PHP2Shell:
Zwei kritische Lücken in PHP.
Und der Patch kommt nicht überall an.
Sie sollten handeln, wenn:
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9.2 bewertet. Über sie können Angreifer ohne Anmeldung eigenen Code auf dem Webserver ausführen. Das BSI hat dazu eine Warnung herausgegeben, Exploit-Code ist öffentlich verfügbar.
Die Lücke setzt an, bevor Ihre Anwendung überhaupt startet: bei der Verarbeitung von Datei-Uploads und Formularen. Deshalb schließt sie kein Plugin und kein CMS-Update. Betroffen sind alle Websites und Webanwendungen auf einer ungepatchten PHP-Version, darunter Laravel, Craft CMS, Statamic, WordPress, TYPO3, Shopware und individuelle PHP-Software.
| PHP‑Version | Gepatcht ab | Status |
|---|---|---|
| 8.5 | 8.5.12 | Update verfügbar |
| 8.4 | 8.4.27 | Update verfügbar |
| 8.3 | 8.3.36 | Update verfügbar |
| 8.2 | 8.2.35 | Update verfügbar |
| 8.1 und älter | kein offizieller Patch | End of Life, Absicherung oder Migration nötig |
Wichtig: Ein
php -v auf der Kommandozeile reicht zur Prüfung nicht aus. Entscheidend ist die Version, mit der der Webserver Ihre Seiten ausliefert, und ob alle laufenden PHP-Prozesse nach dem Update neu gestartet wurden.
Unsicher, ob Ihre Server betroffen sind? Wir prüfen das gemeinsam mit Ihnen.
PHP-Update einspielen:
Wo es in der Praxis hakt
Der offizielle Patch ist veröffentlicht. Auf vielen Servern kommt er trotzdem nicht automatisch an. Diese Situationen sehen wir bei Betroffenen gerade am häufigsten.
Paketquelle liefert noch die alte Version
Viele Server beziehen PHP aus Paketquellen, die den Patch erst Stunden oder Tage später ausliefern. Ein Standard-Update installiert dann eine ungepatchte Version, und alles sieht scheinbar aktuell aus.
Prozesse laufen mit der alten Version weiter
Nach dem Paket-Update laufen PHP-FPM, Queue-Worker und Daemons weiter mit dem alten Code im Speicher, bis sie neu gestartet werden. Die Lücke bleibt offen, obwohl die neue Version installiert ist.
Alte PHP-Versionen
Für PHP 8.1 und älter gibt es keinen offiziellen Patch. Die Anwendung muss auf eine unterstützte PHP-Version gebracht werden, oft mit Anpassungen am Code oder einem Framework-Update.
Veraltete Betriebssysteme und ARM-Server
Auf Ubuntu 20.04 und älter gibt es keine aktuellen PHP-Pakete mehr. Für ARM-Server erscheinen sie später als für x86. Hier braucht es eine Übergangslösung oder eine Migration.
Unklare Versionsanzeige
phpinfo() zeigt nach dem Update weiterhin die alte Versionsnummer. Das kann korrekt sein, wenn der Hoster den Fix rückportiert hat. Es kann aber auch bedeuten, dass nichts passiert ist.
Shared und Managed Hosting
Ohne Root-Zugriff können Sie nicht selbst patchen. Wir prüfen, welche Version wirklich ausgeliefert wird, und klären den Status mit Ihrem Hoster.
Ihre PHP-Update-Agentur, wenn es schnell gehen muss.
Bei einer kritischen Lücke zählt, dass jemand erreichbar ist und weiß, was zu tun ist. Als PHP-Agentur betreiben unsere Entwickler seit über zehn Jahren Laravel-, Statamic- und Craft-CMS-Anwendungen für Mittelstand und Konzerne, auf eigenen und fremden Servern.
Sie sprechen direkt mit den Menschen, die Ihr System anfassen. Keine Hotline, keine Ticket-Warteschleife.
PHP-Update mit System:
Schnelligkeit trifft Sicherheit
Wir prüfen alle installierten PHP-Versionen, die ausgelieferte Version und alle laufenden Prozesse. Danach spielen wir den Patch aus einer Quelle ein, die ihn bereits ausliefert. Wo noch kein Patch verfügbar ist, sichern wir den Server über PHP-Konfiguration und Web Application Firewall ab. Zusätzlich prüfen wir Logs, Dateien und Admin-Konten auf Angriffsspuren und klären bei Shared Hosting den Stand mit Ihrem Anbieter.
Der Ablauf hat vier Schritte. Im kostenfreien Erstgespräch von 30 Minuten klären wir Server, Hosting und Zugang. Dann prüfen wir PHP-Versionen, Architektur und Prozesse. Anschließend spielen wir den Patch ein oder setzen einen Übergangsschutz. Zum Schluss kontrollieren wir alles und dokumentieren den Stand für Ihre Unterlagen. Auf Wunsch übernehmen wir danach die dauerhafte Wartung.
Das Ergebnis: Sofortschutz, ein getestetes Update und die Nachprüfung auf Folgeschäden. So ist Ihr System schnell geschützt und läuft danach stabil weiter.
Der Unterschied zum Hau-Ruck-Update
Ein PHP-Update ist schnell eingespielt. Ob es wirklich schützt, entscheidet sich an drei Stellen, die beim schnellen Durchklicken leicht übersehen werden.
-
Erst testen, dann live
Typischer WegPHP-Version auf dem Live-Server umstellen und hoffen. Fehler sehen zuerst Ihre Kunden.Unser WegUpdate erst auf Staging testen, dann Livegang mit Rückfallplan. -
Prozesse wirklich neu starten
Typischer WegPaket installieren und abhaken. Laufende Prozesse arbeiten weiter mit der alten Version.Unser WegPHP-FPM, Worker und Daemons kontrolliert neu starten und die ausgelieferte Version prüfen. -
Schutz belegen statt vermuten
Typischer WegNur die Versionsnummer prüfen. Ob der Fix greift, bleibt offen.Unser WegPaketstand und Changelog auf beide CVEs prüfen. Der Schutz ist belegt, nicht vermutet.
PHP-Update in der Praxis:
So sichern wir Ihr System ab
Jedes System reagiert anders auf einen PHP-Versionswechsel. Für diese Plattformen haben wir bewährte Abläufe.
Individualsoftware und eigene Server
Gewachsene Anwendungen laufen oft auf PHP 7 oder älter. Kurzfristig sichern wir die Lücke ab. Mittelfristig planen wir den Weg auf eine unterstützte Version, bei Bedarf als Legacy-Modernisierung.
PHP-Update für Laravel
PHP-Version, Laravel-Version und Composer-Pakete hängen eng zusammen. Wir heben die PHP-Version an, aktualisieren Abhängigkeiten und lassen Ihre Tests laufen, wo nötig inklusive Laravel-Update.
WordPress
Nicht WordPress ist die Ursache, alte Plugins und Themes sind aber oft das Hindernis beim Versionswechsel. Wir prüfen die Kompatibilität und ersetzen verwaiste Erweiterungen.
PHP-Update für TYPO3
Jede TYPO3-Version unterstützt nur bestimmte PHP-Versionen. Wir prüfen die Kompatibilität, verbinden das PHP-Update bei Bedarf mit einem TYPO3-Update und testen Extensions vorab.
Craft CMS und Statamic
Als Partner beider Systeme kennen wir die Upgrade-Pfade genau. Wir prüfen Plugins und Addons, aktualisieren das CMS bei Bedarf mit und testen Templates und Formulare.
Shopware und Online-Shops
Ein Ausfall kostet Umsatz, ein Einbruch Vertrauen. Wir planen das Update außerhalb der Hauptverkaufszeiten und testen Checkout und Schnittstellen vor dem Livegang.
Abwarten ist die teuerste Option.
Ein ungepatchtes System kostet nichts, bis es angegriffen wird. Dann kostet es Umsatz, Daten und Vertrauen.
Risiko
Wenn Sie abwarten Exploit-Code ist öffentlich, automatisierte Scanner finden ungepatchte Server.
Wenn Sie jetzt handeln Die Lücke ist geschlossen, bevor sie ausgenutzt wird.
Kosten
Wenn Sie abwarten Bereinigung, Wiederherstellung und Ausfallzeit kosten ein Vielfaches eines Updates.
Wenn Sie jetzt handeln Ein planbarer Aufwand mit klarem Ergebnis.
Haftung
Wenn Sie abwarten Datenabfluss löst Meldepflichten nach DSGVO aus, NIS2 nimmt die Geschäftsführung in die Pflicht.
Wenn Sie jetzt handeln Dokumentierte Maßnahmen belegen Ihre Sorgfalt.
Reputation
Wenn Sie abwarten Gehackte Websites landen auf Sperrlisten, Kunden sehen Warnungen im Browser.
Wenn Sie jetzt handeln Ihre Website bleibt vertrauenswürdig und erreichbar.
Wie dringend das PHP-Update bei Ihnen ist, klären wir im Erstgespräch.
Kostenfreies Erstgespräch vereinbarenHäufige Fragen zur PHP-Sicherheitslücke PHP2Shell
Hier finden Sie Antworten auf häufige Fragen zur Sicherheitslücke und zum PHP-Update. Haben Sie weitere Anliegen? Wir freuen uns darauf, von Ihnen zu hören.
Was ist PHP2Shell?
PHP2Shell bezeichnet zwei kritische Sicherheitslücken in PHP, veröffentlicht am 21. Oktober 2026 unter CVE-2026-109618 und CVE-2026-109619. Angreifer können darüber ohne Anmeldung Code auf dem Webserver ausführen.
Welche PHP-Version schließt die Lücke?
Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keinen offiziellen Patch.
Reicht es, das PHP-Update zu installieren?
Nein. PHP-FPM, Queue-Worker und andere dauerhaft laufende PHP-Prozesse müssen nach dem Update neu gestartet werden. Sonst arbeiten sie weiter mit der verwundbaren Version im Speicher.
Mein Server zeigt nach dem Update immer noch die alte Version. Warum?
Häufig liefert die genutzte Paketquelle den Patch noch nicht aus. Auf ARM-Servern und älteren Ubuntu-Versionen kommt er später oder gar nicht. Wir prüfen, welche Quelle bei Ihnen die gepatchte Version bereitstellt.
Was kann ich tun, wenn noch kein Patch verfügbar ist?
Übergangsweise lassen sich bestimmte PHP-Einstellungen deaktivieren und Angriffe über eine Web Application Firewall filtern. Das senkt das Risiko deutlich, ersetzt aber nicht das Update.
Ist mein WordPress, Craft CMS oder Laravel betroffen?
Betroffen ist nicht das CMS oder Framework, sondern PHP selbst. Jede Anwendung auf einer ungepatchten PHP-Version ist gefährdet, unabhängig vom eingesetzten System.
Unsere Website liegt bei einem Hoster. Was müssen wir tun?
Bei Shared oder Managed Hosting spielt der Anbieter das Update ein. Wir prüfen, welche PHP-Version Ihre Website tatsächlich ausliefert, und klären mit dem Hoster den Zeitplan.
Was kostet die Unterstützung?
Das Erstgespräch ist kostenfrei. Danach erhalten Sie eine Einschätzung des Aufwands, bevor wir starten.
Herzlichen Dank für Ihr Vertrauen!
Wir haben Ihre Nachricht sicher erhalten und freuen uns über Ihr Interesse. Unser Team ist bereits dabei, Ihre Anfrage sorgfältig zu prüfen und wird sich binnen eines Arbeitstages mit Ihnen in Verbindung setzen.
Sollten Sie in der Zwischenzeit weitere Fragen haben oder zusätzliche Informationen benötigen, zögern Sie bitte nicht, uns zu kontaktieren. Wir sind hier, um Ihnen zu helfen und Ihre Anliegen zu unserer höchsten Priorität zu machen.
