Aktuelles | schnedhuber.de https://schnedhuber.de/aktuelles/ Neuigkeiten aus IT-Sicherheit, Recht, KI und Digitalisierung, verständlich erklärt: was passiert ist, wen es betrifft und was Sie als Erstes tun können. de-DE Thu, 29 Oct 2026 07:00:00 GMT php2shell: Kritische PHP-Lücke betrifft fast jede Firmenwebsite https://schnedhuber.de/aktuelles/php2shell-update-hoster-fragen/ https://schnedhuber.de/aktuelles/php2shell-update-hoster-fragen/ Zwei Lücken in PHP erlauben Angriffe ohne Anmeldung. Wer eine Website mit WordPress, Joomla oder Shop betreibt, sollte das Update jetzt prüfen. Am 21. Oktober hat das PHP-Projekt zwei Sicherheitslücken geschlossen, die unter dem Namen php2shell bekannt geworden sind. Beide gelten als kritisch und betreffen nach Angaben von heise online sämtliche PHP-Versionen der vergangenen 20 Jahre. Angreifer können darüber ohne Anmeldung eigenen Code auf dem Server ausführen.

2kritische Lücken, CVSS 9.2
20 Jahrealte PHP-Versionen betroffen
38 Sek.bis Code läuft, im Test der Entdecker
MillionenAngriffsversuche laut Cloudflare

Warum das fast jede Firmenwebsite betrifft

WordPress, Joomla, TYPO3 und die meisten Shopsysteme laufen auf PHP. Ob eine Seite angreifbar ist, entscheidet deshalb die PHP-Version auf dem Server. Ein aktuelles WordPress allein schützt nicht, solange darunter eine alte PHP-Version läuft.

So läuft ein Angriff über php2shell
  1. 1Die Website läuft auf einer alten PHP-Version
  2. 2Ein Angreifer schickt automatisiert zehntausende Anfragen
  3. 3Fremder Code läuft auf dem Server
  4. 4Erst das PHP-Update schließt die Lücke

Die Angriffe laufen bereits. Cloudflare zählte laut Reuters Millionen Versuche, heise berichtet auch von erfolgreichen Einbrüchen. Mehrere Anbieter haben ihre Seiten vorübergehend abgeschaltet, bis die Updates bereitstanden.

Wer das Update einspielen muss

Abgesichert sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere Versionszweige stehen nicht in der Liste, wer noch damit arbeitet, braucht ein Upgrade.

Wer ist für das PHP-Update zuständig?
Gemieteter WebspaceEigener Server, NAS, Container
ZuständigIhr HosterSie oder Ihr Dienstleister
Ihr SchrittUpdate schriftlich bestätigen lassenUpdate einspielen, PHP-Dienste neu starten
NachweisAntwort des HostersVersionsanzeige mit php -v

Heikel sind ältere Agenturprojekte ohne Wartungsvertrag. Dort spielt oft niemand mehr Updates ein, und genau diese Seiten sind jetzt das leichteste Ziel.

Das sollten Sie diese Woche erledigen
  • Hoster oder Dienstleister fragen, ob PHP auf eine abgesicherte Version aktualisiert ist
  • Die Antwort schriftlich ablegen
  • Eigene Server, NAS-Geräte und Container aktualisieren und PHP-Dienste neu starten
  • Prüfen, ob auf vergessenen Geräten wie einem Raspberry Pi noch PHP läuft

Wenn Sie Hosting und Updates nicht selbst im Blick behalten wollen, übernehme ich das im Website-Abo.

Von Maximilian Schnedhuber, 29. Oktober 2026. Beitrag auf schnedhuber.de

]]> Maximilian Schnedhuber IT-Sicherheit Thu, 29 Oct 2026 07:00:00 GMT