PHP2Shell: Was Ihre IT jetzt wissen sollte

Von Nico Kempe, Consultant bei heureka e-Business GmbH. Stand: 26. Oktober 2026.

„Betrifft uns das – und müssen wir jetzt etwas tun?“ Diese Frage steht bei vielen IT-Verantwortlichen nach den aktuellen Meldungen zu PHP2Shell im Raum. Die kurze Einordnung: Zwei kritische Sicherheitslücken in PHP können es Angreifern unter bestimmten Voraussetzungen ermöglichen, ohne Anmeldung fremden Code auf einem Server auszuführen. Sicherheitsupdates stehen seit dem 21. Oktober bereit. 1

Für Ihre IT sind jetzt vor allem drei Dinge entscheidend: Wo läuft PHP? Sind diese Installationen abgesichert? Und wer kümmert sich um offene Punkte? Wenn sich das nicht auf Anhieb beantworten lässt, können wir Sie bei genau dieser Klärung unterstützen.

Worum geht es bei PHP2Shell?

PHP ist der technische Unterbau vieler Websites, Shops und Portale. Es arbeitet auf dem Server im Hintergrund – häufig auch dort, wo Anwender nur eine fertige Fachanwendung sehen. Die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen diesen Unterbau. 1, 2

Ein greifbares Beispiel: Ihre WordPress-Website kann auf dem neuesten Stand sein, während die PHP-Version beim Hoster noch ein Update benötigt. Eine aktuelle Anwendung bedeutet deshalb nicht automatisch, dass auch PHP aktualisiert wurde. WordPress empfiehlt ausdrücklich, den PHP-Stand mit dem Hosting-Anbieter zu prüfen. 3

Das mögliche Schadensbild ist ernst: Angreifer könnten auf Daten zugreifen, Anwendungen verändern oder Dienste stören. Auch eine Anmeldung in der Anwendung schließt das Risiko nicht aus, weil bestimmte Angriffspfade bereits vor deren Prüfung ansetzen. Eine anfällige Version ist allerdings noch kein Beleg für einen erfolgreichen Angriff. 1, 2

Warum sollten Sie sich jetzt darum kümmern?

AWS hat Angriffsversuche bereits vor Veröffentlichung der Updates beobachtet. Ob diese Versuche auf realen Systemen erfolgreich gewesen wären, lässt der Bericht offen. 4 Für die Praxis heißt das: Bekannte, öffentlich erreichbare PHP-Systeme sollten Sie zeitnah prüfen und aktualisieren lassen. Parallel lohnt der Blick auf weitere Anwendungen, die in der ersten Bestandsaufnahme leicht fehlen.

Zum Beispiel kann die Firmenwebsite bereits durch den Hoster aktualisiert sein, während für ein älteres Testportal oder eine andere Anwendung ein eigenes Team zuständig ist. Deshalb sollte eine Rückmeldung wie „unsere Website ist aktuell“ immer auf den konkret geprüften Bereich bezogen werden.

Was Sie jetzt konkret tun können

1. Mit den bekannten Anwendungen anfangen. Erfassen Sie Ihre Websites, Shops und Portale sowie die jeweiligen Verantwortlichen. Fragen Sie auch nach internen Anwendungen und Software, die PHP mitbringt. Die Bestandsaufnahme sollte notwendige Updates an bereits bekannten Systemen nicht verzögern. 2

2. Beim Betreiber gezielt nachfragen. Statt nur „Sind wir betroffen?“ helfen drei konkrete Fragen: Welche PHP-Version nutzt die Anwendung? Ist die passende Sicherheitskorrektur eingespielt? Wurde geprüft, dass die Anwendung mit der aktualisierten Version läuft? Das kann Ihr internes Team, der Hoster oder der Softwarehersteller beantworten. 5

Zur Orientierung sind dies die ersten korrigierten PHP-Versionen der unterstützten Zweige: 1

Manche Anbieter übernehmen die Korrektur in eigene Pakete, ohne die sichtbare PHP-Basisversion zu ändern. Dann zählt die Bestätigung des passenden Sicherheitspakets. Bei älteren PHP-Versionen sollten Sie mit dem Anbieter einen abgesicherten Update- oder Migrationsweg klären. PHP hat am 23. Oktober außerdem einen ergänzenden Hinweis für bestimmte Konfigurationen veröffentlicht; dieser gehört ebenfalls zur technischen Prüfung. 1, 5

3. Offene Punkte priorisieren und nachhalten. Halten Sie fest, was geprüft wurde, welcher Nachweis vorliegt und wer noch tätig werden muss. Falls ein öffentlich erreichbares System nicht sofort aktualisiert werden kann, sollten Sie mit dem Betreiber eine vorübergehende Einschränkung der Erreichbarkeit bewerten. CERT-EU empfiehlt, gegebenenfalls bis zur überprüften Korrektur vom öffentlichen Netz zu isolieren. 2

Nach einem Update sollte der tatsächliche Betrieb nochmals kontrolliert werden. Gibt es Anzeichen für einen vorherigen Angriff, ist zusätzlich eine Untersuchung nötig: Das Update allein entfernt keinen bereits eingebrachten Schadcode. 5

Wie wir Ihnen dabei helfen

Sie brauchen für ein erstes Gespräch weder eine vollständige Inventarliste noch eine fertige Sicherheitsbewertung. Wir schauen mit Ihnen auf die vorhandenen Informationen und klären:

• Wo besteht Handlungsbedarf? Welche Systeme sollten zuerst geprüft werden?
• Welche Angaben fehlen? Was lässt sich technisch prüfen, wo brauchen Sie eine Rückmeldung des Betreibers oder Herstellers?
• Wie geht es weiter? Wer übernimmt welche Maßnahme, und wie wird deren Umsetzung nachvollziehbar?

Gemeinsam mit Tenable können wir dafür auch Tenable One einsetzen: Die Plattform unterstützt dabei, öffentlich erreichbare Systeme zu entdecken, erfasste PHP-Installationen auf Schwachstellen zu prüfen und Ergebnisse zu priorisieren. Dafür ergänzen sich Attack Surface Management, Vulnerability Management und Web App Scanning. 6, 7

Die Ergebnisse ordnen wir mit Ihnen ein. Welche Systeme ein Scan erfasst und welche Informationen er erhält, beeinflusst seine Aussagekraft. Ein Scan ohne Fund ist deshalb keine pauschale Entwarnung. 6

Langfristig entsteht daraus eine aktuell gehaltene Übersicht über Ihre Systeme und offene Risiken. Tenable One kann die technischen Informationen zusammenführen; wir unterstützen bei Einführung und Nutzung. 8 So lässt sich die nächste Sicherheitsmeldung mit einer besseren Ausgangslage beantworten, statt erneut alle Informationen zusammensuchen zu müssen.

Lassen Sie uns Ihre offenen Fragen klären

Sie möchten wissen, ob Sie handeln müssen, oder haben noch keinen vollständigen Überblick über Ihren PHP-Einsatz? Schreiben Sie mir direkt.

PHP-Betroffenheit mit Nico Kempe klären

Eine kurze Nachricht wie „Bitte PHP gemeinsam prüfen“ genügt. Wenn Sie bereits eine Anwendung oder eine konkrete Frage im Blick haben, nennen Sie diese gerne dazu. Wir besprechen, welche Prüfung für Ihre Situation sinnvoll ist. Bei Bedarf stimmen wir auch eine 30-tägige Teststellung, einen Proof of Concept oder einen gemeinsamen technischen Termin mit Tenable ab.

Quellen und technische Details

1. PHP: Sicherheitsmeldungen und Updates vom 21. und 23. Oktober 2026
2. CERT-EU: Einordnung und Handlungsempfehlungen
3. WordPress: PHP-Stand mit dem Hosting-Anbieter prüfen
4. AWS: Beobachtete Angriffsversuche
5. Datadog Security Labs: Technische Prüfung und Nachkontrolle
6. Tenable: PHP2Shell-Erkennung und Grenzen der Prüfung
7. Tenable: Öffentlich erreichbare Systeme erfassen
8. Tenable One: Technische Informationen zusammenführen