Wenn die Website oder der Onlineshop Ihres Unternehmens mit WordPress, Magento, Laravel oder einem anderen PHP-basierten System läuft, bitten Sie Ihren Hoster oder Ihr Technikteam noch heute, PHP auf Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 zu aktualisieren und den Server danach neu zu starten. Das PHP-Projekt hat diese Versionen am 21. Oktober 2026 veröffentlicht, um zwei kritische Lücken namens PHP2Shell zu schließen, jede mit 9.2 von 10 bewertet, über die ein Angreifer ohne jedes Passwort Befehle auf Ihrem Server ausführen kann. Die Nationale Cybersicherheitsbehörde Saudi-Arabiens (NCA) gab am selben Tag eine «kritische» Warnung heraus und empfahl das Update, und Sicherheitsfirmen sahen Ausnutzungsversuche schon Stunden vor der Veröffentlichung des Fixes.

Was genau ist passiert?

Die beiden Lücken sind CVE-2026-109618 und CVE-2026-109619, und sie stecken in der Sprache PHP selbst, nicht in einem Plugin oder Theme. Das ist der entscheidende Unterschied: In unserem früheren Artikel über WordPress-Fixes, die zur Landkarte der Angreifer wurden, lag der Fehler in Software, die auf PHP aufsetzt. Hier liegt der Fehler im Fundament, auf dem all diese Software steht. Ein aktuelles WordPress oder eine kurze Plugin-Liste schützt Sie also nicht.

Laut der ersten Sicherheitsmeldung von PHP tritt die erste Lücke auf, wenn einer Anfrage während ihrer Vorbereitung der Speicher ausgeht. PHP hinterlässt dann halb initialisierte Daten, die es später als gültig behandelt. Laut der zweiten Meldung lässt die andere Lücke Daten einer früheren Anfrage zurück, nachdem sie freigegeben wurden, und die nächste Anfrage im selben Prozess verwendet sie. Das Ergebnis ist in beiden Fällen gleich: Eine einzige sorgfältig gebaute Webanfrage reicht, um Befehle auf dem Server auszuführen.

Wiz Research hat die Lücken mit Hilfe von KI-Modellen gefunden. Der Bericht sagt, das Team habe sie am 19. August 2026 entdeckt, dem PHP-Team am 24. August gemeldet, und jede PHP-Version seit 5.4 sei von mindestens einer davon betroffen. Wiz schätzt, dass PHP rund 70% aller Websites antreibt.

Ist meine Website betroffen?

Höchstwahrscheinlich ja, wenn sie mit PHP läuft und die Version älter ist als die oben genannten. Wiz hat Remote-Codeausführung ohne Anmeldung auf WordPress, Drupal und Joomla in der Standardkonfiguration gezeigt. Sansec hat die Liste in seiner Analyse auf 11 Plattformen erweitert, darunter Magento 2.4.9, WordPress 7.1.2, Laravel 13.11, Symfony 8.1, phpMyAdmin, Nextcloud und WHMCS.

Um Ihre PHP-Version herauszufinden, öffnen Sie Ihr Hosting-Panel (cPanel, Plesk oder ähnlich) und suchen Sie nach «PHP Version», oder fragen Sie Ihr Team. Achten Sie auf zwei Punkte:

  • Version 8.1 und älter werden nicht mehr unterstützt und erhalten keinen Fix. Laut der PHP-Tabelle der unterstützten Versionen sind derzeit nur die Zweige 8.2, 8.3, 8.4 und 8.5 unterstützt.
  • Der Zweig 8.2 selbst verliert seinen Sicherheitssupport am 31. Dezember 2026, also in zweieinhalb Monaten. Wenn Sie jetzt aktualisieren, wechseln Sie auf 8.4 oder 8.5 und ersparen sich ein baldiges zweites Upgrade.

Was Sie heute tun sollten: fünf Schritte

  1. Finden Sie alle Stellen, an denen PHP läuft. Die Website, der Shop, das Admin-Panel und jedes interne System oder Kundenportal. Viele Unternehmen vergessen eine alte Website, die noch online ist.
  2. Aktualisieren Sie auf eine gepatchte Version. 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Bei Shared Hosting fragen Sie Ihren Hoster schriftlich: Haben Sie das Update vom 21. Oktober eingespielt?
  3. Starten Sie PHP nach dem Update neu. Die PHP-Meldung weist darauf hin, dass ein nicht neu gestarteter Prozess beim alten Code bleibt. Das Update herunterzuladen reicht also nicht.
  4. Wenn Ihre Website auf 8.1 oder älter läuft, planen Sie das Upgrade für diese Woche und testen Sie es zuerst auf einer Staging-Kopie, weil manche alten Plugins ausfallen können.
  5. Prüfen Sie die Logs. Wiz empfiehlt, nach ungewöhnlichen Upload-Anfragen mit anschließenden Speicherfehlern, wiederholten HTTP-500-Fehlern oder übergroßen bzw. fehlerhaften Session-Cookies (PHPSESSID) zu suchen.

Wenn Sie heute nicht aktualisieren können

Die PHP-Meldungen schlagen vorübergehende Maßnahmen vor, die das Risiko senken, das Update aber nicht ersetzen: session.upload_progress.enabled durch den Wert 0 abschalten und alle Prozesse neu starten, und unter Version 8.5 fatal_error_backtraces auf 0 setzen. Wenn Ihre Website nie Datei-Uploads annimmt, können Sie außerdem Multipart-Anfragen am vorgelagerten Server blockieren.

Wenn Ihre Website hinter Cloudflare liegt: Das Unternehmen schreibt in seinem Blog, dass es ab 3:02 Uhr UTC am 21. Oktober Firewall-Regeln gegen diese Lücken ausgerollt hat, etwa 9 Stunden vor der Veröffentlichung, in allen Tarifen einschließlich des kostenlosen. Doch Cloudflare selbst rät, PHP trotz dieses Schutzes zu patchen, weil Angreifer ihre Payloads ständig ändern.

Die Sicht von Origami

Diese Lücke erinnert daran, dass Website-Sicherheit nicht beim Aktualisieren von WordPress und seinen Plugins endet. Unter jeder Website liegen eine Programmiersprache, ein Server und Einstellungen, und alles davon braucht jemanden, der es im Blick behält. Was wir in Unternehmen oft sehen, ist eine vor Jahren gebaute Website, bei der niemand mehr weiß, welche PHP-Version sie nutzt oder wer den Zugang zum Aktualisieren hat. Wenn das auf Sie zutrifft, lautet die Frage nicht mehr «Sollen wir aktualisieren?», sondern «Wer aktualisiert heute?». Bei Origami bauen wir Websites und Systeme und überwachen ihre Updates vom ersten Tag an. Wenn Sie Ihre Website prüfen oder PHP ohne Ausfall aktualisieren lassen möchten, kontaktieren Sie uns.

Quellen