Am 21. Oktober 2026 hat das PHP-Projekt ein Notfall-Release veröffentlicht. Es schließt zwei kritische Lücken im Kern der Sprache, auf der WordPress, TYPO3, Shopware, Laravel und ein Großteil aller Websites laufen. Beide Lücken erlauben es, ohne Login Code auf dem Webserver auszuführen. Dieser Artikel sagt, wer betroffen ist, wie Sie in drei Minuten prüfen, ob Ihre Website gepatcht ist, und was wir an diesem Tag für unsere Kunden getan haben.
Was passiert ist
Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden unter dem Namen „php2shell“ geführt. Die erste ist eine Speicherbeschädigung bei der Behandlung von Speichermangel, die zweite ein Fehler im Zustand, den der Interpreter zwischen zwei Anfragen behält. Beide sind mit 9,2 von 10 Punkten bewertet. Ein Angreifer braucht keinen Zugang, keine Zugangsdaten und kein verwundbares Plugin. Es reicht, dass die Website PHP ausführt.
Die Details sind einen Tag vor dem geplanten Termin öffentlich geworden. Seit dem 21. Oktober werden Angriffsversuche beobachtet, ein Exploit ist im Umlauf. Betroffen ist jede PHP-Version seit 5.4, also alles, was in den letzten zehn Jahren veröffentlicht wurde.
Wer betroffen ist, und wer einen Patch bekommt
Offizielle Korrekturen gibt es nur für die unterstützten Zweige: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer eine dieser Versionen oder neuer einsetzt, ist nach dem Update geschützt.
Für PHP 7.4 bis 8.1 gibt es keine Updates vom PHP-Projekt mehr. Einige Hoster und Plattformen haben die Korrektur in diese Zweige zurückportiert. Ob Ihr Hoster das getan hat, steht nirgends automatisch, das müssen Sie nachfragen. Für PHP 7.3 und älter gibt es nichts. Eine Website auf einer solchen Version ist offen, und das bleibt sie, bis sie auf eine neuere Version umgezogen ist.
In drei Minuten prüfen, wo Sie stehen
- PHP-Version herausfinden. Im Hosting-Panel steht sie unter der Domain, bei Plesk unter „PHP-Einstellungen“. In WordPress unter Werkzeuge, Website-Zustand, Reiter „Bericht“, Abschnitt „Server“. In TYPO3 im Admin-Bereich unter Environment.
- Mit den gefixten Versionen vergleichen. 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer: gepatcht. 7.4 bis 8.1: beim Hoster fragen, ob ein Backport eingespielt ist, und sich die Antwort schriftlich geben lassen. 7.3 oder älter: sofort handeln, siehe nächster Abschnitt.
- Übergangsmaßnahme setzen, falls das Update noch aussteht. Die bekannten Angriffe nutzen eine Funktion, die standardmäßig eingeschaltet ist. In der PHP-Konfiguration lässt sich
session.upload_progress.enabledaufOffsetzen. Das ersetzt das Update nicht, es verkleinert die Angriffsfläche, bis es da ist. - Nach Spuren sehen. Neue Dateien im Upload-Ordner, die keine Bilder sind. Unbekannte Administratoren. Geänderte Dateien im Kern des Systems. Wer das nicht selbst beurteilen kann, sollte es jemanden beurteilen lassen, der es kann.
Wenn Ihre Website auf einer alten Version läuft
Dann ist der Patch nicht das Problem, sondern die Version. Eine Website auf PHP 7.x läuft dort meist, weil irgendein Plugin, ein Theme oder eine Erweiterung mit neueren Versionen nicht mehr zusammenarbeitet und niemand das angefasst hat. Der Weg ist in jedem Fall derselbe: Kopie der Website anlegen, auf PHP 8.2 oder neuer umstellen, Fehler beheben, dann live umschalten. Je nach Zustand ist das ein Nachmittag oder ein kleines Projekt. Was es nicht ist: aufschiebbar.
Was wir am 21. Oktober getan haben
Um 16 Uhr war das Release da. Bis 17 Uhr liefen alle Kundensysteme, die wir betreiben, auf PHP 8.2 bis 8.5 auf den gefixten Versionen. Das war der einfache Teil, weil es dafür offizielle Pakete gab.
Die wenigen Altsysteme auf 7.4 bis 8.1 kamen am 22. Oktober bis zum Mittag nach, sobald die Backports der Hoster bereitstanden. Dazwischen lag die Übergangsmaßnahme von oben. Jede betroffene Seite wurde anschließend auf Spuren geprüft.
Das schreiben wir nicht, weil es außergewöhnlich wäre. Es ist das, was Wartung bedeutet: Jemand liest die Sicherheitsmeldungen, weiß, welche Kundenseite auf welcher PHP-Version läuft, und handelt innerhalb von Stunden, bevor der Kunde davon hört. Was sonst noch dazugehört, Backups, Überwachung, Zertifikate, Verträge, steht in unserem Artikel Was gehört zu Hosting und Wartung?
Die Frage, die bleibt
Wer kümmert sich um Ihre Website? Nicht, wer sie gebaut hat. Wer sie heute betreibt, die Meldungen liest und am 21. Oktober gehandelt hat. Wenn Sie diese Frage nicht in einem Satz beantworten können, ist das die eigentliche Lücke.
Sie wissen nicht, auf welcher PHP-Version Ihre Website läuft?
Dann klären wir das als Erstes, zusammen mit der Frage, wer sich künftig darum kümmert. Hosting und Wartung gehören bei uns zusammen, mit festem Ansprechpartner und festen Reaktionszeiten.
Standortgespräch