„PHP2Shell“: Warum heute in Europa Websites vorsorglich vom Netz gehen – und was das für Ihr Unternehmen bedeutet

Am Dienstag hat das Sicherheitsteam der Programmiersprache PHP eine knappe Vorwarnung veröffentlicht: Am Mittwoch, 21. Oktober 2026, um 16 Uhr deutscher Zeit erscheinen Updates für zwei kritische Schwachstellen. Mehr stand nicht drin – keine Details, keine betroffenen Versionen. Trotzdem haben am Mittwochvormittag Behörden, Universitäten und Unternehmen in mehreren Ländern ihre Websites vorsorglich abgeschaltet, darunter das niederländische Bürgerportal DigiD und die Website des niederländischen Parlaments.

Das klingt nach Überreaktion. Ist es nicht. PHP ist laut BSI einer der zentralen Bausteine von Webanwendungen weltweit – und steckt sehr wahrscheinlich auch irgendwo in Ihrem Unternehmen, oft an Stellen, an die niemand denkt. Wir fassen zusammen, was gesichert ist, was noch offen ist und was Sie heute und in den nächsten Tagen tun sollten.

Was ist bekannt?

• Zwei Schwachstellen, beide kritisch. Laut der Ankündigung auf php.net beheben die Updates zwei Lücken, beide mit 9,2 von 10 Punkten nach CVSS 4.0 bewertet. Die Kennungen CVE-2026-109618 und CVE-2026-109619 nennt die europäische Cybersicherheitsstelle CERT-EU, wiedergegeben vom BSI. In Berichten kursiert dafür der Name „PHP2Shell“ – in Anlehnung an Log4Shell, die Java-Lücke, die Ende 2021 weltweit Notfalleinsätze auslöste.
• Codeausführung aus der Ferne, ohne Anmeldung. Technische Details hält das PHP-Team bis zur Veröffentlichung zurück. Das BSI leitet aus der Bewertung ab, dass Angreifer vermutlich Schadcode auf Webservern ausführen können – ohne Benutzerkonto und ohne dass jemand etwas anklicken muss.
• Die Informationen sind vorzeitig durchgesickert. Nach Angaben der Sicherheitsfirma watchTowr, wiedergegeben von BleepingComputer, waren Hinweise auf die Lücken schon vor dem geplanten Termin im Umlauf; ein inzwischen gelöschter Forenbeitrag nannte noch den 22. Oktober. watchTowr bestätigt, dass es sich um echte Lücken handelt, und hat nach eigener Aussage eine davon nachgestellt. Das PHP-Team behält sich vor, früher zu veröffentlichen, falls Details öffentlich werden oder Angriffe bekannt werden.
• Betroffen sind wohl sehr viele Versionen. Nach aktuellen Informationen, so das BSI unter Berufung auf CERT-EU, sind alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar. Offiziell will das PHP-Team betroffene und korrigierte Versionen erst mit dem Update nennen.
• Das BSI warnt mit Stufe Orange. Der IT-Sicherheitshinweis BITS-H Nr. 2026-297981-1032 vom 21.10.2026 (PDF) trägt Kritikalität 3 von 4 – nach BSI-Definition müssen Maßnahmen „unverzüglich“ ergriffen werden, eine massive Beeinträchtigung des Regelbetriebs ist möglich.

Was noch offen ist

Ehrlich gesagt: einiges. Zum Zeitpunkt dieses Artikels ist ungeklärt,

• ob die Lücken bereits ausgenutzt werden. Das BSI kennt nach eigener Angabe noch keine bestätigten Angriffe, aber unbestätigte Berichte über existierende Exploits. Das niederländische NCSC hat laut NOS ebenfalls noch keinen aktiven Missbrauch gesehen. Der Technikchef von Cloudflare schrieb dagegen am Mittwoch auf X, man sehe erste aufkommende Angriffe; Belege oder Umfang nannte das Unternehmen nach Angaben von Cyber Security News nicht.
• welche Versionen ein Update bekommen. Offiziell unterstützt das PHP-Projekt derzeit nur die Versionen 8.2 bis 8.5; alle älteren Versionen haben laut BSI ihr Supportende bereits erreicht, PHP 8.2 erhält nur noch bis Jahresende Sicherheitsupdates. Ob es für ältere Versionen Korrekturen gibt, steht nicht fest.
• ob es einen verlässlichen Übergangsschutz gibt. Das BSI kennt derzeit keinen Workaround, der zuverlässig schützt. Eine im Netz verbreitete Einstellung in der PHP-Konfiguration ist nach Kenntnisstand von heise unwirksam; andere Fachquellen empfehlen sie ausdrücklich nur als Notbehelf ohne Garantie. Verlassen sollten Sie sich darauf nicht.

Das BSI selbst rechnet nicht mit einer langen Schonfrist: Es hält eine breite Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich – auch weil Angreifer mit KI-Werkzeugen Updates heute sehr schnell analysieren und daraus Angriffe ableiten können. Dieselbe Einschätzung wiederholte BSI-Vizepräsident Thomas Caspers gegenüber dem Handelsblatt. Genau diese Entwicklung hatte das BSI im Juni in einer eigenen Warnung beschrieben, siehe Patches in Stunden statt Tagen.

Wer bereits vom Netz gegangen ist

CERT-EU empfiehlt laut IT-Administrator und netzwelt, betroffene, aus dem Internet erreichbare Anwendungen vom öffentlichen Netz zu trennen, wenn ein sofortiges Update nicht möglich ist. Etliche Betreiber haben das nicht abgewartet, sondern vorsorglich schon vor dem Patch gehandelt:

• Niederlande: Laut NOS waren am Mittwoch unter anderem MijnOverheid, DigiD, die Websites der Tweede Kamer, des nationalen Cybersicherheitszentrums NCSC und der Datenschutzbehörde, die Nachrichtenseite und App von RTL, das Technikportal Tweakers sowie Systeme der Nachrichtenagentur ANP nicht erreichbar. Auch Notubiz, ein Sitzungssystem, das rund hundert Gemeinden nutzen, wurde abgeschaltet, ebenso verschiedene Systeme an Hochschulen. Das NCSC hält laut NOS jedes aus dem Internet erreichbare System mit PHP für vermutlich verwundbar, solange es nicht aktualisiert ist.
• Deutschland: Laut Handelsblatt haben auch hierzulande viele Behörden und Anbieter ihre Dienste vor dem Update abgeschaltet; am Mittwoch waren demnach unter anderem die Websites der Landeshauptstadt Mainz und des Bundesinnenministeriums nicht erreichbar. Das Rechenzentrum der Universität Freiburg hat nach eigener Mitteilung mehrere zentrale Systeme bis zum Patch vom Netz genommen und Administratoren in den Instituten empfohlen, im Zweifel ebenfalls abzuschalten. Der Anbieter der Online-Rechnungssoftware easybill hat seinen Dienst laut netzwelt nach eigener Aussage vorsorglich offline genommen, mit Verweis auf eine Lücke in einer weit verbreiteten Softwarekomponente.
• International: netzwelt nennt außerdem die Wiki-Plattform wiki.gg und die Website des Spieleverlags Choice of Games.

Ein solches vorsorgliches Abschalten ist keine Panik, sondern eine bewusste Abwägung: einige Stunden ohne Website gegen das Risiko, dass ein Angreifer den Server übernimmt. Dieselbe Entscheidung haben Ende September die kommunalen Rechenzentren in Rheinland-Pfalz bei den Citrix-Lücken getroffen – mehr dazu in 194 Verwaltungen offline – und das war richtig so.

Warum das auch Ihr Unternehmen betrifft

Bei einer Lücke in WordPress weiß jeder, ob er WordPress einsetzt. Bei PHP ist das anders: Es ist die Programmiersprache unter der Anwendung. Wer sie nutzt, weiß es oft nicht. Das BSI nennt als Beispiele ausdrücklich WordPress, Drupal, TYPO3, Joomla, Magento, Nextcloud, pfSense und OPNsense – also Firmenwebsites, Webshops, Dateiablagen und sogar Firewalls. Dazu kommen Bestandteile proprietärer Produkte, bei denen PHP im Inneren steckt und erst der Hersteller eine neue Firmware liefern muss.

Typische Stellen in einem mittelständischen Unternehmen:

• Die Firmenwebsite, meist auf WordPress, TYPO3 oder Joomla, oft betreut von einer Agentur oder einem Hoster.
• Der Webshop, etwa auf Shopware, WooCommerce oder Magento.
• Eine selbst betriebene Nextcloud oder ein ähnliches Kundenportal für den Dateiaustausch.
• Die Weboberfläche der Firewall – bei pfSense und OPNsense laut BSI auf PHP-Basis.
• Webanwendungen in Docker-Containern, die laut BSI unabhängig vom Betriebssystem neu gebaut werden müssen.
• Geräte und Spezialsoftware mit Weboberfläche, bei denen Sie auf ein Update des Herstellers angewiesen sind.

Wie folgenreich eine einzige Lücke in einer Web-Software sein kann, zeigte im Juli wp2shell in WordPress – und kurz darauf der Angriff auf die Website von Nextcloud. Diesmal liegt die Lücke eine Ebene tiefer: nicht in einer Anwendung, sondern in dem, worauf all diese Anwendungen laufen.

Was Sie jetzt konkret tun sollten

• Machen Sie heute eine Liste aller PHP-Systeme, die aus dem Internet erreichbar sind. Das ist die erste Empfehlung von CERT-EU. Website, Shop, Nextcloud, Firewall-Oberfläche, Kundenportal – jeweils mit der Frage: Wer ist dafür zuständig, und wer spielt das Update ein? Wenn diese Liste schon existiert, sind Sie heute deutlich schneller. Wenn nicht, ist jetzt der Moment, sie anzulegen – siehe IT-Dokumentation: Warum sie oft fehlt und was das kostet.
• Klären Sie die Zuständigkeit für Ihre Website. Liegt sie bei einem Webhoster, aktualisiert in der Regel der Hoster PHP. Fragen Sie trotzdem nach, und prüfen Sie im Verwaltungsbereich, welche PHP-Version eingestellt ist. Wird Ihre Website von einer Agentur oder auf einem eigenen Server betrieben, klären Sie heute noch, wer das Update einspielt und wann.
• Spielen Sie die Updates unverzüglich ein, sobald sie erscheinen. Das BSI empfiehlt, den Stand danach mit php -v gegen die Angaben im PHP-Advisory abzugleichen. Achtung bei Linux-Servern: Die Distributionen liefern eigene, nachträglich korrigierte Pakete, deren Versionsnummer anders aussehen kann. Maßgeblich sind dann die Sicherheitsmeldungen von Debian, Ubuntu oder Red Hat.
• Wenn Sie nicht zeitnah patchen können: vorübergehend abschalten. Das empfehlen BSI und CERT-EU gleichermaßen. Eine Wartungsseite ist ärgerlich, ein übernommener Server ist teurer. Eine Web Application Firewall kann nach Einschätzung des BSI helfen, sofern sie passende Regeln für diese Lücken hat – ein Ersatz für das Update ist sie nicht.
• Prüfen Sie veraltete Versionen gesondert. Läuft irgendwo noch PHP 7 oder 8.0/8.1, ist offen, ob es überhaupt eine Korrektur gibt. Diese Systeme sollten Sie bis zur Klärung nicht im Internet lassen und grundsätzlich auf eine unterstützte Version umstellen.
• Fragen Sie bei Herstellern nach. Für Firewalls, Appliances und Branchensoftware mit Weboberfläche: Ist das Produkt betroffen, und wann kommt ein Update?
• Beobachten Sie die Systeme auch nach dem Patch. Das BSI rät, exponierte PHP-Server verstärkt auf Auffälligkeiten zu überwachen. Ein Update schließt die Tür, es entfernt aber niemanden, der vorher schon hereingekommen ist. Achten Sie auf unbekannte Dateien, neue Administratorkonten und ungewöhnlichen Datenverkehr.
• Halten Sie heute Abend jemanden bereit. Das Update erscheint um 16 Uhr, die ersten Angriffe erwartet das BSI wenige Stunden danach. Das BSI formuliert es so: „Organisationen sollten dringend die personellen Kapazitäten bereithalten, um unverzüglich auf die Veröffentlichung reagieren zu können.“ Grundlagen zum Thema in Patch-Management: Der unterschätzte Schutz vor Cyberangriffen.

Unser Fazit

PHP2Shell ist ein Lehrstück dafür, wie sich die Lage verschoben hat. Zwischen der ersten Warnung und dem Patch lag kaum mehr als ein Tag, und die Fachwelt rechnet mit Angriffen innerhalb weniger Stunden danach. In diesem Zeitfenster hilft nur, wer vorher weiß, welche Systeme betroffen sind, wer zuständig ist und wer entscheiden darf, einen Dienst abzuschalten.

Die Organisationen, die heute vorsorglich vom Netz gegangen sind, haben nicht übertrieben. Sie hatten einen Überblick über ihre Systeme und einen Ablauf für genau diesen Fall. Das ist keine Frage der Größe, sondern der Vorbereitung – und die lässt sich auch in einem mittelständischen Unternehmen planen.

So können wir Ihnen helfen

Bei einer Lücke wie PHP2Shell kommt es nicht auf das eine Werkzeug an, sondern darauf, dass jemand die Warnung liest, die eigenen betroffenen Systeme kennt und rechtzeitig handelt. Genau das gehört bei uns zur laufenden Betreuung.

Quellen:
• PHP – „Upcoming Critical PHP Security Release“ (PHP Security Team, 20.10.2026), zum Beitrag
• PHP – „Security advisory: Critical remote code execution vulnerabilities, update now“ (PHP Security Team, 21.10.2026), zum Beitrag
• BSI – „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“ (BITS-H Nr. 2026-297981-1032, Version 1.0, 21.10.2026), zum Beitrag
• IT-Administrator – „PHP vor dem Notfall-Update“ (Redaktion, 21.10.2026), zum Beitrag
• heise online – „Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen“ (Dr. Christopher Kunz, Oktober 2026, heise+-Artikel), zum Beitrag
• Handelsblatt – „PHP: Sicherheitslücke gefährdet Webseiten weltweit – ‚Wir sehen erste Angriffe‘“ (Stephan Scheuer, Dietmar Neuerer, 21.10.2026), zum Beitrag
• netzwelt – „Kritische PHP-Lücke: EU-Behörde warnt - erste Websites gehen aus Sicherheitsgründen offline“ (Jan Kluczniok, 21.10.2026), zum Beitrag
• BleepingComputer – „PHP warns admins of two critical flaws, emergency patches coming tomorrow“ (Lawrence Abrams, 20.10.2026), zum Beitrag
• NOS – „Websites van overheid en in onderwijs offline vanwege lek, risico op hacks“ (21.10.2026), zum Beitrag
• Universität Freiburg, Rechenzentrum – „Action taken in relation to the critical PHP vulnerability (CVE-2026-109618 and CVE-2026-109619)“ (21.10.2026), zum Beitrag
• Cyber Security News – „Cloudflare Detects Early Exploitation Attempts Targeting Two Leaked PHP Vulnerabilities“ (Guru Baran, 21.10.2026), zum Beitrag
• Sansec – „Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619“ (Sansec Forensics Team, 21.10.2026), zum Beitrag
Die genannten Quellen wurden eigenständig ausgewertet und für Unternehmen in Deutschland eingeordnet.