PHP-Sicherheitslücke: Ist deine Firmenwebsite betroffen?

Das BSI ruft in seiner Warnung vom 21. Oktober 2026 dazu auf, die Sicherheitsupdates für PHP umgehend einzuspielen. Die Behörde rechnet mit einer kurzfristigen, großflächigen Ausnutzung. heise berichtet am selben Tag, dass die Fehler Angriffe ohne vorherige Anmeldung ermöglichen können und nur die Updates die Lücken vollständig schließen. Für dich als Website-Verantwortlichen heißt das: Lass jetzt den Sicherheitsstand bestätigen, statt bis zur nächsten Inhaltsänderung zu warten.

Du musst dafür weder programmieren noch selbst am Server schrauben. Du brauchst einen zuständigen Ansprechpartner und dessen Bestätigung für deine Website. Ob sie tatsächlich betroffen oder bereits abgesichert ist, lässt sich aus der allgemeinen Warnung nicht ablesen.

Stand: 22. Oktober 2026. Verantwortlich: Dennis Hüttner, Waterproof Web Wizard GmbH.

PHP steckt unter dem Redaktionssystem

PHP ist Technik auf dem Rechner, der deine Website ausliefert. Viele Websites mit WordPress, TYPO3 oder Neos nutzen sie im Hintergrund. Im Redaktionssystem pflegst du Texte und Bilder. PHP sorgt dafür, dass die dafür nötigen Programme laufen.

Das ist wie bei einem Haus: Die Einrichtung und die Haustechnik haben unterschiedliche Aufgaben. Ein neues Sofa repariert keine Stromleitung. Ebenso ersetzt ein Update deines Redaktionssystems kein Sicherheitsupdate für PHP.

Die unter dem Namen PHP2Shell zusammengefassten Fehler sitzen in dieser technischen Grundlage. Laut der Sicherheitsmeldung des PHP-Projekts kann ein Angreifer darüber unter bestimmten Bedingungen fremde Programme auf dem Server ausführen. Das kann Dateien und Daten gefährden, auf die das Website-Programm zugreifen darf. Es bedeutet nicht automatisch, dass der gesamte Server übernommen wurde. Die technischen Originalbelege stehen im Abschnitt für deinen Betreuer weiter unten.

Wer das Update übernimmt

Der Hoster stellt den Speicherplatz und die technische Umgebung deiner Website bereit. Bei verwalteten Hostingpaketen liefert er meist auch die PHP-Updates. Bei selbst verwalteten Servern übernimmt das die zuständige Administration. Welche Aufgabe dein Website-Betreuer hat, hängt vom Hosting- und Wartungsvertrag ab.

Wenn du Projekte koordinierst, brauchst du deshalb eine benannte Person, die die Rückmeldung einholt. Wenn du Marketing verantwortest, lass nach Änderungen die wichtigen Kontaktformulare prüfen. Als Geschäftsführer musst du keinen technischen Lösungsweg vorgeben: Kläre die Zuständigkeit und lass dir den Abschluss bestätigen.

Eine allgemeine Meldung wie „Unser Hosting ist aktualisiert“ reicht nur dann, wenn sie nachweislich dein Produkt und deine Website einschließt.

Sicherheitsupdate heißt nicht automatisch Website-Umbau

Ein Sicherheitsupdate repariert bekannte Fehler innerhalb der verwendeten PHP-Reihe. Das PHP-Projekt hat dafür für jede unterstützte Reihe eine korrigierte Version veröffentlicht. Dafür ist nicht grundsätzlich ein Wechsel auf die neueste Reihe nötig. Ein größerer Versionswechsel ist eine eigene Aufgabe: Der Betreuer muss prüfen, ob dein Redaktionssystem und seine Erweiterungen damit funktionieren.

Manche Anbieter bauen die Reparatur in eine ältere PHP-Version ein. Das heißt Backport. Wie bei einem Ersatzteil bleibt das Modell dasselbe, obwohl der Fehler behoben ist. Die angezeigte Grundversion kann deshalb unverändert aussehen. Lass dir dann bestätigen, dass die Korrektur für beide PHP2Shell-Lücken enthalten ist und auf deiner Website läuft.

Eine ältere Nummer bedeutet also nicht automatisch „ungeschützt“. Sie ist aber auch kein Grund für Entwarnung. Es zählt der konkrete Nachweis des Anbieters.

Was unsere ersten Statusprüfungen zeigen

Unsere lesenden Statusprüfungen haben begonnen. Dafür haben wir ausgewählte eigene Projekte und betreute Websites geprüft. Dabei haben wir verfügbare PHP-Stände und vorhandene Einstellungen abgeglichen, ohne Änderungen vorzunehmen oder Angriffe zu testen.

Bei diesen ersten Prüfungen lagen angezeigte Versionsstände unter den offiziell korrigierten Versionen. Ob der Anbieter die Reparatur bereits als Backport eingebaut hatte, war damit nicht belegt. Teilweise ließ sich auch die tatsächlich für die Website verwendete PHP-Version nicht direkt feststellen. Der Status blieb deshalb offen.

Das ist keine Liste gehackter Websites und keine abgeschlossene Absicherung. Die Beobachtung gilt nur für den geprüften Ausschnitt. Sie zeigt, warum wir fehlende Bestätigungen klären müssen, bevor wir eine Website wegen ihrer Versionsnummer als sicher oder unsicher einstufen.

Diese Nachricht kannst du an deinen Hoster schicken

Bitte bestätigt uns den PHP-Sicherheitsstatus unserer Website. Sind beide PHP2Shell-Lücken, CVE-2026-109618 und CVE-2026-109619, in der tatsächlich laufenden PHP-Umgebung behoben? Welche Paket- oder Buildversion belegt das, und seit wann ist die Korrektur aktiv? Falls die Behebung noch aussteht: Wer übernimmt sie und was ist der nächste Schritt?

Ergänze beim Versand deine Website-Adresse. Die beiden Kennungen sind die eindeutigen Namen der Lücken, damit der Support genau weiß, welche Korrekturen du meinst. Du musst die Paketnummer nicht selbst bewerten. Bitte um eine ausdrückliche Bestätigung, dass beide Fehler für deine Website behoben sind. Eine Antwort wie „Wir aktualisieren regelmäßig“ lässt diese Frage offen.

Vor einer Änderung klärt der technische Betreuer die Sicherung und den Wiederherstellungsweg. Danach lässt du den aktiven Sicherheitsstand bestätigen und Anmeldung sowie wichtige Formulare testen. Fehlt ein Update, muss die Administration geeignete Übergangsmaßnahmen prüfen. Eine pauschale Abschaltung aller Websites folgt aus der Warnung nicht.

Gibt es Hinweise auf einen Einbruch, lass das zusätzlich untersuchen. Ein Update schließt die Lücke, zeigt aber nicht, ob vorher jemand Zugriff hatte.

Du kannst selbst nachfragen oder uns einbeziehen

Selbst mit dem Hoster klären: Nutze die Nachricht oben und lass dir die Antwort für deine konkrete Website geben. Wenn die Antwort unklar bleibt, bitte um den fehlenden Nachweis.

Unterstützung oder Status anfragen: Waterproof hilft Website-Verantwortlichen, den PHP-Sicherheitsstatus ihrer Website zu klären. Für die erste Zuordnung brauchen wir die Website-Adresse und deinen Kontakt, keine Passwörter.

PHP-Status deiner Website anfragen

Ob Prüfung und Update in deiner Wartung enthalten sind, hängt vom Vertrag ab. Weitergehende Arbeiten klären wir nach Angebot und Freigabe. Eine Statusanfrage ist kein pauschaler Auftrag für einen größeren Versionswechsel. Die laufende Website-Betreuung ist davon getrennt beschrieben.

Technische Belege zum Weitergeben an deinen Betreuer

Das PHP-Projekt nennt in seiner Sicherheitsmeldung vom 21. Oktober 2026 folgende erste korrigierte Versionen für beide Lücken:

Diese Tabelle gilt für die offiziellen PHP-Versionen. Herstellerpakete mit Backports brauchen den Nachweis für die konkrete Paketrevision. Das PHP-Projekt verweist in derselben Meldung auf Anbieterpakete und stellt auch minimale Quellcode-Korrekturen für einzelne ältere Reihen bereit. Das ist keine Wiederaufnahme ihres regulären Supports.

Die Originalbeschreibungen stehen in den PHP-Advisories zu CVE-2026-109618 und CVE-2026-109619. Sie beschreiben Fehler im Umgang mit internem Speicher und zurückbleibenden Zuständen zwischen Anfragen. Bestätigt ist Codeausführung mit den Rechten des Web-Prozesses. Die praktische Ausnutzbarkeit hängt vom jeweiligen Betrieb und Angriffspfad ab.

Laut PHP-Sicherheitsmeldung gilt der Updateaufruf für PHP-Installationen, die Webanfragen verarbeiten. Das höchste demonstrierte Risiko sieht das Projekt bei Apache mit mod_php. Andere Betriebsarten sind nicht pauschal ausgenommen. Konfigurationsänderungen begrenzen nur bestimmte Angriffspfade und ersetzen das Update nicht.

Eine reine Kommandozeilenabfrage belegt nicht den Stand einer Domain: PHP kann je nach Betriebsart unterschiedliche Konfigurationen laden. Der Betreuer muss die tatsächlich laufende Web-Umgebung zuordnen und nach dem Update prüfen.

OpenAI beschreibt am 21. Oktober 2026 die koordinierte Offenlegung und die Beteiligung KI-gestützter Forschung. Das ist Hintergrund zur Entdeckung, kein Nachweis eines Angriffs auf eine konkrete Website.

#

• BSI, Pressemitteilung 21.10.2026. bsi.bund.de
• heise, 21.10.2026. heise.de
• PHP-Projekt, Security advisory 21.10.2026. php.net
• GHSA-w8hw-w9fx-j79w. github.com
• GHSA-6wmf-4rv5-p3rp. github.com
• PHP-Handbuch Konfiguration. php.net
• OpenAI, 21.10.2026. openai.com