In der weitverbreiteten Skriptsprache PHP wurden zwei kritische Sicherheitslücken entdeckt. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619, auch als PHP2Shell bezeichnet, ermöglichen unter bestimmten Voraussetzungen die Ausführung von Schadcode auf betroffenen Webservern (Remote Code Execution, RCE).
Beide Schwachstellen werden mit einem CVSS-Wert von 9,2 (kritisch) bewertet. Besonders gefährdet sind Webserver, bei denen PHP direkt als Apache-Modul (mod_php) eingebunden ist. Angriffe können hier unter Umständen ohne vorherige Anmeldung erfolgen.
Welche Systeme sind betroffen?
Betroffen sind zahlreiche PHP-basierte Webanwendungen und Content-Management-Systeme, beispielsweise:
- WordPress, TYPO3, Joomla und Drupal
- Nextcloud und andere PHP-basierte Webanwendungen
- OpenAudit Classic Installationen mit Apache und PHP (geringeres Risiko, da nur im Intranet)
- Individuell entwickelte PHP-Websites
Wichtig: Die Sicherheitslücken befinden sich in PHP selbst, nicht in den genannten Anwendungen. Ein Update des CMS allein reicht daher nicht aus.
Welche PHP-Versionen sind sicher?
Am 21. Oktober 2026 wurden außerplanmäßige Sicherheitsupdates veröffentlicht.
| PHP-Version | Sichere Version |
|---|---|
| PHP 8.5 | 8.5.12 oder neuer |
| PHP 8.4 | 8.4.27 oder neuer |
| PHP 8.3 | 8.3.36 oder neuer |
| PHP 8.2 | 8.2.35 oder neuer |
Ältere PHP-Versionen erhalten vom PHP-Projekt keine entsprechenden Sicherheitsupdates mehr. Hier ist ein Wechsel auf eine unterstützte Version oder ein nachweislich vom Hersteller bereitgestellter Sicherheitspatch erforderlich.
Wie wird die Sicherheitslücke geschlossen?
Die einzige vollständige Abhilfe ist die Aktualisierung von PHP auf eine gepatchte Version.
Für Windows-Server mit Apache und PHP 8.4 Thread Safe steht beispielsweise folgendes Update bereit:
PHP 8.4.27 Thread Safe, Windows x64 herunterladen
Beispiel: Update einer OpenAudit-Installation unter Windows
Bei einer OpenAudit-Installation kann das Update folgendermaßen durchgeführt werden:
- PHP-Verzeichnis und Konfigurationsdateien Sicherungskopie des Ordners erstellen.
- Die ZIP-Datei mit PHP 8.4.27 oder neuer herunterladen und entpacken.
- Im Verzeichnis
C:\Programme (x86)\xampplite\die Dateistopservices.cmdals Administrator ausführen. - Die bisherigen PHP-Programmdateien durch die Dateien aus dem heruntergeladenen Archiv ersetzen. Die vorhandene
php.iniund individuelle Erweiterungen dabei erhalten und auf Kompatibilität prüfen. - Mit
startservices.cmdals Administrator die Dienste erneut starten. - Anschließend die PHP-Version und die Funktion der Anwendung überprüfen.
Hinweis: Diese Vorgehensweise gilt für entsprechend aufgebaute Installationen. Bei anderen Webserver-Konfigurationen muss das Update an die jeweilige Umgebung angepasst werden.
Selbst updaten zu kompliziert?
Wer das nicht selbst machen möchte, schaue in diesen Artikel.
Auch extern gehostete Websites überprüfen!
Nicht nur selbst betriebene Server sind betroffen. Wer Websites bei einem Hosting-Provider betreibt, sollte kontrollieren, welche PHP-Version dort tatsächlich eingesetzt wird.
Das betrifft ausdrücklich nicht nur WordPress, sondern praktisch alle PHP-basierten CMS und Webanwendungen.
Unsere Empfehlung: Prüfen Sie sämtliche PHP-Installationen zeitnah und spielen Sie die Sicherheitsupdates unverzüglich ein. Insbesondere öffentlich erreichbare Webserver sollten mit höchster Priorität behandelt werden.
Weitere Informationen:
Am Mittwoch, 21.10.2026, 13:47 wurde vom PHP Projekt der Sicherheitspatch, der die Lücke verschließt, veröffentlicht, bei all-inkl.com und ionos war auf den WordPress gehosteten Websites bereits um 14:00 der Patch ausgerollt. Dennoch sollte jeder in seiner Webseiten CMS Admin-Umgebung in Internet auf 2FA (bei WordPress gibt es ein kostenloses Plugin dafür) umstellen, um die Anmeldung abzusichern und verdächtige Aktivitäten oder Inhalte auf der Website oder unbekannte Benutzer im Auge behalten.