PHP2Shell: Kritische Sicherheitslücken gefährden Webseiten und Onlineshops

In der weitverbreiteten Programmiersprache PHP sind zwei kritische Sicherheitslücken bekannt geworden. Die Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 werden unter dem Namen „PHP2Shell“ zusammengefasst. Beide wurden mit einem Schweregrad von 9,2 auf der zehnstufigen CVSS-v4.0-Skala bewertet. Angreifer könnten die Sicherheitslücken ausnutzen, um aus der Ferne Schadcode auf betroffenen Webservern auszuführen und möglicherweise die Kontrolle über diese zu übernehmen.
PHP wird weltweit für den Betrieb von Webseiten, Onlineshops und Webanwendungen eingesetzt. Betroffen sein könnten deshalb unter anderem Server, auf denen Content-Management-Systeme wie WordPress, Joomla oder Drupal sowie Shopsysteme wie Magento oder Shopware laufen. Die Schwachstellen befinden sich nach bisherigen Erkenntnissen in PHP selbst und nicht unmittelbar in den genannten Anwendungen. Daher reicht es möglicherweise nicht aus, ausschließlich die jeweilige Webseite oder deren Erweiterungen zu aktualisieren.
Die Sicherheitslücken ermöglichen nach bisherigen Berichten eine sogenannte Remote Code Execution (RCE). Dabei können Angreifer unter bestimmten Voraussetzungen eigene Befehle auf einem fremden Server ausführen, möglicherweise ohne sich zuvor anmelden zu müssen. Dies könnte dazu führen, dass vertrauliche Informationen und Kundendaten gestohlen, Webseiten manipuliert oder Schadprogramme installiert werden. Auch eine vollständige Übernahme betroffener Server ist denkbar.
Das PHP-Entwicklungsteam hat für den 21. Oktober 2026 um 16:00 Uhr deutscher Zeit außerplanmäßige Sicherheitsupdates angekündigt. Betreiber:innen von Webseiten und Webanwendungen sollten sich darauf vorbereiten, diese unmittelbar nach ihrer Veröffentlichung einzuspielen. Bislang liegen keine bestätigten Berichte über eine aktive Ausnutzung der beiden Sicherheitslücken bei realen Angriffen vor. Aufgrund der bereits bekannt gewordenen Informationen besteht jedoch die Gefahr, dass Cyberkriminelle zeitnah entsprechende Angriffe entwickeln.
SiBa empfiehlt
-
PHP-Versionen und Updates überprüfen: Betreiber:innen von Webseiten und Onlineshops sollten prüfen, welche PHP-Versionen ihre Systeme verwenden, und die angekündigten Sicherheitsupdates schnellstmöglich installieren. Bei externem Hosting sollte der Hostinganbieter kontaktiert werden.
-
Server auf verdächtige Aktivitäten kontrollieren: Ungewöhnliche Prozesse, unbekannte Dateien, auffällige Zugriffe und unerwartete Änderungen an Webseiten können auf einen Angriff hinweisen. Bei einem Verdacht sollten IT-Fachleute hinzugezogen werden.
-
Zugriffsrechte begrenzen: Webserver und PHP-Anwendungen sollten nur die Berechtigungen erhalten, die sie tatsächlich benötigen. Nicht benötigte Dienste und öffentlich erreichbare Verwaltungszugänge sollten deaktiviert oder eingeschränkt werden.
-
Datensicherungen erstellen: Regelmäßige, vom Produktivsystem getrennte Backups erleichtern die Wiederherstellung nach einem erfolgreichen Angriff. Wichtig ist außerdem, die Wiederherstellbarkeit der Sicherungen zu überprüfen.
Wer kann mir helfen
Wie schütze ich mich?
Kontaktieren Sie uns
Kontaktieren Sie uns für
Ihre Anfrage gerne unter:
(0) 30 767581-500
Presseanfragen richten
Sie bitte an:
(0) 30 767581-514
Postanschrift
Deutschland sicher im Netz e.V.
Albrechtstraße 10c 10117 Berlin
