php2shell: Was die PHP-Sicherheitslücke für Ihre Website bedeutet und warum jetzt der Zeitpunkt für die Migration ist

Ende Oktober 2026 wurde die PHP-Sicherheitslücke „php2shell" bekannt. Sie betrifft praktisch alle PHP-Versionen seit PHP 5.4, darunter auch mehrere bereits ausgelaufene Versionszweige. Angreifer können über die Lücke fremden Code ausführen. Besonders kritisch: Das geht ohne Login und ohne Nutzerinteraktion.

Patches existieren bereits. Für viele Unternehmen reicht ein Patch aber nicht aus. Wer auf einer veralteten PHP-Version arbeitet, bekommt für diese Version oft gar keinen Patch mehr und benötigt stattdessen eine Migration seiner Anwendung auf eine aktuell unterstützte PHP‑Version. Genau das entscheidet darüber, ob Ihre Website und Webanwendung zum echten Geschäftsrisiko werden oder nicht.

Was ist php2shell?

Am 20. Oktober 2026 wurde die Sicherheitslücke „php2shell" öffentlich bekannt. Sicherheitsforscher dokumentierten sie unter zwei CVE-Kennungen: CVE-2026-109618 und CVE-2026-109619.

CVE steht für „Common Vulnerabilities and Exposures" und bezeichnet ein weltweit genutztes Register für bekannte Sicherheitslücken. Jede Lücke erhält dort eine eindeutige Nummer. So sprechen Hersteller, IT-Teams und Sicherheitsforscher weltweit über dieselbe Schwachstelle, ohne Missverständnisse.

Die Schwere der Lücke wird mit einem CVSS-Wert von 9,2 von 10 angegeben. Der CVSS-Wert, das Common Vulnerability Scoring System, bewertet standardisiert, wie kritisch eine Sicherheitslücke einzustufen ist. Werte über 9 gelten in der Branche als kritisch, also als besonders dringlich.

Technisch handelt es sich bei php2shell um eine sogenannte Remote Code Execution. Das bedeutet: Angreifer können Code auf einem fremden Server ausführen, ohne sich einzuloggen und ohne, dass ein Nutzer dafür etwas anklicken, bestätigen oder herunterladen muss.

Genau diese Kombination macht php2shell so gefährlich. Die Lücke erfordert keine Mithilfe des Opfers und keinen Umweg über gefälschte E-Mails oder manipulierte Links. Es reicht, dass die betroffene PHP-Version auf einem öffentlich erreichbaren Server läuft.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, hat zu php2shell eine eigene Cybersicherheitswarnung herausgegeben. Das unterstreicht die Relevanz der Lücke über die reine IT-Fachwelt hinaus. Wenn das BSI eine Warnung veröffentlicht, richtet sich das ausdrücklich auch an mittelständische Unternehmen und öffentliche Institutionen, nicht nur an große Rechenzentren oder Konzerne mit eigener Sicherheitsabteilung.

Warum sind die aktuell entdeckten PHP-Lücken für Unternehmen so riskant?

Remote Code Execution bedeutet in der Praxis: Ein Angreifer kann fremden Code direkt auf Ihrem Server ausführen, ohne dass ein Besucher Ihrer Website etwas tut. Kein Klick, keine Eingabe, keine Täuschung ist nötig. Die Lücke öffnet sich allein durch die Erreichbarkeit der verwundbaren Anwendung im Internet.

Für Unternehmen sind die möglichen Folgen konkret und geschäftsrelevant, nicht nur ein abstraktes IT-Problem. Angreifer können Daten abgreifen oder verschlüsseln, Systeme manipulieren oder die Website für eigene Zwecke missbrauchen, etwa um weitere Schadsoftware zu verteilen. Die Folgen:

• Ausfallzeiten
• hoher Aufwand bei der Wiederherstellung
• häufig auch Vertrauensschaden bei Kunden, Mitgliedern oder Bürgern, je nach Art der betroffenen Organisation

Für öffentliche Institutionen und Verbände kommt ein weiterer Aspekt hinzu: Sie verwalten häufig sensible Daten von Bürgern oder Mitgliedern und unterliegen besonderen Sorgfaltspflichten.

Ein erfolgreicher Angriff über eine bekannte, aber ungepatchte Lücke lässt sich im Nachgang schwer rechtfertigen, gerade weil die Schwachstelle öffentlich dokumentiert ist und eine Lösung verfügbar war.

Wer jetzt nichts unternimmt, trägt dieses Risiko bewusst weiter. Und wer auf einer ausgelaufenen PHP-Version arbeitet, für die es gar keinen Patch mehr gibt, trägt es sogar dauerhaft bis zur Migration.

Welche PHP-Versionen sind betroffen?

php2shell betrifft praktisch alle PHP-Versionen seit PHP 5.4. Das schließt auch mehrere Versionszweige ein, deren offizieller Support längst beendet ist: PHP 7.4, PHP 8.0 und PHP 8.1. Wer eine dieser Versionen einsetzt, erhält vom PHP-Projekt grundsätzlich keine Sicherheitsupdates mehr. Das gilt auch für php2shell. Ein offizieller Patch für diese Versionen ist im regulären Support-Zyklus nicht vorgesehen.

Für die folgenden, aktuell aktiv unterstützten Versionen stehen Patches zur Verfügung (Stand 10.2026):

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Zusätzlich gibt es Rückportierungen für einige ältere Zweige. Das sind nachträglich bereitgestellte Sicherheitsupdates für Versionen, die eigentlich aus dem offiziellen Support herausgefallen sind. Solche Rückportierungen sind hilfreich, sie ersetzen aber keine dauerhafte Lösung. Sie verschaffen Ihnen Zeit, nicht Sicherheit auf Dauer.

Dies ist ein entscheidender Punkt: Läuft Ihre Anwendung nur noch auf einer älteren PHP-Version, reicht ein Patch in der Regel nicht. Dann führt an einer Migration auf eine unterstützte Version kein Weg vorbei.

Bin ich betroffen? So finden Sie es heraus.

Der erste Schritt ist einfach: Finden Sie heraus, welche PHP-Version Ihre Website oder Anwendung tatsächlich nutzt.

Bei vielen Content-Management-Systemen wie Joomla oder WordPress zeigt das Backend die eingesetzte PHP-Version direkt im Systembereich an, meist unter einem Menüpunkt wie „System" oder „Werkzeuge". Ein kurzer Blick dorthin gibt oft schon Klarheit, ohne dass Sie technisches Fachwissen benötigen.

Wenn Sie keinen direkten Zugriff auf diese Information haben oder unsicher sind, wo Sie suchen sollen, fragen Sie einfach bei Ihrem Hoster, Ihrer Agentur oder Ihrer internen IT nach. Diese können die eingesetzte PHP-Version in aller Regel unkompliziert und schnell nennen.

Die Information über die verwendete PHP-Version allein beantwortet noch nicht, ob ein Patch ausreicht oder ob eine Migration sinnvoll oder sogar notwendig ist. Sie ist aber die Grundlage für jede weitere Einschätzung und oft schon ein erstes klares Signal: Läuft Ihre Anwendung auf PHP 7.4, 8.0 oder 8.1, steht die Migrationsfrage bereits im Raum, unabhängig von weiteren Details.

Zusätzlich lohnt sich ein Blick auf weitere Hinweise:

• Wann wurde die Anwendung zuletzt aktualisiert?
• Gab es seit der ursprünglichen Programmierung größere technische Anpassungen?

Je länger eine Anwendung unverändert läuft, desto wahrscheinlicher ist es, dass sie auf einer mittlerweile veralteten PHP-Version aufbaut. Das allein ist kein Grund zur Panik, aber es ist ein triftiger Anlass, die Frage nach der Sicherheit aktiv zu klären.

Patch oder Migration: Was ist der Unterschied?

Viele Unternehmen verlassen sich darauf, dass der Hoster sich um Sicherheit kümmert. Ein zuverlässiger Hoster, gerade im Business-Umfeld, wird sich bei php2shell auch zeitnah um das Einspielen der PHP-Updates gekümmert haben.

Ein Hosting-Patch betrifft in der Regel aber nur die Serverumgebung, also die PHP-Version selbst. Das ist wichtig und sinnvoll. Es löst aber nicht automatisch alle Probleme im eigenen Anwendungscode.

Veraltete Funktionen, unsichere Programmiermuster oder Abhängigkeiten zu alten Bibliotheken bleiben im Code bestehen, bis jemand sie gezielt anpasst. Ein Server-Patch ändert daran nichts.

Die Anwendung selbst kann weiterhin veraltete, unsichere Strukturen enthalten, auch wenn die Serverumgebung formal aktuell ist.

Deshalb lohnt sich ein genauerer Blick auf die eigene Situation:

• Ist Ihre Anwendung auf einer aktuell unterstützten PHP-Version lauffähig, kann ein Patch tatsächlich ausreichen, um die akute Lücke zu schließen.
• Läuft die Anwendung auf einem der ausgelaufenen Zweige wie PHP 7.4, 8.0 oder 8.1, reicht ein Patch nicht. Dann braucht es eine Migration der Anwendung auf eine aktuell unterstützte Version, inklusive der notwendigen Anpassungen im Anwendungscode der PHP-Programmierung.

Warum das Thema über php2shell hinaus relevant bleibt

php2shell ist der aktuelle Anlass. Das zugrunde liegende Problem ist jedoch strukturell und bleibt bestehen. PHP 8.1 erreichte bereits am 31. Dezember 2025 sein offizielles Lebensende. PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates.

Das bedeutet: Unternehmen, die heute auf diesen Versionen arbeiten, stehen unabhängig von php2shell vor einer Migrationsentscheidung, die sich nicht dauerhaft aufschieben lässt.

Denn jeder Support-Zyklus läuft irgendwann aus. Jede ausgelaufene Version wird früher oder später zur nächsten offenen Lücke. Die Migration ist deshalb keine einmalige Reaktion auf einen Vorfall, sondern die eigentlich notwendige, nachhaltige Lösung.

Eine alte PHP-Version ist kein Schönheitsfehler, sie ist ein offenes Einfallstor. Ein Patch schließt dieses Tor für den Moment. Nur die Migration schließt es dauerhaft. Wer jetzt migriert, löst also nicht nur den aktuellen Vorfall. Er beseitigt ein wiederkehrendes Risiko, das sonst mit jeder neuen Lücke wieder akut wird.

Für Ihre Planung bedeutet das: Eine Migration jetzt, ausgelöst durch php2shell, ist zugleich eine Investition in die kommenden Jahre. Sie schafft Sicherheit und einen zeitlichen Puffer, bis der nächste Support-Zyklus endet.

Was Sie jetzt konkret machen können, um die PHP-Sicherheitslücke zu schließen

Das sinnvollste Vorgehen besteht aus drei Schritten, die Sie einfach nacheinander angehen.

• Klären Sie zunächst Ihre eigene Betroffenheit: Welche PHP-Version läuft auf Ihrer Website oder Anwendung? Diese Information besorgen Sie sich wie oben beschrieben beim Hoster, Ihrer Agentur, der eigenen IT oder direkt im CMS-Backend.
• Holen Sie anschließend eine fundierte Bestandsaufnahme ein, bevor Sie größere Entscheidungen treffen. Eine Erstanalyse zeigt, ob ein einfacher Patch reicht oder ob eine Migration notwendig ist, und welcher Aufwand damit verbunden ist. Das schützt Sie davor, entweder zu wenig zu tun oder viel Zeit und Geld in eine Lösung zu investieren, die größer ausfällt als nötig.
• Setzen Sie erst danach die passende Maßnahme um: Patch, Migration, oder beides. Läuft Ihre Anwendung auf einer ausgelaufenen PHP-Version, führt kein Weg an der Migration vorbei, so unbequem das kurzfristig klingen mag.

Unser Angebot für Sie: In einem kostenlosen Erstgespräch klären wir gerne gemeinsam mit Ihnen, wo Sie aktuell stehen und was sinnvoll ist, unabhängig davon, wer Ihre Anwendung ursprünglich entwickelt hat.

► Kostenloses Erstgespräch vereinbaren

Häufig gestellte Fragen

Welche Systeme sind von php2shell betroffen?

Betroffen sind grundsätzlich alle Systeme, die auf einer der genannten veralteten PHP-Versionen laufen. Das umfasst bekannte Content-Management-Systeme wie Joomla oder WordPress ebenso wie individuell entwickelte Webanwendungen, Kundenportale und Shop-Systeme. Entscheidend ist allein die eingesetzte PHP-Version, nicht die Art des Systems oder der Hersteller der Software.

Reicht ein normaler Hosting-Patch aus?

Das kommt auf Ihre Anwendung an. Läuft die Anwendung auf einer aktuell unterstützten Version, kann ein Patch ausreichen, um die akute Lücke zu schließen. Läuft sie nur auf einem ausgelaufenen Zweig wie PHP 7.4, 8.0 oder 8.1, gibt es für diese Version keinen offiziellen Patch mehr. Hier führt an einer Migration kein Weg vorbei. Ein Hosting-Patch allein deckt in diesem Fall regelmäßig nicht alle Risiken im Anwendungscode ab. Und regelmäßig funktioniert Ihre Anwendung nach einem erzwungenen Versionswechsel ohne Migration auch nicht mehr zuverlässig.

Woher weiß ich, welche PHP-Version meine Website nutzt?

Viele CMS-Backends zeigen die PHP-Version direkt im Systembereich an, meist unter einem Menüpunkt wie „System" oder „Werkzeuge". Alternativ beantwortet Ihnen Ihr Hoster, Ihre Agentur oder Ihre interne IT diese Frage.

Muss ich meinen bestehenden Dienstleister wechseln, um das prüfen zu lassen?

Nein. Eine Erstanalyse zur eigenen PHP-Situation lässt sich unabhängig vom bisherigen Dienstleister durchführen. Eine Zweitmeinung oder eine unabhängige Bestandsaufnahme ersetzt dabei nicht zwingend eine bestehende Zusammenarbeit, sondern ergänzt sie sinnvoll um eine fokussierte Einschätzung zum Thema PHP-Sicherheit und zur Migrationsplanung.

Take-away und nächster Schritt

php2shell zeigt deutlich, was eine veraltete PHP-Version im Ernstfall bedeutet: kein Schönheitsfehler, sondern ein offenes Einfallstor. Läuft Ihre Anwendung nur auf einer ausgelaufenen Version, bleibt die Migration der einzige Weg zu echter, dauerhafter Sicherheit.

Klären Sie zunächst Ihre Betroffenheit, holen Sie eine fundierte Einschätzung ein und entscheiden Sie danach über Patch oder Migration. So lösen Sie nicht nur den aktuellen Vorfall, sondern auch das strukturelle Risiko dahinter.

Gerne unterstützen wir Sie: Kostenloses Erstgespräch vereinbaren