Das BSI hat am 21. Oktober 2026 eine Sicherheitswarnung der Stufe 3 / Orange herausgegeben: Zwei Schwachstellen in der Programmiersprache PHP erlauben es Angreifern, aus der Ferne Schadcode auf Webservern auszuführen. Eine Anmeldung ist dafür nicht nötig, ein Klick eines Nutzers auch nicht. In Fachmedien laufen die Lücken unter dem Namen „PHP2Shell“, in Anlehnung an Log4Shell. Beide sind mit 9.2 von 10 Punkten bewertet (CVE-2026-109618 und CVE-2026-109619).
Der Umfang ist das eigentliche Problem. Laut PHP-Projekt ist jede PHP-Installation gefährdet, die Webanfragen verarbeitet, egal ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Verwundbar sind alle Versionen zurück bis mindestens PHP 5. Und PHP steckt in sehr vielen Systemen, die man nicht sofort damit verbindet: WordPress, TYPO3, Joomla, Shopware- und Magento-Shops, Nextcloud, aber auch Firewalls wie pfSense und OPNsense oder die Weboberflächen mancher Geräte. Am höchsten stuft das PHP-Team das Risiko bei mod_php ein: Dort wurde ein Angriff gezeigt, der greift, bevor überhaupt Code der Anwendung läuft.
Seit dem Nachmittag des 21. Oktober gibt es Updates. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer PHP über die Paketverwaltung seiner Linux-Distribution bezieht, bekommt dort meist zurückportierte Pakete mit anderer Versionsnummer. Hier hilft der Abgleich mit dem Sicherheitshinweis von Debian, Ubuntu oder Red Hat. Wichtig: Ein Update von WordPress oder Nextcloud allein reicht nicht. Die PHP-Laufzeitumgebung darunter muss aktualisiert werden. Docker-Container mit PHP müssen neu gebaut werden, und bei Appliances und Firewalls ist man auf neue Firmware der Hersteller angewiesen.
Das BSI rechnet mit einer breiten Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches. Wer heute noch nicht aktualisieren kann, sollte laut BSI erwägen, den Server vorübergehend vom Internet zu trennen. Das PHP-Team nennt zwar Konfigurationsänderungen, die die Angriffsfläche verkleinern, etwa session.upload_progress.enabled=0 und ein niedriges post_max_size. Diese Maßnahmen ersetzen den Patch aber ausdrücklich nicht. Auch Regeln einer Web Application Firewall blockieren nur bekannte Angriffswege.
Für die Praxis empfehlen wir diese Reihenfolge: Zuerst alle aus dem Internet erreichbaren Systeme mit PHP erfassen, also Website, Webshop, Nextcloud, Intranet, Firewall-Oberflächen und Fachanwendungen mit Weboberfläche. Dann patchen und mit php -v beziehungsweise dem Paketstand prüfen. Bei Hosting-Paketen beim Provider nachfragen, ob das Update eingespielt ist. Und ein Blick auf alte Versionen: PHP vor 8.2 bekommt vom PHP-Projekt keine Updates mehr, PHP 8.2 nur noch bis Jahresende. Solche Systeme sollten ohnehin auf eine unterstützte Version umziehen.
Sie sind unsicher, wo in Ihrem Unternehmen überall PHP läuft, oder brauchen Hilfe beim Einspielen der Updates? Sprechen Sie uns an. Wir prüfen Ihre erreichbaren Systeme und übernehmen die Aktualisierung auf Wunsch kurzfristig im Rahmen unserer Betreuung. Quelle: BSI-IT-Sicherheitshinweis vom 21.10.2026.