Ein PHP-Update ist jetzt dringend. Es ist aber nicht dasselbe wie ein Sicherheitsnachweis. Die beiden kritischen PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619 („PHP2Shell“) können unauthentifizierte Codeausführung ermöglichen. Betroffen sind nicht nur einzelne CMS-Plugins, sondern die PHP-Laufzeit – auch in WordPress-Umgebungen.
Was Verantwortliche jetzt tun sollten
- Alle öffentlich erreichbaren PHP-Anwendungen und ihre tatsächlich laufenden Versionen erfassen.
- Auf eine korrigierte Version aktualisieren: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 – oder den bestätigten Backport des Hosters einspielen lassen.
- Kann nicht sofort gepatcht werden, sollte die Anwendung kontrolliert vom Internet getrennt werden. Sichtbare Wartung ist dabei besser als unklare Erreichbarkeit.
- Nach dem Patch Logs, Dateien, Benutzerkonten und geplante Aufgaben prüfen. Ein Patch schließt den bekannten Weg für die Zukunft, er beweist keine saubere Vergangenheit.
- Für jedes System einen verantwortlichen Eigentümer, einen Updateweg und einen Wiederanlauftest festlegen.
Warum „offline“ nicht das Ende der Arbeit ist
Viele Betreiber schalten Websites vorsorglich ab. Das kann die Angriffsfläche sofort reduzieren und zeigt, dass die Lage ernst genommen wird. Entscheidend ist jedoch, was danach passiert: Ist die betroffene Runtime identifiziert? Ist der Patch wirklich aktiv? Gab es zuvor Auffälligkeiten? Und kümmert sich künftig jemand verbindlich um das System?
Dass ein Fehler möglicherweise lange im Code vorhanden war, ist kein Beweis für eine frühere Ausnutzung. Ohne belastbare Telemetrie wäre das Spekulation. Genau deshalb gehören Patchen und eine angemessene Prüfung zusammen.
Die technische Einordnung, Hintergründe und eine ausführlichere Checkliste finden sich im Beitrag auf Der Telemann. Maßgeblich bleiben die Hinweise des PHP-Projekts; ENISA empfiehlt, öffentlich erreichbare Systeme zu priorisieren und bis zum Patch gegebenenfalls zu isolieren.
Stand: 22. Oktober 2026. Dieser Beitrag ist eine allgemeine Einordnung und ersetzt keine Prüfung der konkreten Umgebung.
← Alle Beiträge