Die tschechische Nationale Behörde für Cyber- und Informationssicherheit (NÚKIB) hat am 21. Oktober 2026 vor zwei kritischen Sicherheitslücken in PHP gewarnt, der Programmiersprache, auf der die meisten Websites der Welt laufen. Fachleute nennen sie php2shell (CVE-2026-109618 und CVE-2026-109619). Über sie kann ein Angreifer auf dem Server ein eigenes Programm ausführen, und zwar ganz ohne Passwort. Die Details sind schon vor Erscheinen der Patches durchgesickert, und eine Anleitung zum Ausnutzen ist öffentlich verfügbar.

Es gibt eine Lösung, und zwar nur eine: PHP aktualisieren. Im Folgenden beschreiben wir, wie Sie herausfinden, ob Sie betroffen sind, und was Sie tun sollten, je nachdem, wo Ihre Website läuft.

Bin ich betroffen?

Wahrscheinlich ja, wenn Ihre Website oder Anwendung läuft auf:

  • WordPress, Joomla, Drupal oder einem anderen Content-Management-System, bei dem Sie sich über /wp-admin oder /administrator anmelden,
  • einem Onlineshop auf eigenem Hosting (PrestaShop, WooCommerce, Magento),
  • einem Bestell- oder Reservierungssystem, Intranet, einer Zeiterfassung oder einer anderen individuell entwickelten Webanwendung, sofern sie in PHP geschrieben ist.

Nicht betroffen sind Sie, wenn Sie Ihre Website oder Ihren Onlineshop bei einem fertigen Dienst haben, bei dem Sie sich nicht um den Server kümmern (Shoptet, Webnode, Wix und ähnliche). Dort übernimmt der Betreiber des Dienstes das Update.

Wichtig ist: Es spielt keine Rolle, wie stark Ihr Passwort für die Administration ist. Der Fehler steckt in PHP selbst, und der Angreifer nutzt ihn aus, bevor die Website überhaupt zur Prüfung der Anmeldung kommt.

Was zu tun ist, je nachdem, wo die Website läuft

Website auf Shared Hosting (z. B. bei den tschechischen Anbietern Wedos, Websupport, Active24)

Die meisten großen Hoster aktualisieren PHP selbst und schnell. Prüfen Sie es trotzdem:

  1. Melden Sie sich in der Hosting-Verwaltung an und suchen Sie die PHP-Einstellungen Ihrer Website.
  2. Die korrigierten Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12 und neuer. Wenn Sie eine ältere Versionsreihe gewählt haben (7.4, 8.0, 8.1), wechseln Sie auf eine neuere. Sichern Sie die Website vor dem Wechsel und klicken Sie sich direkt danach durch.
  3. Wenn Sie unsicher sind, schreiben Sie Ihrem Hoster eine Anfrage. Die Antwort „behoben“ sollte er parat haben.

Eigener Server oder virtueller Server

Hier liegt das Update bei Ihnen oder Ihrem IT-Betreuer:

  • Aktualisieren Sie nur die PHP-Pakete, nicht das ganze System auf einmal. Falls etwas schiefgeht, wissen Sie sofort, was es verursacht hat.
  • Erstellen Sie vor dem Update ein Backup oder einen Snapshot des Servers. Läuft die Website nach dem Update nicht, stellen Sie sie in einer Minute wieder her.
  • Starten Sie nach dem Update den Webserver neu (Apache, PHP-FPM). Solange die alten Prozesse laufen, greift der Patch nicht.
  • Nutzen Sie die Gelegenheit und installieren Sie auch die übrigen Sicherheitsupdates des Systems. Oft stellt man fest, dass der Server monatelang nicht angefasst wurde.
Ein Techniker aktualisiert nachts einen Server und prüft morgens mit der Firmeninhaberin die Website auf dem Tablet
Backup, PHP-Update, Neustart und Prüfung der Website. Für jeden Server einzeln.

Alte Website, die auf neuem PHP nicht läuft

Das ist der schwierigste Fall. Eine Anwendung, die vor Jahren für PHP 7 oder älter geschrieben wurde, läuft auf der neuen Version oft nicht, und für die alten PHP-Versionsreihen haben die Entwickler keinen Patch veröffentlicht. Dann haben Sie drei Möglichkeiten:

  1. Die Anwendung auf eine neue PHP-Version umstellen. Das ist die dauerhafte Lösung, dauert aber je nach Größe der Anwendung Tage bis Wochen.
  2. Bis dahin den Zugriff einschränken. Wenn die Anwendung nur von wenigen Filialen oder Mitarbeitenden genutzt wird, stellen Sie auf dem Server ein, dass nur deren IP-Adressen Zugriff haben. Alle anderen erhalten „Zugriff verweigert“, bevor die Anfrage PHP erreicht. Das funktioniert auch als Passwort auf Serverebene, das vor der eigentlichen Seite eingegeben wird.
  3. Eine einfache Website statisch machen. Eine Präsentationswebsite, auf der sich nur ab und zu ein Text oder die Speisekarte ändert, braucht überhaupt kein PHP. Eine statische Kopie läuft ohne Content-Management-System, und diese Lücke betrifft sie nicht.

Achtung: PHP 8.2 erhält ab dem 31. Dezember 2026 keine Patches mehr. Wenn Sie jetzt innerhalb der Reihe 8.2 aktualisieren, planen Sie für nächstes Jahr den Umstieg auf 8.3 oder neuer ein.

Wie Sie erkennen, ob schon jemand eingedrungen ist

Die Lücke wurde schon vor Erscheinen des Patches ausgenutzt. Das Update schließt die Tür, wirft aber niemanden hinaus, der bereits drin ist. Prüfen Sie nach dem Update deshalb:

  • unbekannte Prozesse, die unter dem Benutzer des Webservers laufen, typischerweise Programme, die den Prozessor auslasten (Mining von Kryptowährungen),
  • neue oder geänderte .php-Dateien in den Ordnern der Website, vor allem in Verzeichnissen für hochgeladene Bilder,
  • ungewöhnlich hohe Auslastung des Servers oder ausgehenden Datenverkehr ohne erkennbaren Grund,
  • neue Benutzer in der Administration der Website.

Wenn Sie etwas davon finden, genügt es nicht, die Datei zu löschen. Der ganze Server muss überprüft werden, alle Passwörter (für Datenbank, FTP, Administration) müssen geändert werden, und im schlimmeren Fall muss er aus einem Backup wiederhergestellt werden, das älter ist als der Angriff.

Wie wir es bei uns gelöst haben

NÚKIB hat die Warnung am Abend des 21. Oktober verschickt, und noch am selben Abend sind wir alle Websites und Server durchgegangen, die wir betreuen:

  • Die meisten unserer Websites verwenden überhaupt kein PHP, die Lücke betraf sie also nicht.
  • Webserver mit PHP haben wir noch in derselben Nacht aktualisiert, einen nach dem anderen und jeweils mit vorherigem Backup. Gleich mit haben wir die übrigen ausstehenden Sicherheitsupdates installiert. Interne Systeme wie der Mailserver folgen in separaten Wartungsfenstern.
  • Eine ältere Anwendung, die auf neuem PHP nicht läuft, haben wir bis zu ihrer Umstellung auf die IP-Adressen der Filialen beschränkt, die sie nutzen.
  • Eine einfache Präsentationswebsite auf einem Content-Management-System stellen wir auf eine statische Website um, damit PHP und seine Updates nicht mehr nötig sind.

Die Live-Websites waren während des Updates nur wenige Sekunden nicht erreichbar, für die Dauer des Webserver-Neustarts. Eine Sache hat uns allerdings überrascht: Auf dem Testserver startete die Datenbank nach den Sicherheitsupdates wegen einer Änderung in der neuen Version nicht. Deshalb aktualisieren wir immer zuerst die Testumgebung und erst danach den Live-Betrieb.

Zusammenfassung

  • Haben Sie eine Website auf WordPress, Joomla oder eine eigene Anwendung in PHP? Prüfen Sie die PHP-Version noch heute und aktualisieren Sie auf 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer.
  • Bei Shared Hosting genügt es, die Einstellungen zu prüfen. Auf dem eigenen Server: sichern, aktualisieren, neu starten und die Website prüfen.
  • Eine alte Anwendung, die sich nicht aktualisieren lässt, verstecken Sie bis zu ihrer Umstellung hinter einer Beschränkung auf IP-Adressen.
  • Wenn Sie nach dem tschechischen Cybersicherheitsgesetz eine regulierte Organisation sind, gehört ein solcher Eingriff auch in Ihre Dokumentation. Mehr dazu im Artikel Betrifft Sie NIS2?

Sie wissen nicht, worauf Ihre Website läuft, oder haben niemanden, der das Update durchführt? Wir finden es für Sie heraus und sagen Ihnen innerhalb eines Tages, ob die Lücke Sie betrifft und was zu tun ist. Bestellen Sie eine kostenlose Prüfung.