Im Oktober 2026 wurde mit CVE-2026-109618 und CVE-2026-109619 eine kritische PHP-Sicherheitslücke bekannt, unter dem Namen „php2shell“. Beide Schwachstellen sind mit CVSS 4.0 9,2 bewertet, lassen sich ohne Anmeldung ausnutzen und ermöglichen im schlechtesten Fall die Ausführung fremden Codes auf dem betroffenen Server. Dieser Beitrag fasst zusammen, wer von der PHP-Sicherheitslücke betroffen ist, welche PHP-Version aktuell als sicher gilt und was Sie als Betrieb in Rosenheim und Umgebung jetzt tun sollten.
Was ist php2shell?
„php2shell“ ist der inoffizielle Sammelname für die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619. Beide beruhen auf einem Speicherfehler in der internen Speicherverwaltung von PHP (dem sogenannten Zend Memory Manager): Bei bestimmten Fehlerzuständen — etwa beim Verarbeiten von Formular-Uploads (multipart/form-data) oder stark verschachtelten Daten — gibt PHP intern einen Speicherbereich doppelt oder zu früh frei. Angreifer können diesen Fehler gezielt auslösen und darüber eigenen Code auf dem Server ausführen, ganz ohne Benutzerkonto oder Passwort. Betroffen sind gängige Betriebsarten von PHP, darunter PHP-FPM, Apache mit mod_php und php-cgi.
Die PHP-Gruppe hat am 21.10.2026 im Rahmen ihrer offiziellen Sicherheits-Ankündigung Notfall-Updates veröffentlicht. Bereits am 26.10.2026 hat die US-Behörde CISA beide Schwachstellen in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen — ein Beleg dafür, dass tatsächlich Angriffe stattfinden, nicht nur ein theoretisches Risiko. Details zur technischen Einstufung finden Sie in der Cybersicherheitswarnung des BSI.
Wer ist von der PHP-Sicherheitslücke betroffen?
Betroffen ist jedes System mit ungepatchter PHP-Version — unabhängig von der Software darüber. Das betrifft die eigene Website, den Webshop, ein Kundenportal, die interne Dateiablage oder eine Warenwirtschaft, sofern sie auf PHP aufsetzen. Dazu zählen unter anderem:
- WordPress-Websites — die Plattform selbst läuft auf PHP, unabhängig vom Theme oder den Plugins
- Shopware- und andere PHP-Webshops — hier liegen zusätzlich Kunden- und Zahlungsdaten im Risiko
- Nextcloud und ähnliche Datei-/Kollaborationsportale
- Kundenportale, Intranets und Warenwirtschaftssysteme auf PHP-Basis, eigenentwickelt oder zugekauft
Ob Sie betroffen sind, hängt allein von der eingesetzten PHP-Version ab — nicht davon, wie bekannt oder klein die Anwendung ist. Gerade kleinere, selten aktualisierte Installationen sind oft am längsten auf einer veralteten Version unterwegs.
Welche PHP-Version ist sicher?
Die PHP-Gruppe hat am 21.10.2026 für vier aktiv gepflegte Versionsreihen Patches veröffentlicht. Erst ab diesen Versionen gelten CVE-2026-109618 und CVE-2026-109619 als behoben:
| PHP-Version | Sicher ab | Status (Stand 14.11.2026) |
|---|---|---|
| PHP 8.5 | 8.5.12 | aktiv gepflegt |
| PHP 8.4 | 8.4.27 | aktiv gepflegt |
| PHP 8.3 | 8.3.36 | nur noch Sicherheitsupdates, bis Ende 2027 |
| PHP 8.2 | 8.2.35 | nur noch Sicherheitsupdates, planmäßiges Ende Ende 2026 |
| PHP 8.1 und älter | kein offizieller Patch | End of Life — Umstieg auf eine unterstützte Version nötig |
Zwei Tage später, am 23.10.2026, wurde zusätzlich eine engere, dritte Schwachstelle bekannt (CVE-2026-115560), die nur bestimmte, unübliche Session-Konfigurationen betrifft; der vollständige Fix dafür folgt erst mit dem nächsten regulären PHP-Release. Für die meisten Websites und Portale ändert das nichts an der Empfehlung oben: Entscheidend ist der Umstieg auf mindestens 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35. Den jeweils aktuellen Stand können Sie jederzeit auf php.net nachsehen.
So prüfen Sie, ob Sie von der PHP-Sicherheitslücke betroffen sind
- PHP-Version im Hosting-Panel nachsehen — die meisten Hoster zeigen die aktive PHP-Version direkt im Kundenbereich an
- Bei WordPress: Werkzeuge → Website-Zustand → Reiter „Server“ zeigt die laufende PHP-Version an
- Bei direktem Server-Zugriff: der Befehl
php -vauf der Kommandozeile nennt die genaue Version - Bei Shopware, Nextcloud oder einem eigenentwickelten Portal: die PHP-Version steht meist im Admin- oder Systembereich der Anwendung, sonst hilft ein Blick beim Hoster
- Im Zweifel beim Hoster nachfragen, ob und wann auf eine der oben genannten sicheren Versionen aktualisiert wird — viele Hoster patchen automatisch, aber nicht alle und nicht immer sofort
Was tun bei PHP 8.1 und älter?
Für PHP 8.1 und ältere Versionen gibt es von der PHP-Gruppe keinen offiziellen Patch mehr — diese Reihen sind End of Life. Wer ein solches System noch betreibt, hat zwei Wege: zügig auf eine unterstützte Version (mindestens 8.2, besser 8.3 oder neuer) aktualisieren, was bei älteren Anwendungen Anpassungen am Code nötig machen kann, oder beim Hoster beziehungsweise Software-Anbieter nach einem inoffiziellen Sicherheits-Backport fragen. Eine EOL-Version angesichts CVSS 9,2 und bestätigter aktiver Ausnutzung ohne Gegenmaßnahme weiterzubetreiben, ist keine vertretbare Option mehr.
Wie ITFOUR hilft
php2shell wird dort behoben, wo PHP tatsächlich läuft: auf Ihrem Server oder beim Hoster Ihrer Website. Für Server, die wir im Rahmen unserer Betreuung verwalten, gehören Betriebssystem- und Firmware-Updates sowie laufende Überwachung zum Alltag — läuft darauf eine PHP-Anwendung, sprechen wir mit Ihnen den nötigen Update-Schritt durch. Liegt Ihre Website bei einem externen Hoster, prüfen wir mit Ihnen, welche Systeme PHP einsetzen, und begleiten Sie bei der Abstimmung mit dem Hoster (siehe auch unsere Service- und Wartungsleistungen).
Sollte es trotz aller Vorsicht zu einem Sicherheitsvorfall kommen, zählt eine aktuelle, regelmäßig geprüfte Datensicherung zu den wichtigsten Rückfallebenen. Für akute Störungen steht unser Störung & Notfall-Service unter 08031 616 96 40 bereit.
Unsicher, ob Ihre Systeme betroffen sind?
Wir gehen mit Ihnen gemeinsam durch, welche Ihrer Systeme PHP einsetzen und wie es um deren Update-Stand steht.
Häufige Fragen zu php2shell
php2shell ist der gebräuchliche Name für zwei kritische PHP-Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619. Beide beruhen auf einem Speicherfehler in PHP und erlauben es Angreifern ohne Anmeldung, eigenen Code auf einem ungepatchten Server auszuführen. Die PHP-Gruppe hat am 21.10.2026 Notfall-Updates veröffentlicht.
Ja. Es genügt zu wissen, welche PHP-Version Ihre Website, Ihr Portal oder Ihre Warenwirtschaft nutzt, und das beim Hoster oder IT-Dienstleister anzusprechen. Die eigentliche Aktualisierung übernimmt in der Regel der Hoster oder Systembetreuer, nicht Sie selbst.
Ja. WordPress läuft selbst auf PHP, unabhängig von Theme und Plugins. Entscheidend ist allein die PHP-Version, die der Hoster für die Website bereitstellt — die lässt sich meist im WordPress-Bereich „Werkzeuge → Website-Zustand“ oder im Kundenbereich des Hosters nachsehen.
Für PHP 8.1 und ältere Versionen gibt es von der PHP-Gruppe keinen offiziellen Patch mehr. In diesem Fall bleibt nur der Umstieg auf eine unterstützte Version (mindestens 8.2) oder, falls kurzfristig nicht möglich, die Nachfrage beim Hoster oder Software-Anbieter nach einem inoffiziellen Sicherheits-Backport.
Ja, bei der Abstimmung: Wir klären mit Ihnen, welche Systeme betroffen sind und welchen Schritt der Hoster übernehmen muss. Für Server, die ITFOUR direkt betreut, gehören Updates ohnehin zur laufenden Betreuung.
Jetzt PHP-Sicherheitslücke prüfen lassen
Sprechen Sie uns an — wir gehen gemeinsam durch, welche Ihrer Systeme PHP einsetzen und wie es um deren Update-Stand steht.