Am 21. Oktober 2026 hat das PHP-Team ausserplanmässig Sicherheitsupdates veröffentlicht. Sie schliessen zwei Lücken, die unter dem Namen «PHP2Shell» bekannt geworden sind: CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9.2 von 10 Punkten als kritisch eingestuft. Ein Angreifer kann damit ohne Anmeldung eigenen Code auf dem Webserver ausführen und im schlimmsten Fall die ganze Website übernehmen.
Die Details wurden vor dem geplanten Termin öffentlich. Erste Angriffsversuche gab es deshalb schon, bevor die Updates verfügbar waren. Mehrere Behörden und Hochschulen, auch in der Schweiz, haben ihre Websites vorsorglich vom Netz genommen.
Wer betroffen ist
PHP ist die Grundlage für einen grossen Teil aller Websites. Betroffen sind deshalb sehr viele Systeme:
- Websites auf WordPress, Joomla, TYPO3 oder Drupal
- Onlineshops mit WooCommerce, Shopware, Magento oder PrestaShop
- Kundenportale, Buchungssysteme und interne Webanwendungen
- Weboberflächen von Software, die auf PHP basiert, etwa Nextcloud oder Webmail
Wichtig: Die Lücke steckt in PHP selbst, also in der Software auf dem Server. Ein Update von WordPress oder den Plugins schliesst sie nicht.
Welche Versionen sicher sind
Behoben ist das Problem in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie neuer. Für PHP 8.1 und alle älteren Versionen gibt es vom PHP-Projekt keine Korrektur mehr. Wer eine solche Version betreibt, muss auf eine aktuelle Version wechseln oder einen Anbieter nutzen, der Sicherheitskorrekturen für alte Versionen nachliefert.
Nach dem Update müssen alle PHP-Prozesse neu gestartet werden. Bis dahin läuft im Speicher noch der alte, verwundbare Code.
Was Sie jetzt tun sollten
- Hoster fragen. Liegt Ihre Website bei einem Hostinganbieter, fragen Sie schriftlich nach, ob PHP auf Ihrem Server aktualisiert und neu gestartet wurde und welche Version jetzt läuft.
- Version prüfen. In WordPress zeigt der Bereich Werkzeuge → Website-Zustand → Bericht unter «Server» die PHP-Version an.
- Eigene Server aktualisieren. Betreiben Sie den Webserver selbst, spielen Sie die Updates des Betriebssystems ein und starten Sie PHP-FPM oder den Webserver neu.
- Spuren suchen. Weil schon vor dem Update angegriffen wurde, reicht das Patchen allein nicht. Prüfen Sie, ob unbekannte Administratorkonten, neue PHP-Dateien in Upload-Ordnern oder geänderte Dateien aufgetaucht sind.
- Zugangsdaten wechseln. Bei Verdacht auf einen Einbruch ändern Sie die Passwörter für Datenbank, FTP, Hosting und Administratorkonten.
- Datensicherung prüfen. Stellen Sie sicher, dass eine Sicherung von vor dem 20. Oktober vorhanden ist und sich zurückspielen lässt.
So helfen wir Ihnen
Bei Kunden mit Betreuungsvertrag gehört das Einspielen solcher Updates zur laufenden Wartung. Wenn Ihre Website nicht von uns betreut wird, übernehmen wir die Prüfung gerne kurzfristig:
- Wir stellen fest, welche PHP-Version Ihre Website tatsächlich verwendet, auch bei Websites, die bei einem externen Hoster liegen.
- Wir spielen die Updates ein oder klären sie mit Ihrem Hoster.
- Wir untersuchen Dateien, Benutzerkonten und Protokolle auf Spuren eines Angriffs und bereinigen die Website, falls nötig.
- Bei veralteten Systemen planen wir den Wechsel auf eine aktuelle PHP-Version und testen vorher, ob Website, Shop und Plugins damit laufen.
Unsere eigene Website a-bot.ch läuft übrigens ohne PHP und war von der Lücke nicht betroffen.
Rufen Sie uns an oder schreiben Sie uns über das Kontaktformular. Bei einem akuten Verdacht melden wir uns so rasch wie möglich. Mehr zu unseren Leistungen finden Sie unter IT-Sicherheit. Wie Sie sich auf den nächsten Vorfall vorbereiten, beschreibt unser Beitrag zum IT-Notfallplan.
Häufige Fragen
Ist meine WordPress-Website betroffen?
Wahrscheinlich ja, wenn der Server eine PHP-Version vor 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 verwendet. WordPress selbst ist nicht fehlerhaft, läuft aber auf PHP. Entscheidend ist die PHP-Version auf dem Server.
Reicht es, wenn mein Hoster das Update eingespielt hat?
Das Update schliesst die Lücke für die Zukunft. Wurde die Website schon vorher angegriffen, bleibt eine eingeschleuste Hintertür aber bestehen. Eine Prüfung auf Spuren ist deshalb sinnvoll.
Woran erkenne ich, dass meine Website übernommen wurde?
Typische Anzeichen sind neue Administratorkonten, unbekannte PHP-Dateien im Upload-Ordner, Weiterleitungen auf fremde Seiten, Spam-Inhalte oder ein plötzlicher Anstieg von ausgehenden E-Mails. Oft gibt es aber keine sichtbaren Hinweise.
Was ist mit PHP 7 oder PHP 8.1?
Diese Versionen erhalten vom PHP-Projekt keine Sicherheitsupdates mehr und bleiben verwundbar. Ein Wechsel auf eine aktuelle Version ist dringend nötig.
