Kritische PHP-Sicherheitslücke „PHP2Shell“:

Jetzt handeln und Website absichern

Zwei kritische Sicherheitslücken im PHP-Kern gefährden zahlreiche Websites. Angreifer können unter bestimmten Voraussetzungen ohne Anmeldung eigenen Code auf einem Server ausführen. Betreiber sollten ihre PHP-Version umgehend überprüfen und verfügbare Sicherheitsupdates installieren.

Was ist PHP2Shell?

Unter der Bezeichnung PHP2Shell wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP veröffentlicht. Betroffen ist nicht nur eine bestimmte Website-Software, sondern die PHP-Laufzeitumgebung selbst. Diese bildet die technische Grundlage für zahlreiche Content-Management-Systeme, Online-Shops und individuelle Webanwendungen.

Dazu gehören beispielsweise TYPO3, WordPress, Joomla und viele Shop-Systeme.

Die Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Sie können es Angreifern ermöglichen, speziell präparierte Anfragen an einen verwundbaren Server zu senden und darüber Schadcode auszuführen – unter Umständen, ohne sich vorher anmelden zu müssen.

Die möglichen Folgen sind erheblich: Unbefugter Zugriff auf Daten, die Manipulation von Website-Inhalten, die Installation weiterer Schadsoftware oder die Beeinträchtigung des gesamten Servers können nicht ausgeschlossen werden.

Die Sicherheitslücken wurden am 21. Oktober 2026 öffentlich bekannt gemacht. Erste Angriffsaktivitäten wurden bereits gemeldet. Deshalb sollten Website-Betreiber nicht abwarten, sondern ihre Systeme zeitnah überprüfen lassen.

Welche PHP-Versionen sind betroffen?

Die Sicherheitslücken betreffen zahlreiche PHP-Versionen. Für die aktuell unterstützten Versionszweige wurden Sicherheitsupdates veröffentlicht.

Die PHP-Entwickler nennen folgende korrigierte Versionen:

- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35

Entscheidend ist, dass eine Version mit den entsprechenden Sicherheitskorrekturen eingesetzt wird. Bei PHP 8.1 und älteren Versionen ist besondere Vorsicht geboten: Diese werden vom PHP-Projekt grundsätzlich nicht mehr regulär mit Sicherheitsupdates versorgt. Je nach Betriebssystem oder Hosting-Anbieter können allerdings gesonderte Sicherheitskorrekturen bereitgestellt werden.

Wichtig: Ein Update auf eine beliebige neuere Versionsnummer reicht nicht zwangsläufig aus. Die eingesetzte Version muss die konkreten Sicherheitskorrekturen enthalten und mit der verwendeten Website-Software kompatibel sein.

Warum ein PHP-Update allein nicht immer genügt

PHP ist nur ein Teil einer sicheren Website. Ebenso wichtig sind ein aktuelles Content-Management-System, gepflegte Erweiterungen und Plugins sowie eine geeignete Serverkonfiguration.

Gerade bei TYPO3 sollten Betreiber darauf achten, dass sowohl der TYPO3-Core als auch sämtliche verwendeten Extensions regelmäßig aktualisiert werden. Veraltete Installationen können bekannte Sicherheitslücken enthalten und dadurch zusätzliche Angriffsmöglichkeiten eröffnen.

Bei einem Versionswechsel müssen außerdem die technischen Anforderungen der Website berücksichtigt werden. Nicht jede ältere TYPO3-Version, Extension oder individuelle Programmierung ist mit jeder aktuellen PHP-Version kompatibel.

Ein unvorbereiteter Wechsel kann deshalb zu Fehlfunktionen führen. Ein professionell geplantes Update umfasst die Prüfung der bestehenden Installation, die Auswahl einer kompatiblen Zielversion und anschließende Funktionstests.

Wir unterstützen Sie bei der Absicherung Ihrer Website

Sie wissen nicht, welche PHP-Version auf Ihrem Server läuft? Ihre TYPO3-Installation ist schon länger nicht aktualisiert worden? Oder Sie möchten sicherstellen, dass Ihre Website weiterhin zuverlässig und sicher betrieben werden kann?

Wir unterstützen Sie dabei, den aktuellen Stand Ihrer Installation zu prüfen und notwendige Maßnahmen umzusetzen.

Unser Leistungsangebot umfasst unter anderem:

PHP-Version prüfen: Wir ermitteln, welche Version Ihre Website verwendet und ob Handlungsbedarf besteht.
Sicherheitsupdates einspielen: Wir unterstützen Sie bei der Aktualisierung auf eine geeignete, sicherheitsgepflegte PHP-Version.
TYPO3 aktualisieren: Wir prüfen Ihre TYPO3-Version und die verwendeten Extensions und planen erforderliche Aktualisierungen.
Kompatibilität sicherstellen: Wir berücksichtigen technische Abhängigkeiten und testen die Website nach den durchgeführten Änderungen.
Weitere Sicherheitsmaßnahmen prüfen: Auf Wunsch betrachten wir auch den allgemeinen Aktualisierungsstand Ihrer Website und geben Empfehlungen für einen nachhaltig sicheren Betrieb.

Dabei steht nicht nur die kurzfristige Behebung einer einzelnen Sicherheitslücke im Vordergrund. Ziel ist es, Ihre Website dauerhaft auf einem technisch aktuellen und möglichst sicheren Stand zu halten.

Warum regelmäßige Updates so wichtig sind

Sicherheitslücken werden immer wieder in Programmiersprachen, Content-Management-Systemen, Plugins und Serverkomponenten entdeckt. Sobald entsprechende Schwachstellen öffentlich bekannt werden, können Angreifer gezielt nach verwundbaren Installationen suchen.

Wer Updates dauerhaft aufschiebt, riskiert nicht nur Sicherheitsprobleme. Auch Kompatibilitätsprobleme, steigender Wartungsaufwand und aufwendigere spätere Versionswechsel können die Folge sein.

Besonders bei TYPO3 lohnt sich eine vorausschauende Wartungsstrategie. Regelmäßige Updates, eine klare Planung von Versionswechseln und die Überprüfung eingesetzter Extensions helfen, Sicherheitsrisiken und ungeplante Ausfälle zu reduzieren.

Unsere Empfehlung: Warten Sie nicht bis zum nächsten Problem. Lassen Sie Ihre PHP-Version und Ihre Website-Installation überprüfen und planen Sie notwendige Aktualisierungen rechtzeitig.

Jetzt PHP- und TYPO3-Version überprüfen lassen

Sie möchten wissen, ob Ihre Website von PHP2Shell betroffen sein könnte oder ob Ihre Installation ein Update benötigt?

Sprechen Sie uns an. Wir prüfen gemeinsam mit Ihnen die Ausgangssituation und besprechen, welche Aktualisierungen für Ihre Website sinnvoll und technisch möglich sind.

So schaffen Sie eine wichtige Grundlage für mehr Sicherheit, Zuverlässigkeit und Zukunftsfähigkeit Ihrer Website.