Warnung: Kritische PHP-Lücken gefährden Websites, Onlineshops und Kundenportale
Zwei kritische Schwachstellen in PHP könnten Angreifern die Übernahme von Webservern erlauben. Das Update kommt am 21. Oktober 2026. So klären Sie, ob Ihre Website betroffen ist.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei kritischen Schwachstellen in PHP. PHP ist eine Programmiersprache, mit der sehr viele Websites, Onlineshops, Buchungsformulare und Kundenportale betrieben werden. Betroffen sind Sie, wenn Ihr Unternehmen eine solche Webanwendung betreibt, egal ob sie bei einem Hoster liegt, von einer Webagentur betreut wird oder auf einem eigenen Server läuft.
Was über die Schwachstellen bekannt ist
Die PHP-Entwickler haben angekündigt, Details und Korrekturen zu den beiden Lücken am 21. Oktober 2026 um 16 Uhr deutscher Zeit zu veröffentlichen. Bis dahin sind nur wenige Einzelheiten bekannt. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und wurden mit 9.2 von 10 Punkten bewertet.
Nach Einschätzung des BSI könnten Angreifer über diese Lücken aus der Ferne eigenen Schadcode auf Webservern ausführen. Dafür bräuchten sie weder ein Benutzerkonto noch müsste jemand auf einen Link klicken. In Berichten werden die Lücken bereits als „PHP2Shell“ bezeichnet, in Anlehnung an die bekannte Schwachstelle Log4Shell.
Bestätigte Angriffe sind laut BSI bisher nicht bekannt. Es gibt aber unbestätigte Berichte, dass bereits Angriffswerkzeuge existieren. Das BSI empfiehlt, das Update sofort nach Veröffentlichung einzuspielen.
Warum Sie als Inhaber nachfragen sollten
Um die Website kümmert sich in vielen Büros jemand anderes als um die Arbeitsplätze: ein Hoster, eine Agentur oder ein Freiberufler. Ob dort PHP zeitnah aktualisiert wird, ist oft nicht klar geregelt. Eine übernommene Website kann genutzt werden, um Schadsoftware an Besucher zu verteilen, Formulardaten von Kunden abzugreifen oder Ihr Unternehmen in einem schlechten Licht dastehen zu lassen.
Das empfehle ich jetzt
- Klären Sie, welche Webanwendungen Ihr Unternehmen betreibt: Website, Onlineshop, Terminbuchung, Kundenportal oder interne Webanwendungen.
- Notieren Sie für jede Anwendung, wer sie technisch betreut und wo sie gehostet wird.
- Schreiben Sie den Verantwortlichen heute noch eine kurze Nachricht. Fragen Sie konkret, ob PHP im Einsatz ist und ob das Update am 21. Oktober 2026 direkt nach Veröffentlichung eingespielt wird.
- Lassen Sie sich die Installation anschließend schriftlich bestätigen, mit Datum.
- Bei Hosting-Paketen mit eigener Verwaltungsoberfläche prüfen Sie, ob Sie die PHP-Version selbst auswählen können und ob Ihr Anbieter Hinweise zum Update veröffentlicht.
- Wenn niemand mehr für eine ältere Website zuständig ist, sollten Sie diese vorübergehend abschalten lassen, bis die Frage geklärt ist.
Fällt Ihnen nach dem 21. Oktober Ungewöhnliches auf, etwa veränderte Inhalte, unbekannte Weiterleitungen oder Warnmeldungen des Browsers beim Aufruf Ihrer Seite, finden Sie Sofortmaßnahmen auf meiner Notfall-Seite.
Wenn Sie unsicher sind, welche Webanwendungen bei Ihnen laufen und wer dafür zuständig ist, sprechen Sie mich an.