Security · 21.10.2026
Das PHP-Sicherheitsteam hat außerplanmäßige Updates veröffentlicht, um zwei kritische Schwachstellen zur Remote-Code-Execution (RCE) zu schließen.
Das PHP-Sicherheitsteam hat überraschend außerplanmäßige Sicherheitsupdates veröffentlicht, um zwei kritische Schwachstellen zu schließen. Die unter dem Namen „PHP2Shell“ zusammengefassten Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) ermöglichen Angreifern die Remotecodeausführung (RCE) auf betroffenen Webservern. Administratoren von Web-Infrastrukturen im DACH-Raum sollten dringend handeln, da die Schwachstellen als hochgradig kritisch eingestuft werden.
PHP bildet das technologische Fundament für einen Großteil aller Websites und webbasierten Geschäftsanwendungen weltweit. Da die Sicherheitslücken eine Remotecodeausführung erlauben, können Angreifer im schlimmsten Fall die vollständige Kontrolle über den betroffenen Webserver erlangen. Dies gefährdet nicht nur die Verfügbarkeit von Unternehmens-Websites und Kundenportalen, sondern öffnet auch Tür und Tor für den Abfluss sensibler Geschäftsdaten oder die Einschleusung von Ransomware in das interne Firmennetzwerk. Besonders für IT-Verantwortliche in kleinen und mittelständischen Unternehmen (KMU) sowie Administratoren, die Webserver selbst hosten oder verwalten, besteht unmittelbares Risiko. Ein erfolgreicher Angriff kann erhebliche finanzielle Schäden und Reputationsverluste nach sich ziehen, insbesondere im datenschutzsensiblen DACH-Raum.
Die wichtigste Maßnahme ist die sofortige Überprüfung der installierten PHP-Versionen auf allen produktiven und Test-Systemen. Das PHP-Entwicklerteam hat bereits gepatchte Versionen bereitgestellt, die diese Schwachstellen beheben. IT-Abteilungen sollten die folgenden Schritte umgehend einleiten:
Die Entdeckung der PHP2Shell-Schwachstellen verdeutlicht einmal mehr, wie verwundbar die Basis-Infrastruktur des Webs sein kann. Ein schnelles und strukturiertes Patch-Management ist für IT-Verantwortliche die einzige wirksame Verteidigungslinie, um geschäftskritische Systeme vor der Ausnutzung solcher kritischen Lücken zu schützen.
Quelle: BleepingComputer