PHP2Shell: Was passiert ist und was Sie jetzt tun sollten
Zwei kritische Schwachstellen in PHP zwangen tausende Websites am 21. Oktober 2026 offline. Was passiert ist und welche Schritte jetzt wichtig sind.
Am Morgen des 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP bekannt, bevor ein Fix bereitstand. Innerhalb weniger Stunden nahmen Behörden, Krankenhäuser, Fußballvereine, Medienunternehmen und Universitäten in den Niederlanden und Belgien ihre Websites offline. DigiD war nicht mehr erreichbar. Das NCSC, das nationale Cybersicherheitszentrum der Niederlande, nahm sogar die eigene Website als Vorsichtsmaßnahme offline.
Hier ist, was passiert ist und was das für Sie bedeutet.
Was ist PHP?
PHP ist die Programmiersprache, die den serverseitigen Code von rund 70 Prozent aller Websites antreibt. Jede WordPress-, Drupal-, Joomla- und TYPO3-Website läuft darauf. Viele individuell entwickelte Web-Anwendungen ebenfalls. PHP existiert seit 1995 und ist trotz seines Alters das Rückgrat eines Großteils des Webs.
Die Schwachstelle
Zwei Schwachstellen, CVE-2026-109618 und CVE-2026-109619, erhielten einen Schweregrad von 9,2 von 10 auf der Standard-Schweregradskala. Sicherheitsforscher nannten sie „PHP2Shell".
Die Lücke ermöglicht es einem Angreifer, beliebigen Code über das Internet auf Ihrem Server auszuführen, ohne Benutzernamen oder Passwort. Betroffen sind alle PHP-Versionen ab PHP 5, also praktisch jede PHP-Version, die je veröffentlicht wurde.
Die PHP Foundation stellte am 21. Oktober um 16:00 Uhr einen Patch bereit, jedoch nur für PHP 8.x. Ältere Versionen (PHP 7, PHP 5) haben ihr Lebensende erreicht und erhalten keinen Fix mehr.
Was sollten Sie tun?
- Stellen Sie fest, ob Ihre Website PHP verwendet. Fragen Sie Ihren Hosting-Anbieter oder Web-Dienstleister. WordPress, Drupal, Joomla und TYPO3 laufen alle auf PHP.
- Aktualisieren Sie PHP. Melden Sie sich in Ihrem Hosting-Kontrollpanel an (cPanel, Plesk oder ähnliches) und suchen Sie nach einer PHP-Versionseinstellung. Aktualisieren Sie auf die neueste PHP-8.x-Version. Wenn Sie das nicht selbst erledigen können, kontaktieren Sie noch heute Ihren Hosting-Anbieter und bitten Sie um ein Update.
- Wenn Sie noch PHP 7 oder PHP 5 verwenden, behandeln Sie das als dringend. Für diese Versionen wird kein Patch erscheinen. Ein Upgrade auf PHP 8 erfordert Tests Ihrer Website. Wenn Ihre Website sensible Daten verarbeitet, erwägen Sie, sie vorübergehend offline zu nehmen, bis das Upgrade abgeschlossen ist.
-
Überprüfen Sie die Version nach dem Update. Die meisten
Hosting-Panels zeigen die aktuelle PHP-Version an. Alternativ: Wenn Ihr Server einen
X-Powered-By: PHP/8.x.y-Response-Header sendet, prüfen Sie, ob die Versionsnummer der neuesten Version entspricht.
Wie erkennt Noroshi das?
Viele Webserver geben die PHP-Version im X-Powered-By-Response-Header aus,
zum Beispiel X-Powered-By: PHP/8.2.27. Noroshi liest diesen Header bei
jedem Scan und vergleicht die erkannte Version mit unserer Schwachstellendatenbank, die
täglich von CIRCL, dem EU-betriebenen Schwachstellen-Intelligence-Dienst,
synchronisiert wird.
Stimmt die Version mit einer bekannten CVE überein, erscheint in Ihrem Dashboard ein Befund mit der genauen Version, dem CVE-Bezeichner und einer Schritt-für-Schritt-Anleitung zur Behebung. Sobald CVE-2026-109618 und CVE-2026-109619 indexiert sind, erscheint der Befund bei jeder überwachten Domain, deren Server eine verwundbare PHP-Version ausgibt, beim nächsten Scan.
Das ist vollständig passiv: Wir lesen die Informationen, die Ihr Server mit jeder Seitenanfrage sendet. Wir führen keine Exploit-Versuche durch und senden keine Payloads jeglicher Art.
Falls Ihr Server die PHP-Version nicht in seinen Response-Headern preisgibt, was an sich gute Praxis ist, können wir das auf diesem Weg nicht erkennen, und es wird kein Befund ausgelöst.
Der größere Zusammenhang
PHP2Shell erinnert uns an eine grundlegende Wahrheit: Die Software, auf der Ihre Website läuft, ist auch das Ziel von Angreifern. Solche Schwachstellen werden regelmäßig entdeckt, und Angreifer handeln schnell, sobald eine Lücke veröffentlicht wird.
Sie können nicht verhindern, dass Schwachstellen entdeckt werden. Sie können wählen, schnell davon zu erfahren und zu handeln, bevor ein Angreifer es tut.
Geschrieben von David Hildering, dem Entwickler hinter Noroshi. Mehr über Noroshi.