Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine eindringliche Warnung veröffentlicht: In der Programmiersprache PHP wurden zwei schwerwiegende Sicherheitslücken entdeckt. In Fachkreisen tragen sie bereits einen eigenen Namen – „PHP2Shell“. Das BSI stuft die Lage in die Warnstufe Orange ein, das heißt: Maßnahmen müssen unverzüglich ergriffen werden.
Klingt technisch? Ist es auch. Die Folgen betreffen aber nahezu jedes Unternehmen mit einer eigenen Website. Deshalb erklären wir in diesem Beitrag ohne Fachchinesisch, was passiert ist und warum jetzt keine Zeit zu verlieren ist.
Was ist PHP überhaupt?
Stellen Sie sich Ihre Website wie ein Haus vor. Was Besucher sehen – Texte, Bilder, Kontaktformular – ist die Einrichtung. PHP ist dagegen das Fundament und die Haustechnik: Es sorgt im Hintergrund dafür, dass Seiten aufgebaut, Formulare verschickt, Bestellungen verarbeitet und Logins geprüft werden.
PHP ist extrem weit verbreitet. Bekannte Systeme wie WordPress, TYPO3, Joomla, Drupal, Magento oder Nextcloud basieren darauf. Sicherheitsforscher schätzen, dass ein Großteil aller Websites weltweit PHP verwendet. Wenn Ihre Website ein Content-Management-System oder einen Onlineshop nutzt, ist die Wahrscheinlichkeit hoch, dass auch bei Ihnen PHP im Einsatz ist.
Was ist das Problem?
Die beiden Lücken (offiziell CVE-2026-109618 und CVE-2026-109619) ermöglichen es Angreifern im schlimmsten Fall, aus der Ferne eigene Befehle auf dem Webserver auszuführen. Um im Bild zu bleiben: Es ist, als hätte jemand einen Generalschlüssel für die Haustechnik gefunden – und kann damit nicht nur ins Haus, sondern auch bestimmen, was darin passiert.
Besonders kritisch sind drei Punkte:
- Kein Passwort nötig: Angreifer müssen sich nirgends anmelden. Eine präparierte Anfrage an die Website kann ausreichen.
- Niemand muss etwas anklicken: Weder Sie noch Ihre Mitarbeitenden müssen einen Fehler machen, etwa einen falschen Link öffnen. Der Angriff funktioniert ohne Zutun.
- Nahezu alle Versionen betroffen: Laut BSI sind alle bekannten PHP-Versionen verwundbar – zurück bis mindestens PHP 5, also auch sehr alte Installationen.
Auf einer Skala von 0 bis 10 werden beide Lücken mit 9,2 bewertet. Fachmedien vergleichen sie bereits mit „Log4Shell“ – einer Sicherheitslücke aus dem Jahr 2021, die weltweit für Ausnahmezustände in IT-Abteilungen gesorgt hat.
Was könnte im Ernstfall passieren?
Wer die Kontrolle über einen Webserver erlangt, hat viele Möglichkeiten – keine davon ist angenehm:
- Datendiebstahl: Kundendaten, Bestellungen, Kontaktanfragen oder Zugangsdaten können abgegriffen werden – mit möglichen Folgen nach der DSGVO.
- Manipulierte Website: Angreifer können Inhalte verändern, Schadsoftware an Ihre Besucher verteilen oder gefälschte Zahlungsseiten einschleusen.
- Erpressung: Daten können verschlüsselt und nur gegen Lösegeld wieder freigegeben werden.
- Missbrauch Ihres Servers: Der Server kann für Spam-Versand oder Angriffe auf andere genutzt werden – im Zweifel unter Ihrem Namen.
- Imageschaden: Google und Browser warnen Besucher vor gehackten Seiten. Das Vertrauen Ihrer Kunden leidet.
Warum muss jetzt so schnell gehandelt werden?
Sobald eine Sicherheitslücke öffentlich bekannt und ein Update veröffentlicht ist, beginnt ein Wettlauf: Kriminelle analysieren das Update, um herauszufinden, wo genau die Schwachstelle liegt – und greifen dann alle Websites an, die noch nicht aktualisiert wurden. Laut BSI geht das heute dank KI-gestützter Werkzeuge innerhalb weniger Stunden.
Genau das ist hier die Lage:
- Die Updates sind seit dem 21. Oktober veröffentlicht – und damit auch die technischen Details.
- Ein Angriffsbeispiel (ein sogenannter „Proof of Concept“) ist bereits öffentlich verfügbar.
- Das BSI rechnet ausdrücklich mit einer kurzfristigen Ausnutzung bei nicht aktualisierten Systemen.
- Einige Betreiber haben ihre Server vorsorglich sogar vom Internet getrennt – deshalb waren in Deutschland zeitweise verschiedene Websites nicht erreichbar.
Hinzu kommt: Es gibt keine zuverlässige Notlösung. Zusätzliche Schutzfilter (sogenannte Web Application Firewalls) und Konfigurationsanpassungen können Angriffe erschweren, aber nicht sicher verhindern. Wirklich schützt laut BSI nur eines: das Sicherheitsupdate einspielen.
Reicht es, WordPress oder das Shopsystem zu aktualisieren?
Nein – und das ist ein wichtiger Punkt. Die Lücke steckt nicht in WordPress, TYPO3 oder Ihrem Shop, sondern eine Ebene tiefer, im PHP-Fundament auf dem Server. Ein Update der Website-Software allein schließt die Lücke daher nicht. Aktualisiert werden muss PHP selbst – das ist Aufgabe desjenigen, der den Server betreibt.
Wer noch eine sehr alte PHP-Version einsetzt, sollte die Gelegenheit außerdem nutzen, grundsätzlich auf eine aktuelle Version umzusteigen. Alle Versionen vor PHP 8.2 erhalten offiziell keine regulären Sicherheitsupdates mehr, und auch PHP 8.2 wird nur noch bis Jahresende unterstützt.
Was sollten Sie als Website-Betreiber jetzt tun?
- Fragen Sie nach: Klären Sie mit Ihrem Hoster oder Ihrer Agentur, ob PHP auf Ihrem Server bereits aktualisiert wurde.
- Nicht abwarten: Je länger ein System ungepatcht bleibt, desto größer das Risiko. Hier zählen Stunden, nicht Wochen.
- Auf Auffälligkeiten achten: Ungewöhnliche Inhalte, neue Benutzerkonten oder plötzliche Warnmeldungen im Browser sollten Sie sofort melden.
- Alte Systeme modernisieren: Websites, die auf veralteten PHP-Versionen laufen, sind auch künftig ein Risiko.
Unsere Kunden sind bereits informiert
Als Agentur und Hosting-Partner beobachten wir Sicherheitswarnungen wie diese laufend. Alle unsere Kunden wurden bereits persönlich über die Sicherheitslücke informiert, und das weitere Vorgehen wurde individuell mit ihnen abgestimmt. Wenn Sie Kunde bei uns sind, müssen Sie nichts weiter unternehmen – wir melden uns bei Ihnen, sobald es Neuigkeiten gibt.
Sie sind (noch) nicht Kunde bei uns, betreiben aber eine PHP-basierte Website und sind unsicher, ob Ihr System geschützt ist? Sprechen Sie uns an – wir helfen Ihnen schnell und unkompliziert bei der Einschätzung.