Kurz gesagt: Zwei kritische Lücken in PHP, zusammen „PHP2Shell“ genannt, erlauben Angreifern, ohne Login fremden Code auf Webservern auszuführen. Die Details sind vorzeitig öffentlich geworden, die Updates kamen am 21.10.2026 nachmittags. Das BSI warnt mit Stufe Orange. Wer eine Webseite mit PHP betreibt, spielt das Update heute ein und prüft danach, ob vorher jemand eingedrungen ist.

Was passiert ist

PHP ist die Programmiersprache, mit der ein großer Teil aller Webseiten läuft, zum Beispiel jede Seite mit WordPress, TYPO3 oder Magento. Laut W3Techs nutzen rund 70 % der Webseiten mit bekannter Servertechnik PHP (Stand Oktober 2026).

Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Eine CVE-Nummer ist die weltweit einheitliche Kennung einer Sicherheitslücke. Beide haben einen CVSS-Wert von 9,2 von 10, CVSS ist die übliche Skala für die Schwere einer Lücke. Betroffen ist jede PHP-Installation, die Anfragen aus dem Netz beantwortet, egal ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed.

Warum es gerade jetzt so eilig ist

Normalerweise erscheinen Details zu einer Lücke erst zusammen mit dem Update. Diesmal sind sie am 20.10.2026 vorzeitig durchgesickert, zwei Tage vor dem geplanten Termin. Das PHP-Team hat die Updates deshalb am 21.10.2026 um 16 Uhr deutscher Zeit vorgezogen. Angreifer kannten die Schwachstelle damit, bevor viele Betreiber patchen konnten. Das BSI vergleicht die Lage mit Log4Shell, der Java-Lücke von 2021, daher der Name.

Mehrere Sicherheitsfirmen berichten von ersten Angriffsversuchen, bestätigt ist eine breite Ausnutzung noch nicht. Das BSI rät: Wer nicht sofort aktualisieren kann, nimmt den Server im Zweifel vom Netz.

Warum Behörden und Kliniken ihre Seiten abschalten

Seit dem Nachmittag des 21.10. sind Seiten von Kommunen, Behörden, Hochschulen und Kliniken nicht erreichbar, die Landeshauptstadt Mainz hat zum Beispiel mainz.de abgeschaltet. Das ist Vorsicht nach der Empfehlung des BSI. Eine abgeschaltete Seite ist nicht automatisch gehackt. Die Betreiber spielen in Ruhe das Update ein und prüfen ihre Server, bevor sie wieder online gehen.

Was Sie jetzt tun

  1. Alle PHP-Installationen erfassen. Dazu zählen auch Seiten, die eine Agentur oder ein Hoster für Sie betreibt: Webseite, Karriereportal, Shop, Intranet, Buchungsstrecke.
  2. Update einspielen oder bestätigen lassen. Sichere Fassungen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Fragen Sie Ihren Hoster schriftlich, ob diese Fassung läuft. Für die ausgelaufenen Versionen 7.4, 8.0 und 8.1 gibt es laut BSI nachgereichte Korrekturen, aber kein reguläres Update.
  3. Überbrücken, wenn es heute nicht klappt. Die Einstellung session.upload_progress.enabled abschalten mindert das Risiko, ersetzt das Update aber nicht. Sicherer ist es, die Seite bis zum Update vom Netz zu nehmen.
  4. Auf Spuren prüfen. Ein Update schließt die Lücke, sagt aber nicht, ob vorher jemand eingedrungen ist. Prüfen Sie den Webordner auf neue oder unbekannte Dateien und Ihre Server auf PHP-Prozesse, die eine Kommandozeile oder Programme wie curl und wget starten.
  5. Melden, wenn etwas auffällt. Wer unter NIS 2 fällt, meldet einen erheblichen Vorfall binnen 24 Stunden an das BSI. Zugangsdaten auf einem betroffenen Server gelten als bekannt und werden gewechselt.

Was der Fall zeigt

Die Webseite wird oft als Werbefläche betrachtet, nicht als Teil der IT. Dabei läuft sie auf einem Server, der mit dem Internet verbunden ist und oft Formulare, Kundendaten und Zugänge zu anderen Systemen enthält. Wer nicht weiß, welche PHP-Fassung bei der Agentur läuft und wer im Notfall das Update einspielt, verliert in solchen Lagen Stunden. Eine kurze Liste aller Webanwendungen mit Verantwortlichen und ein vereinbarter Patch-Weg mit dem Dienstleister lösen das.

Wie GermanAI Defense unterstützt

Wir bieten einen Webseiten-Schnellcheck an: Wir erfassen Ihre öffentlichen Webanwendungen, prüfen die PHP-Fassung und den Update-Stand von außen und suchen auf Wunsch auf dem Server nach Spuren eines Eindringens. Sie erhalten eine kurze Liste mit Befund und nächsten Schritten.

→ Mehr zu unseren Cybersecurity Services: Cybersecurity Services ansehen

Quellen: BSI-Cybersicherheitswarnung, Version 1.1, 21.10.2026 · Huntress, 21.10.2026 · ZDFheute, 21.10.2026 · W3Techs