Ratgeber · Stand 21.10.2026
PHP2Shell: So klären Sie den Patchstatus Ihrer Website
Am 21. Oktober 2026 wurden Sicherheitsupdates für mehrere PHP-Zweige veröffentlicht. Sie schließen kritische Schwachstellen, die hier als PHP2Shell zusammengefasst sind. Was das für Unternehmen bedeutet – und was nicht.
Was ist PHP2Shell?
Unter dem Namen PHP2Shell werden zwei Schwachstellen in PHP zusammengefasst: CVE-2026-109618 und CVE-2026-109619. Kritische Schwachstellen dieser Art können es Angreifern ermöglichen, ohne Anmeldung eigenen Code auf dem Server auszuführen (Remote-Code-Ausführung).
Für die Geschäftsführung heißt das: Betroffen sein kann alles, was an der Website hängt – der Betrieb der Seite selbst, Kundendaten oder angebundene Prozesse wie Shop, Formulare oder Schnittstellen.
Ist jede PHP-Website betroffen?
Nein. Nicht jede PHP-Website ist automatisch gefährdet oder gar kompromittiert. Ob Handlungsbedarf besteht, hängt von der tatsächlichen Serverumgebung ab: eingesetzte PHP-Version, Konfiguration und bereits eingespielte Sicherheitskorrekturen. Systeme, die nicht auf PHP laufen, sind nicht pauschal betroffen.
Häufige PHP-Anwendungen sind WordPress, TYPO3, WooCommerce und individuell entwickelte Anwendungen. Entscheidend ist aber die Infrastruktur darunter, nicht der Name des CMS.
Sicherheitsupdates vom 21.10.2026
| PHP-Zweig | Sicherheitsupdate |
|---|---|
| PHP 8.2 | PHP 8.2.35 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.5 | PHP 8.5.12 |
Warum die Versionsnummer allein nicht reicht
Viele Hostinganbieter und Linux-Distributionen spielen Sicherheitskorrekturen als sogenannte Backports ein. Die Lücke ist dann geschlossen, obwohl die angezeigte Versionsnummer älter wirkt. Umgekehrt sagt eine Versionsnummer im Backend nichts darüber, welche PHP-Version der Server wirklich ausführt.
Lassen Sie sich deshalb den Patchstatus für beide CVEs vom Hoster oder von Ihren Serververantwortlichen schriftlich bestätigen.
Ein CMS-Update ist kein PHP-Update
Ein Update von WordPress, TYPO3 oder Plugins aktualisiert die Anwendung – nicht PHP auf dem Server. Ein CMS-Update allein belegt daher keine Behebung der PHP2Shell-Schwachstellen.
Checkliste: Patchstatus klären
- Klären, welche Websites und Anwendungen des Unternehmens auf PHP laufen.
- Beim Hoster oder Serververantwortlichen die tatsächlich laufende PHP-Version erfragen.
- Bestätigen lassen, ob CVE-2026-109618 und CVE-2026-109619 behoben sind – per Update oder Backport.
- Falls nicht: Backup, Kompatibilitätsprüfung, Update und Funktionstest einplanen und dokumentieren.
- Ältere, nicht mehr unterstützte PHP-Zweige gesondert bewerten – hier kann eine Migration nötig sein.
Und wenn bereits ein Einbruch vermutet wird?
Ein Update schließt die Lücke, beseitigt aber keinen bestehenden Einbruch. Bei Verdacht ziehen Sie Ihre IT-Verantwortlichen und den Hostinganbieter hinzu; nötig ist dann eine separate Incident-Prüfung.