PHP2Shell-Sicherheitslücke: Checkliste für Unternehmen mit PHP

Am 21. Oktober 2026 haben zwei Sicherheitslücken in der Skriptsprache PHP für Aufregung gesorgt. Die PHP2Shell-Sicherheitslücke betrifft potenziell jedes Unternehmen mit Website oder webbasierter Software. Laut t3n gingen weltweit zahlreiche Websites vorsorglich vom Netz. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab eine Cybersicherheitswarnung der Stufe „3 / Orange“ heraus. Auch wenn Sie selbst keinen Server betreiben, kann das Thema Sie treffen: Website, Kundenportal, Intranet oder webbasierte Business-Software laufen häufig auf PHP.

Was ist PHP2Shell? Das ist passiert

Unter dem Namen „PHP2Shell“ werden zwei Schwachstellen im PHP-Kern zusammengefasst. Sie tragen laut ORF die Kennungen CVE-2026-109618 und CVE-2026-109619. Nach Angaben des BSI können Angreifer ohne Anmeldung und ohne Zutun von Nutzern aus der Ferne Schadcode auf Webservern ausführen. Der Name soll an die Ähnlichkeit zur Log4Shell-Lücke erinnern (siehe BSI-Warnung als PDF).

Welche PHP-Versionen und Programme sind betroffen?

Nach der Einschätzung des BSI sind alle bekannten PHP-Versionen betroffen, mindestens zurück bis PHP 5. Als Beispiele für PHP-basierte Projekte nennt das BSI unter anderem WordPress, Drupal, TYPO3, Joomla, Magento und Nextcloud. Die Patches erschienen am 21.10.2026 um 16 Uhr deutscher Zeit. Das BSI hielt eine breite Ausnutzung innerhalb weniger Stunden danach für wahrscheinlich, auch weil KI-gestützte Werkzeuge die Entwicklung von Angriffscode beschleunigen.

Wie belastbar sind die Informationen zur PHP-Lücke?

Maßgeblich dafür ist die jeweils aktuelle Fassung der BSI-Warnung. Zum Stand der Ausnutzung gibt es unterschiedliche Aussagen: Eine frühe BSI-Fassung sprach laut dr-dsgvo.de von einem öffentlichen Proof of Concept und noch keiner bestätigten Ausnutzung. Eine Quellenangabe im BSI-Dokument verweist dagegen auf einen Bericht, wonach Angriffe schon vor den Patches begannen. Planen Sie daher vorsichtshalber so, als könnte Ihr System bereits Ziel gewesen sein.

Was bedeutet die PHP-Sicherheitslücke für kleine und mittlere Unternehmen?

Die meisten KMU betreiben PHP nicht selbst. Es steckt in der Firmenwebsite, im Onlineshop, im CMS oder in gemieteter Software. Damit liegen die Updates oft bei Dritten: Hoster, Agentur oder Softwareanbieter. Ihre Aufgabe als Inhaber oder Büroleitung ist es, die Verantwortung zu klären und sich das Ergebnis bestätigen zu lassen.

Wichtig: Laut drohnen.de geht es darum, PHP-Umgebungen zu identifizieren, passende Korrekturen einzuspielen oder vom Hoster bestätigen zu lassen und die tatsächlich laufende Anwendung zu prüfen. Das BSI betont zudem, dass das Aktualisieren der Anwendung allein nicht genügt. Entscheidend ist die PHP-Version auf dem Server.

Drohen Meldepflichten nach der DSGVO?

Kommt es zu einer Übernahme, stehen schnell Kunden- und Personaldaten im Raum. Dann können Meldepflichten nach der DSGVO relevant werden. Das ist ein Fall für Ihre Datenschutzbeauftragten oder Ihre Rechtsberatung.

Was sollten Sie jetzt tun? Checkliste gegen PHP2Shell

1. Bestandsaufnahme: Listen Sie alles auf, was webbasiert läuft: Website, Shop, Intranet, Dokumentenablage (z. B. Nextcloud), Zeiterfassung, Personal- und Abrechnungssoftware. Notieren Sie, wer jeweils Betreiber ist.
2. Hoster und Anbieter schriftlich fragen: Welche PHP-Version läuft? Wurde das Sicherheitsupdate vom 21. Oktober oder neuer eingespielt? Seit wann? Bitten Sie um eine schriftliche Bestätigung.
3. Eigene Server selbst aktualisieren: Wer PHP selbst betreibt, spielt die Updates der Hersteller bzw. Distribution ein. Das BSI rät generell zu aktueller Software und automatischen Updates.
4. Dienste neu starten lassen: Fragen Sie nach, ob PHP-Prozesse und Webserver nach dem Update neu gestartet wurden, damit der laufende Betrieb die gepatchte Version tatsächlich nutzt. Das ist eine allgemeine Praxisempfehlung, keine Aussage aus den Quellen.
5. Auf Anzeichen eines Angriffs prüfen: Achten Sie auf unbekannte Dateien im Webverzeichnis, neue Benutzerkonten, ungewöhnliche Last oder auffällige Logeinträge. Bedenken Sie: Solche Auffälligkeiten sind Hinweise für eine Untersuchung, keine Diagnose. Beauftragen Sie im Verdachtsfall IT-Forensiker.
6. Notfallplan: Das BSI riet im Zweifel dazu, ungeschützte Webserver vorübergehend vom Internet zu trennen, solange kein Patch möglich ist. Klären Sie, wer das bei Ihnen entscheiden darf.
7. Auch Nebensysteme beachten: Das BSI nennt unter anderem Firewall-Systeme wie pfSense und OPNsense als betroffene PHP-Projekte. Fragen Sie auch Ihren IT-Dienstleister nach Netzwerkgeräten und NAS-Systemen.
8. Dokumentieren: Halten Sie Rückfragen, Antworten und Zeitpunkte fest. Das hilft bei Audits und im Streitfall.

Warum ein gepflegter Softwareanbieter den Unterschied macht

Die Lage zeigt, wie schnell aus einer Fachmeldung ein Betriebsrisiko wird. Wer Personaldaten in Software hält, die ein Anbieter professionell betreibt, patcht und überwacht, hat bei solchen Vorfällen weniger Arbeit. Wichtig ist, dass der Anbieter transparent Auskunft gibt. Das gilt auch für webbasierte Zeiterfassung wie FlexStaff: Fragen Sie jeden Anbieter, nicht nur uns, nach Patchstand und Vorgehen.

Fazit: PHP2Shell ernst nehmen, aber gezielt handeln

PHP2Shell ist eine ernste Warnung, aber die Aufgabe ist überschaubar: Systeme identifizieren, Updates bestätigen lassen, Neustarts und Auffälligkeiten prüfen. Handeln Sie zeitnah und ziehen Sie bei Unsicherheit IT-Fachleute hinzu. Dieser Beitrag ersetzt keine Rechts- oder IT-Sicherheitsberatung im Einzelfall. Prüfen Sie außerdem die aktuelle BSI-Warnung, da sich die Lage weiterentwickeln kann.