Die kurze Antwort
Das BSI stuft die PHP-Schwachstellen php2shell (CVE-2026-109618 und CVE-2026-109619, je CVSS 9.2) mit Kritikalität 3 / Orange ein: Maßnahmen müssen unverzüglich ergriffen werden. Laut Censys waren am 28. Oktober 2026 in Deutschland noch rund 4 Mio. PHP-Instanzen verwundbar, CISA führt die Lücken seit dem 26. Oktober im Katalog aktiv ausgenutzter Schwachstellen.
Abgesichert ist ein System erst, wenn PHP selbst auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 (bzw. den gepatchten Distributionspaketen) läuft. Ein Update von WordPress, TYPO3 oder Shopware reicht nicht. Wer nicht sicher weiß, wo in der eigenen Landschaft PHP läuft, sollte das jetzt mit einem Penetrationstest und Sicherheitsaudit der extern erreichbaren Systeme klären, einschließlich Appliances mit PHP-Weboberfläche.
Was sagt das BSI zu php2shell?
Das Bundesamt für Sicherheit in der Informationstechnik hat den IT-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“ mit der Kritikalität 3 / Orange veröffentlicht. Nach der BSI-Skala bedeutet Orange, dass Maßnahmen unverzüglich ergriffen werden müssen und massive Beeinträchtigungen des Regelbetriebs möglich sind. Laut BSI sind alle bekannten PHP-Versionen verwundbar, zurück bis mindestens PHP 5; am höchsten stuft das PHP Security Team das Risiko bei Apache mit mod_php ein.
Die Empfehlung ist eindeutig: Patches sofort einspielen. Wo das nicht kurzfristig möglich ist, rät das BSI zur vorübergehenden Trennung des Webservers vom Internet, weil Workarounds und Regeln einer Web Application Firewall keinen vollständigen Schutz bieten. Genau das ist in der ersten Woche passiert: Nach Angaben des BSI haben einige Betreiber Systeme vorsorglich vom Netz genommen, wodurch verschiedene Webseiten in Deutschland zeitweise nicht erreichbar waren. t3n berichtet von Kommunalverwaltungen, Kliniken und Hochschulen.
Wie viele PHP-Systeme in Deutschland sind noch verwundbar?
Der IT-Sicherheitsdienstleister Censys hat in Deutschland rund 11 Mio. erreichbare PHP-Dienste gezählt, davon zunächst etwa 4,2 Mio. verwundbar. Damit liegt Deutschland hinter den USA weltweit auf Platz zwei. Am 28. Oktober waren es laut heise online noch rund 4 Mio. Instanzen, das Patch-Tempo ist also nach der ersten hektischen Woche deutlich gesunken.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Erreichbare PHP-Dienste in Deutschland | ca. 11 Mio. | Censys / heise, 23.10.2026 |
| Davon anfangs verwundbar | ca. 4,2 Mio. | Censys / heise, 23.10.2026 |
| Noch verwundbar am 28.10.2026 | ca. 4 Mio. | Censys / heise, 27.10.2026 |
| Verwundbare Dienste weltweit | ca. 33,5 Mio. | Censys / heise, 23.10.2026 |
Die Zahlen sind eine Näherung in beide Richtungen. Linux-Distributionen wie Debian, Ubuntu und Red Hat portieren die Korrekturen in ältere Paketversionen zurück, ein Scanner sieht dann eine scheinbar alte Versionsnummer auf einem bereits gepatchten System. Umgekehrt steckt PHP oft unbemerkt als Abhängigkeit in Software und Geräten, die in keinem Inventar als „PHP-Server“ geführt werden.
Werden die Lücken bereits ausgenutzt?
Ja. Die US-Behörde CISA hat php2shell am 26. Oktober in ihren Katalog Known Exploited Vulnerabilities aufgenommen, also erfolgreiche Ausnutzung bestätigt. Ein Sicherheitsforscher dokumentierte am Wochenende davor 35 gestartete Shells auf drei Honeypots mit PHP 8.4.26. Das BSI meldete in seinem Update zwar noch keine bestätigten Kompromittierungen aus regulierter Wirtschaft oder Bundesverwaltung, schließt erfolgreiche Angriffe aber ausdrücklich nicht aus und verweist auf automatisierte Ausnutzungsversuche.
Bemerkenswert ist die Entstehung: Entdeckt wurden die Lücken von Wiz und Calif zusammen mit OpenAI, die Fehlerklasse reicht über zehn Jahre bis PHP 5.4 zurück. Das BSI erwartet wegen der erhöhten Aufmerksamkeit und des Einsatzes von KI-Modellen bei der Schwachstellensuche, dass weitere Lücken folgen können.
Was sollten Unternehmen in DACH jetzt tun?
Die Lücken betreffen die PHP-Laufzeitumgebung, nicht eine einzelne Anwendung. Deshalb hilft nur eine systematische Bestandsaufnahme:
- Inventar erstellen. Alle Webserver, Shops, CMS-Instanzen, Kundenportale und internen Tools mit PHP erfassen, auch Agentur- und Altprojekte, die niemand mehr aktiv betreut.
- PHP selbst aktualisieren. Auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. das gepatchte Paket der Distribution; mit
php -vund dem Distributions-Advisory abgleichen. Ein CMS- oder Shop-Update allein reicht nicht. - Container neu bauen. Docker-Images mit PHP müssen auf gepatchten Basis-Images neu gebaut und ausgerollt werden; ein laufender Container aktualisiert sich nicht von selbst. Hier lohnt ein Blick auf die eigene Cloud- und DevOps-Pipeline.
- Appliances prüfen. Firewalls, Router, Load Balancer und NAS mit PHP-basierter Weboberfläche gehören auf die Liste; das BSI nennt unter anderem F5, Citrix NetScaler, Palo Alto, OPNsense, pfSense, QNAP, Synology und cPanel als mindestens teilweise betroffen.
- Auf Kompromittierung prüfen. Wer erst nach dem 26. Oktober gepatcht hat, sollte Logs und Dateisysteme auf Webshells und ungewöhnliche Prozesse untersuchen.
- End-of-Life-Stacks ablösen. Anwendungen auf PHP 7.x oder älter bleiben ein Dauerrisiko; dafür braucht es einen Plan zur Software-Modernisierung, nicht nur einen weiteren Notfallpatch.
Für Hersteller von Software und Geräten mit PHP-Komponenten kommt eine Pflicht hinzu: Seit September 2026 gelten die Meldepflichten des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen. Shopbetreiber mit Magento oder Adobe Commerce sollten zudem die parallel laufenden Angriffe auf Magento-Lücken im Blick behalten.
Häufige Fragen
Was ist php2shell?
php2shell ist die Sammelbezeichnung für zwei kritische Schwachstellen in der PHP-Laufzeitumgebung, CVE-2026-109618 und CVE-2026-109619, jeweils mit CVSS 9.2 bewertet. Angreifer können damit ohne Anmeldung und ohne Nutzerinteraktion Code auf Webservern ausführen. Laut BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen.
Welche PHP-Versionen schließen die Lücken?
Die PHP-Entwickler haben am 21. Oktober 2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Für die End-of-Life-Zweige 7.4, 8.0 und 8.1 gibt es Backport-Patches des PHP Security Teams; Linux-Distributionen liefern gepatchte Pakete mit eigenen Versionsnummern.
Wie viele Systeme in Deutschland sind betroffen?
Nach Scans von Censys liefen in Deutschland rund 11 Mio. erreichbare PHP-Dienste, davon etwa 4,2 Mio. verwundbar. Am 28. Oktober waren es noch rund 4 Mio. Deutschland liegt damit weltweit auf Platz zwei hinter den USA. Weil Distributionen Patches zurückportieren, bilden solche Zahlen das Risiko nur näherungsweise ab.
Reicht es, WordPress, TYPO3 oder Shopware zu aktualisieren?
Nein. Die Lücken stecken in der PHP-Laufzeitumgebung selbst, nicht in einer konkreten Anwendung. Ein Update des CMS oder Shops genügt nicht, PHP muss auf dem Server, im Container-Image und in Appliances mit PHP-Weboberfläche ebenfalls aktualisiert werden.
Quellen
BSI — PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit, IT-Sicherheitshinweis, Version 1.2 (22. Oktober 2026)
heise online — php2shell: Millionen PHP-Dienste in Deutschland verwundbar (23. Oktober 2026)
heise online — php2shell: Erfolgreiche Angriffe bestätigt, noch viele Instanzen ungepatcht (27. Oktober 2026)
t3n — PHP2Shell-Lücke: BSI warnt (29. Oktober 2026)