Heute, am 21. Oktober, ist ein wichtiges Sicherheitsupdate für PHP erschienen. Es schließt zwei Lücken, die so schwer wiegen, dass ich sie nicht nur meinen Kunden erklären will, sondern allen, die eine Website betreiben.
Denn betroffen sind nicht einzelne Plugins oder ein bestimmtes System. Betroffen ist das Fundament, auf dem die meisten Websites laufen.
Was ist PHP überhaupt?
PHP ist eine Programmiersprache, die auf dem Webserver läuft. Sie baut die Seiten zusammen, die Ihre Besucher sehen. Wenn jemand Ihre Website aufruft, arbeitet im Hintergrund PHP.
WordPress basiert auf PHP. TYPO3 auch. Statamic ebenfalls. Dazu unzählige Shops, Kundenportale und andere Softwarelösungen.
Das Content-Management-System ist also das, womit Sie Ihre Inhalte pflegen. PHP ist das, worauf dieses System läuft.
Was macht diese Lücke so gefährlich?
Ein Angreifer braucht keinen Login. Er schickt präparierte Anfragen an den Server und kann damit eigene Befehle ausführen.
Und das klappt, bevor überhaupt TYPO3, WordPress, Statamic oder irgendein anderes CMS läuft.
Genau das ist das große Problem. Alle Sicherheitsmaßnahmen, die Ihr CMS mitbringt, greifen hier nicht. Ein sicheres Passwort, ein Login-Schutz, ein aktuelles WordPress – all das kommt erst später dran. Der Angriff passiert eine Ebene darunter.
Was ein Angreifer damit anrichten kann
Gelingt der Angriff, hat der Angreifer im Prinzip die Rechte des Webservers. Damit kann er:
- Dateien ändern – also auch Ihre Website selbst.
- eine Hintertür ablegen, über die er später jederzeit wieder Befehle ausführen kann.
- Zugangsdaten abgreifen, zum Beispiel aus der
.env-Datei.
Die .env-Datei ist eine kleine Datei, die in vielen modernen Websites liegt. Darin stehen Passwörter und Zugangsdaten: zur Datenbank, zum E-Mail-Versand, zu angebundenen Diensten. Wer diese Datei hat, hat oft deutlich mehr als nur die Website.
Wer ist betroffen?
Beide Lücken sind sehr kritisch. Und betroffen sind im Prinzip alle Softwarelösungen, die auf PHP basieren.
Unter Fachleuten laufen die beiden Lücken als PHP2Shell, offiziell unter den Nummern CVE-2026-109618 und CVE-2026-109619. Mit diesen Nummern können Sie bei Ihrem Hoster oder Dienstleister gezielt nachfragen.
Geschlossen sind die Lücken in diesen PHP-Versionen:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Diese Versionen sind seit heute verfügbar. Das heißt aber noch nicht, dass sie auch auf Ihrem Server laufen. Der Hoster oder Ihr Dienstleister muss das Update erst einspielen – und das kann je nach Anbieter Stunden oder Tage dauern. Fragen Sie nach, statt davon auszugehen.
Besonders kritisch wird es bei älteren Versionen. Verwundbar ist PHP ab Version 5.4. Neue Patches gibt es aber nur für 8.2 bis 8.5. Läuft Ihre Website noch auf PHP 8.1, 7.4 oder älter, kommt kein Update mehr, das die Lücke schließt. Dann hilft nur der Umstieg auf eine aktuelle PHP-Version – und dafür muss oft auch das CMS mitziehen.
Was wir daraus lernen können
1. Lücken werden immer schneller ausgenutzt
Sicherheitslücken und Gefahren werden größer, gerade durch KI. Und sie lassen sich immer schneller ausnutzen.
Dieser Fall zeigt das deutlich. Die Lücke ist vorzeitig durchgesickert. Das Update erscheint aber erst heute. Angreifer hatten also schon Zeit, gezielt nach Websites und Softwarelösungen auf PHP-Basis zu suchen und die Lücke auszunutzen – bevor überhaupt jemand etwas dagegen tun konnte.
Zwischen „Lücke bekannt" und „Lücke ausgenutzt" liegen heute keine Wochen mehr.
2. Updates werden immer wichtiger
Daraus folgt die zweite Lehre: Updates sind kein „machen wir irgendwann". Egal, welches CMS Sie nutzen – es sollte immer auf dem aktuellen Stand sein. Und das gilt nicht nur für das CMS, sondern auch für die Technik darunter.
Eine Website ist nach dem Livegang nicht fertig. Sie braucht jemanden, der sie im Blick behält.
Ihr nächster Schritt
Sie wissen nicht, auf welcher PHP-Version Ihre Website läuft? Oder wer bei Ihnen die Updates einspielt? Dann melden Sie sich bei mir. Ich schaue mir das an und sage Ihnen ehrlich, wo Sie stehen – in einer kostenlosen, unverbindlichen Beratung, ohne Verkaufstricks.
Wenn Sie sich um Updates gar nicht mehr selbst kümmern wollen: Bei der Website-Betreuung übernehme ich das für Sie, egal wo Ihre Seite liegt.