PHP-Lücke (php2shell): Was sollten Unternehmer tun?

Es handelt sich um CVE-2026-109618 und CVE-2026-109619. Gemeinsam ermöglichen sie eigene Codeausführung auf fremden Webservern ohne Anmeldung. Diese Remote Code Execution gehört zur schwersten Kategorie. Laut Tenable beträgt der CVSS-v4-Wert 9,2 von 10.

Ein Eindringling könnte Ihre Website verändern, Kundendaten auslesen, den Shop zu gefälschten Zahlungsseiten umleiten oder Spam versenden. Die Lücke steckt in PHP selbst, nicht in Plugin oder Theme. Daher die große Reichweite.

Wahrscheinlich, wenn Ihre Website PHP nutzt und noch nicht aktualisiert ist. Laut Help Net Security sind alle PHP-Versionen ab Version 5 betroffen, darunter:

• jede WordPress-Website und jeder WooCommerce-Shop;
• Joomla, Drupal, PrestaShop, Magento und die meisten klassischen CMS;
• viele individuelle Laravel- oder Symfony-Anwendungen.

Vollständig anders betriebene Websites wie Shopify, Wix, Squarespace oder statische Seiten sind nicht betroffen. Der kostenlose PHP-Check von Marketing Scan liefert in zehn Sekunden einen Hinweis. Er ruft die Startseite normal ab und versucht keinen Angriff.

Drei Schritte in dieser Reihenfolge:

1. Schreiben Sie Ihrem Hoster oder Webdienstleister. Fragen Sie: „Nutzt unsere Website PHP und wurde auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisiert?“
2. Verlangen Sie eine Bestätigung mit Version. „Wir kümmern uns“ reicht nicht. Sie brauchen die Versionsnummer.
3. PHP 8.1 oder älter? Dafür erscheint kein Sicherheitsupdate. Planen Sie mindestens 8.2 und fragen Sie nach vorübergehendem Schutz durch Firewallregeln.

Große belgische oder niederländische Shared-Hoster aktualisieren meist zentral. Fragen Sie dennoch nach schriftlicher Bestätigung.

Am 21. Oktober meldete das belgische Zentrum für Cybersicherheit (CCB) noch keine erfolgreichen Angriffe in Belgien. Cloudflare sah erste Versuche und setzte zusätzliche Firewallregeln ein, berichtet VRT NWS. Auch niederländische Websites gingen vorsorglich offline; siehe NOS-Liveblog.

Erfahrungen mit ähnlich großen Lücken zeigen automatische weltweite Scans innerhalb weniger Tage. Wer auf Angriffsnachrichten wartet, kommt oft zu spät.

Teilweise. Webfirewalls blockieren bekannte Muster und gewinnen Zeit. Doch Patchstack und Cloudflare stimmen überein: Nur Aktualisieren löst das Problem vollständig. Angreifer passen Angriffe an Firewallregeln an.

Eine Firewall ist eine vorübergehend verschlossene Tür, keine Reparatur. Bei Cloudflare sind die Regeln wahrscheinlich aktiv. Lassen Sie das bestätigen und führen Sie das Update trotzdem durch.

Für die meisten kleinen Unternehmen nicht, sofern heute oder morgen aktualisiert wird. Große Organisationen mit sensiblen Daten wie Schulen und Krankenhäuser gingen offline, weil sie Hunderte Systeme prüfen müssen.

Verarbeiten Sie sensible Daten, etwa Zahlungen außerhalb externer Zahlungsanbieter oder medizinische und rechtliche Angaben, und dauert das Update mehrere Tage, ist vorübergehendes Offline- oder Wartungsschalten angemessen.