Update 21. Oktober 2026, 16 Uhr: Die Patches sind da. PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 schließen die Lücken, veröffentlicht um 15:38 Uhr deutscher Zeit. Das PHP-Sicherheitsteam hatte die außerplanmäßige Sicherheitsveröffentlichung am Vortag angekündigt. Sie schließt zwei kritische Schwachstellen in PHP, beide mit 9,2 von 10 Punkten bewertet (CVSS 4.0). Das BSI hat dazu eine Cybersicherheitswarnung veröffentlicht, die Allianz für Cyber-Sicherheit ruft Betreiber von Websites und Webanwendungen auf, unmittelbar zu reagieren.

Worum es geht

PHP ist die Programmiersprache hinter einem Großteil aller Websites. WordPress, TYPO3, Joomla, Drupal, Magento, Nextcloud und die Oberflächen von Firewalls wie pfSense oder OPNsense laufen damit. Die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619, in Medien «PHP2Shell» genannt) könnten es Angreifern laut BSI erlauben, aus der Ferne Schadcode auf dem Webserver auszuführen. Eine Anmeldung oder ein Klick von Nutzern ist dafür nach der Bewertung nicht nötig.

Bestätigte Angriffe sind dem BSI bisher nicht bekannt. Laut PHP-Team sind alle PHP-Installationen betroffen, die Webanfragen bedienen (PHP-FPM, Apache mit modphp, php-cgi und weitere). Das höchste Risiko besteht bei Apache mit modphp: Dafür gibt es einen vorgeführten Exploit, der ohne Anmeldung funktioniert. PHP 8.1 und älter erhalten keine Updates mehr, hier hilft nur die Umstellung auf eine unterstützte Version.

Der Zeitplan

20. Oktober: Ankündigung durch das PHP-Sicherheitsteam
21. Oktober, 15:38 Uhr deutscher Zeit: Veröffentlichung von PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 (früher als angekündigt)
Jetzt: Updates so schnell wie möglich einspielen, das BSI empfiehlt die Installation unverzüglich

Was Sie als Unternehmen jetzt tun sollten

1. Klären, wo PHP bei Ihnen läuft. Website, Shop, Kundenportal, Intranet, Cloud-Speicher, Firewall-Oberfläche: Notieren Sie, welche Systeme aus dem Internet erreichbar sind und wer sie betreut.

2. Mit Ihrem Dienstleister sprechen. Bei gemietetem Webspace oder Managed Hosting spielt meist der Anbieter das Update ein. Fragen Sie konkret nach, ob und bis wann das heute passiert. Bei eigenen Servern liegt die Aufgabe bei Ihnen oder Ihrer IT.

3. Angriffsfläche verkleinern. Alte Test- und Nebeninstallationen abschalten, Verwaltungsoberflächen nur aus dem Firmennetz oder per VPN erreichbar machen.

4. Abwägen, ob Systeme vorübergehend vom Netz gehen. Laut ACS nehmen große IT-Dienstleister Webserver bis zum Patch vom Netz. Bei Anwendungen mit sensiblen Kundendaten kann das sinnvoll sein, bei einer reinen Informationsseite eher nicht. Treffen Sie die Entscheidung bewusst.

5. Datensicherung prüfen. Eine aktuelle, getrennt gespeicherte Sicherung hilft beim Update und im Ernstfall.

6. Nach dem Update kontrollieren. Läuft die neue PHP-Version wirklich (Dienst neu gestartet)? Funktionieren Website und Formulare? Gibt es unbekannte Dateien oder Benutzerkonten? Bei Verdacht greift Ihr IT-Notfallplan.

Wichtig: Ein WordPress-Update reicht nicht

Die Lücke steckt in PHP selbst, also in der Laufzeitumgebung auf dem Server, nicht in WordPress oder einem Plugin. Aktualisiert werden muss PHP. Wer nur das CMS aktualisiert, ist nicht geschützt.

Für Kunden im xKMU-Hosting

Wir spielen die korrigierten PHP-Versionen auf unseren Hosting-Servern ein, sobald die Pakete bereitstehen, und informieren betroffene Kunden. Bis dahin sind auf unseren Servern die vom PHP-Team empfohlenen Übergangseinstellungen gesetzt. Ein Angriffsschutz mit Filterregeln für bekannte Lücken ist auf unseren Servern bereits aktiv, ersetzt das Update aber nicht.

Mehr dazu

Eine ausführliche Anleitung für IT-Verantwortliche mit Einordnung in den IT-Grundschutz finden Sie auf it-grundschutz.net. Den aktuellen Stand veröffentlichen das PHP-Sicherheitsteam und das BSI.

Sie sind unsicher, ob Ihre Systeme betroffen sind? Sprechen Sie uns an, wir prüfen das gemeinsam mit Ihnen.