherheitsluecke-bsi-warnung-server-update-1769356/
• BSI-Themenseite PHP2Shell: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Threat-Intelligence/Krisen-Grosslagen/PHP2Shell/PHP2Shell_node.html
• Resilienzmagazin: BSI-Lagebericht, Lage unverändert angespannt: https://www.resilienzmagazin.de/risikomanagement/bundesamt-bewertet-die-lage-der-it%E2%80%91sicherheit-als-unveraendert-angespannt/