PHP-Sicherheitslücken beheben (PHP2Shell Notfall-Patch)

Kurzantwort: Zwei kritische Schwachstellen mit dem Namen PHP2Shell (CVE-2026-109618 und CVE-2026-109619) können es Angreifern ermöglichen, ohne Anmeldung Code auf dem Server auszuführen, und zwar auf jeder Website, die eine ungepatchte PHP-Version nutzt. Das PHP-Projekt hat am 21. Oktober 2026 korrigierte Versionen veröffentlicht; am selben Tag kündigte die türkische Cybersicherheitsbehörde (Siber Güvenlik Başkanlığı) einen landesweiten Scan an und verschickte Dringlichkeitsmeldungen an Organisationen. 360 Soft prüft, ob Ihre Websites und Server betroffen sind, spielt den Patch oder eine Übergangsmaßnahme ein und führt bei Bedarf ein PHP-Versions-Upgrade ohne Ausfallzeit durch. Unser Team arbeitet von Istanbul aus für Unternehmen in Deutschland, Österreich und der Schweiz.

Was ist passiert? Kurze Chronologie

• 20. Oktober 2026: Die CVE-Kennungen der Schwachstellen wurden öffentlich bekannt. Das PHP-Projekt kündigte für den Folgetag ein Notfall-Sicherheitsrelease an.
• 21. Oktober 2026, 14:00 UTC: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 wurden veröffentlicht. Das PHP-Sicherheitsteam bewertete beide Lücken nach CVSS v4.0 mit 9,2.
• Abend des 21. Oktober 2026: Die türkische Cybersicherheitsbehörde erklärte, betroffene Systeme seien unverzüglich auf sichere Versionen zu aktualisieren und der externe Zugriff auf kritische PHP-Dienste sei zu beschränken.
• Lage im Feld: Cloudflare und watchTowr meldeten erste Ausnutzungsversuche. Forschende demonstrierten Remote Code Execution ohne Anmeldung auf WordPress, Drupal, Joomla und Magento.

Welche PHP-Versionen sind betroffen?

Laut den Forschenden existiert der betroffene Codepfad seit PHP 5.4. Damit ist nahezu jede PHP-Version der letzten zehn Jahre gefährdet. Die Tabelle zeigt, was je Versionszweig zu tun ist.

Ihre Version	Status	Maßnahme
PHP 8.5	Betroffen vor 8.5.12	Update auf 8.5.12
PHP 8.4	Betroffen vor 8.4.27	Update auf 8.4.27
PHP 8.3	Betroffen vor 8.3.36	Update auf 8.3.36
PHP 8.2	Betroffen vor 8.2.35	Update auf 8.2.35 und Wechsel auf 8.3 / 8.4 planen, da der Support für 8.2 am 31. Dezember 2026 endet
PHP 8.1, 8.0, 7.4	Betroffen, kein offizielles PHP-Release	Patch des Anbieters (cPanel, CloudLinux) und Migration auf 8.3 / 8.4
PHP 7.3 und älter	Betroffen, in den meisten Umgebungen kein Fix	Übergangsmaßnahme plus dringendes Versions-Upgrade oder Plattformwechsel

Ist Ihre Website betroffen? Prüfung in drei Schritten

1. PHP-Version ermitteln. In WordPress unter Werkzeuge > Website-Zustand > Bericht > Server, in cPanel unter „Select PHP Version“ oder „MultiPHP Manager“. Liegt die Version unter der sicheren Version aus der Tabelle, ist die Website gefährdet.
2. Hosting-Art bestimmen. Beim Shared Hosting spielt der Anbieter den Patch ein; bei VPS, Cloud-Instanzen, Containern oder eigenen Servern liegt die Verantwortung bei Ihnen.
3. Alle Systeme auflisten. Die Hauptwebsite ist selten das einzige Risiko. Kampagnenseiten, Händler- und Partnerportale, alte Subdomains, Test- und Demo-Installationen, CRM und interne Anwendungen tragen dieselbe Lücke.

Maßnahmen für die ersten 24 Stunden

• Patch einspielen. Laut PHP-Advisory ist nur das Update eine vollständige Lösung.
• Verzögert sich der Patch, Übergangsmaßnahme: session.upload_progress.enabled = 0 in der php.ini oder im PHP-FPM-Pool (für CVE-2026-109619) sowie ein Speicherlimit, das die Anwendung nicht überschreiben kann (für CVE-2026-109618). Danach alle PHP-Prozesse neu starten. Eine.user.ini oder ini_set() genügt für diese Einstellung nicht.
• WAF-Regeln: Regeln von Cloudflare, Imunify360 und ähnlichen Diensten blockieren bekannte Angriffsmuster, sind aber keine dauerhafte Lösung.
• Externen Zugriff beschränken: Admin-Bereiche und kritische PHP-Dienste nur für vertrauenswürdige IP-Adressen öffnen. Systeme ohne Bedarf an internationalem Traffic dafür sperren.
• Backup: Vor dem Update Datei- und Datenbanksicherung außerhalb des Servers ablegen.

Anzeichen eines Angriffs

Da die Lücke unterhalb der Anwendung liegt, bleiben Anwendungslogs oft stumm. Warnzeichen in Serverlogs sind ungewöhnliche Multipart-Anfragen, die mit Speicherlimit-Fehlern enden, gehäufte HTTP-500-Antworten, ungewöhnlich große PHPSESSID-Cookies und unerklärliche Neustarts von PHP-Prozessen. Tritt eines dieser Zeichen auf, reicht der Patch allein nicht: Datenbankpasswörter, API-Schlüssel und Admin-Konten müssen erneuert und die Dateiintegrität geprüft werden.

Notfallpakete von 360 Soft

Paket	Umfang	Für wen
Notfall-Patch	Versionserkennung, Backup, Patch oder Übergangsmaßnahme, Neustart der PHP-Prozesse, Prüfbericht	Einzelne Websites, Unternehmen mit VPS oder eigenem Server
Versions-Upgrade	Migration von 7.x / 8.0 / 8.1 auf 8.3 / 8.4, Kompatibilitätstests, Plugin- und Bibliotheks-Updates, Rollback-Plan	WordPress, Laravel, CodeIgniter und individuelle PHP-Anwendungen auf alten Versionen
Unternehmens-Audit	Inventar aller Domains und Server, Schwachstellenscan, Prüfung auf Kompromittierung, Plan zur Erneuerung von Zugangsdaten, Bericht für Geschäftsführung und Prüfer	Konzerne, Finanzbranche, Gesundheitswesen, öffentlicher Sektor, E-Commerce und Mehrmarken-Unternehmen
Plattformwechsel	Migration nicht patchbarer PHP-Altsysteme auf.NET, Node.js oder aktuelles Laravel	Systeme mit altem, schwer wartbarem Quellcode und geschäftskritischer Last

Details finden Sie unter PHP-Versions-Upgrade, PHP-Sicherheitsaudit für Unternehmen und Migration von PHP zu.NET. Für kontinuierliches Scannen und Priorisieren nach dem Notfall sorgt unser Schwachstellenmanagement-Outsourcing; verdächtige Aktivitäten überwacht unser SOC und Security Monitoring rund um die Uhr.

So arbeiten wir mit Kunden in der DACH-Region

• Remote zuerst: Fast alle Arbeiten erfolgen über VPN oder Jump-Host mit befristetem, protokolliertem Zugang. Vor-Ort-Einsätze sind möglich.
• Schichtabdeckung: Für Vorfälle sind 24/7-Schichten möglich; Patches und Neustarts planen wir in Ihrem verkehrsarmen Zeitfenster. Die Zeitverschiebung zur MEZ beträgt nur ein bis zwei Stunden.
• Teamgröße: Von einer Fachkraft für eine einzelne Website bis zu größeren Teams für Hunderte Anwendungen; wir skalieren von 1 bis 200+ Personen.
• Start: Notfallarbeiten beginnen direkt nach der Abstimmung des Umfangs; Upgrade- oder Migrationsteams starten typischerweise innerhalb von 1–2 Wochen.

Für wen ist das Risiko besonders hoch?

• Banken, Zahlungsdienstleister und Versicherer: Kunden- und Transaktionsdaten; in der Türkei Prüfpflichten nach den IT-Regelungen von BDDK und SPK.
• Gesundheitswesen: Patientendaten sind besondere Kategorien personenbezogener Daten nach KVKK und DSGVO; die Haftung bei einer Verletzung ist entsprechend hoch.
• Behörden und Kommunen: Die Dringlichkeitsmeldung der türkischen Cybersicherheitsbehörde richtet sich unmittelbar an diese Einrichtungen.
• E-Commerce und Handel: Checkout-Seiten, Kundenkonten und die Kosten von Ausfällen während Kampagnen.
• Konzerne und Mehrmarken-Unternehmen: Dutzende Domains, alte Kampagnenseiten und Systeme verschiedener Agenturen bilden einen großen blinden Fleck.

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, erwartet das KVKK eine Meldung an die türkische Datenschutzbehörde innerhalb von 72 Stunden nach Kenntnis; die DSGVO sieht eine vergleichbare 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde vor. Zusätzlich gelten die Vorschriften Ihres Landes und Ihrer Branche, etwa NIS2 oder DORA. Binden Sie Ihre Rechts- oder Compliance-Abteilung frühzeitig ein. Wer einen bekannten Patch verzögert, erhöht im Ernstfall Reputations- und Haftungsrisiken.

Vertrag, Vertraulichkeit und Datenschutz

Wir arbeiten auf Basis eines Dienst- oder Werkvertrags mit klar beschriebenem Leistungsumfang. Es handelt sich um eine Dienstleistung, keine Arbeitnehmerüberlassung. Fragen zu AÜG und Scheinselbständigkeit stellen sich bei einem sauber abgegrenzten Leistungsumfang in der Regel nicht; wir empfehlen dennoch eine Prüfung durch Ihre Rechtsberatung. Eine NDA unterzeichnen wir auf Wunsch vor dem ersten technischen Gespräch. Alle für Sie erstellten Skripte, Konfigurationen und Berichte gehen in Ihr Eigentum über. Bei Zugriff auf personenbezogene Daten schließen wir einen Auftragsverarbeitungsvertrag (AVV) nach DSGVO mit Standardvertragsklauseln (SCC); unsere Verarbeitung in der Türkei erfolgt gemäß KVKK.

Häufig gestellte Fragen

Was ist PHP2Shell?

PHP2Shell ist die Bezeichnung für zwei kritische Schwachstellen im PHP-Interpreter mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Das PHP-Sicherheitsteam hat beide nach CVSS v4.0 mit 9,2 bewertet. Sie können Remote Code Execution ohne Authentifizierung ermöglichen.

Mein Anwendungscode ist sicher. Bin ich trotzdem betroffen?

Ja. Die Lücke liegt nicht in Ihrem Anwendungscode, sondern im PHP-Interpreter selbst. Ob WordPress, Laravel, Magento, Drupal, Joomla oder individuelles PHP spielt keine Rolle: Jede Website auf einer ungepatchten PHP-Version ist gefährdet.

Welche PHP-Versionen sind sicher?

Die Sicherheitsreleases vom 21. Oktober 2026 sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für 8.1, 8.0 und 7.4 gibt es kein offizielles PHP-Release; Anbieter wie cPanel und CloudLinux liefern Korrekturen in eigenen Paketen. Für 7.3 und älter gibt es in den meisten Umgebungen keinen Fix.

Ich nutze Shared Hosting. Was soll ich tun?

Beim Shared Hosting aktualisiert der Anbieter die PHP-Pakete. Lassen Sie sich schriftlich bestätigen, dass das gepatchte PHP-Paket installiert und session.upload_progress.enabled deaktiviert ist. Läuft Ihre Website auf 8.1 oder älter, planen Sie den Wechsel auf 8.3 oder 8.4.

Woran erkenne ich, ob ich angegriffen wurde?

Zu den Anzeichen gehören ungewöhnliche Multipart-Anfragen mit Speicherlimit-Fehlern, wiederholte HTTP-500-Antworten, ungewöhnlich große PHPSESSID-Cookies und unerklärliche PHP-Prozessneustarts. Anwendungslogs zeigen oft nichts, weil das Problem unterhalb der Anwendung liegt. Im Zweifel sind eine forensische Prüfung und die Erneuerung der Zugangsdaten nötig.

Wie schnell reagiert 360 Soft?

Die erste Einschätzung erfolgt am Tag des Eingangs Ihrer Anfrage. Bei einer Website auf einem einzelnen Server ist der Patch oder die Übergangsmaßnahme meist innerhalb von 24 Stunden abgeschlossen. Bei mehreren Servern, Altversionen oder individueller Software erstellen wir zuerst ein Inventar und arbeiten es nach Priorität ab.

Reicht eine WAF-Regel aus?

Nein. WAF-Regeln blockieren bekannte Angriffsmuster und verschaffen Zeit, neue Varianten können sie jedoch umgehen. Die vollständige Lösung ist das PHP-Update.

Arbeiten Sie auch außerhalb der Geschäftszeiten?

Ja. Anfragen werden auch außerhalb der Geschäftszeiten an das Team weitergeleitet, und für Vorfälle können 24/7-Schichten vereinbart werden.

Schließen Sie eine NDA und einen AVV ab?

Ja. Die NDA kann vor dem ersten Gespräch unterzeichnet werden. Bei personenbezogenen Daten schließen wir einen AVV nach DSGVO mit Standardvertragsklauseln; unsere Verarbeitung in der Türkei folgt dem KVKK.

Was ist nach dem Notfall-Patch zu tun?

Planen Sie das Versions-Upgrade für nicht mehr unterstützte Zweige, lassen Sie eine unabhängige Prüfung wie einen Penetrationstest durchführen und richten Sie ein kontinuierliches Schwachstellenmanagement ein, damit die nächste kritische CVE schnell gefunden und behoben wird.

Notfallunterstützung anfragen

Nennen Sie uns die Adresse Ihrer Website, die eingesetzte Plattform (WordPress, Laravel, individuelles PHP, Magento usw.) und die Hosting-Art (Shared Hosting, VPS, Cloud oder eigener Server). Telefon und WhatsApp: +90 850 335 10 87, WhatsApp, E-Mail info@360-soft.com oder unsere Kontaktseite. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti., Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul. Alle Leistungen: IT-Outsourcing Türkei.

Quellen: PHP-Sicherheitsankündigung (21. Oktober 2026), Erklärung der türkischen Cybersicherheitsbehörde (21. Oktober 2026), technische Hinweise von Tenable, Wiz, InMotion Hosting und Patchstack. Stand: 22. Oktober 2026; die Seite wird bei neuen Entwicklungen aktualisiert.