Häufige Fragen

PHP2Shell bezeichnet zwei kritische Lücken in PHP selbst (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2). Sie können es Angreifern erlauben, ohne Anmeldung Schadcode auf dem Server auszuführen. Patches gibt es seit dem 21.10.2026.

Die Korrekturen stecken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Hoster und Distributionen spielen teils Backports ein, ohne die Versionsnummer zu ändern. Entscheidend ist der Paketstand oder die schriftliche Bestätigung des Anbieters.

Nein. Die Lücke liegt in PHP, nicht im CMS. Ein CMS-Update schließt sie nicht. Und ein PHP-Patch entfernt keinen Schadcode, der vorher schon eingeschleust wurde.

Wir arbeiten remote und starten, sobald die Zugänge da sind. Schreiben Sie uns per WhatsApp System, PHP-Version und Beobachtung. Dann klären wir das Vorgehen direkt.

Ja. Wir arbeiten direkt für Unternehmen, im Auftrag von Agenturen im Hintergrund und in Abstimmung mit Ihrem Hoster, wenn dieser den Server verwaltet.

Wenn personenbezogene Daten betroffen sein können, gilt nach Art. 33 DSGVO in der Regel eine Meldefrist von 72 Stunden ab Kenntnis. Ob sie greift, klären Sie mit Ihrem Datenschutzbeauftragten. Wir liefern die technische Dokumentation dafür.

Nein. Die Lücken stecken in PHP, also in der Programmiersprache, auf der WordPress, Shopware, TYPO3 und viele andere Systeme laufen. Ein Update des CMS schließt sie deshalb nicht. Entscheidend ist der PHP-Stand auf dem Server.

Beim Shared Hosting spielt in der Regel der Hoster das PHP-Update ein. Sie sollten sich trotzdem schriftlich bestätigen lassen, dass die von Ihnen genutzte PHP-Version gepatcht und neu gestartet wurde. Ob vor dem Patch etwas passiert ist, beantwortet das Update nicht.

Der Name beschreibt die Folge: Über PHP kann ein Angreifer im schlimmsten Fall eine Kommandozeile, also eine Shell, auf dem Server erlangen. Offizielle Bezeichnungen sind die CVE-Nummern CVE-2026-109618 und CVE-2026-109619.

Nicht unbedingt. Einige Anbieter haben Websites vorsorglich vom Netz genommen, wie es das BSI empfiehlt, wenn ein Update nicht sofort möglich ist. Das ist eine Schutzmaßnahme und kein Beleg für einen Angriff.

Das kann reichen, wenn der Hoster den Paketstand schriftlich bestätigt und alle PHP-Prozesse neu gestartet wurden. Die angezeigte Versionsnummer allein ist kein Beleg, weil Distributionen Backports einspielen. Ob der Server vorher schon angegriffen wurde, beantwortet ein Patch ohnehin nicht.

Nicht zwingend. Das BSI empfiehlt, Webserver vorübergehend vom Netz zu nehmen, wenn das Update nicht sofort möglich ist. Ob das bei Ihnen nötig ist, entscheiden wir gemeinsam nach der Bestandsaufnahme.

Nein. PHP2Shell steckt in PHP selbst, nicht im CMS. Ein CMS-Update bleibt sinnvoll, schließt diese Lücke aber nicht.

Für diese Versionen gibt es keine offiziellen Updates mehr vom PHP-Projekt, nur minimale Quell-Backports für 7.4, 8.0 und 8.1. Wir sichern den Server übergangsweise ab und planen mit Ihnen den Umstieg auf eine unterstützte Version.

Nach Art. 33 DSGVO ab dem Zeitpunkt, zu dem der Verantwortliche von der Verletzung Kenntnis erlangt hat. Wann das im Einzelfall anzunehmen ist, ist eine rechtliche Bewertung. Dokumentieren Sie deshalb genau, wann wer welche Information hatte.

Nein. Eine Lücke allein ist noch keine Verletzung des Schutzes personenbezogener Daten. Meldepflichtig kann es werden, wenn es Hinweise gibt, dass Unbefugte Zugriff auf solche Daten hatten oder haben konnten, und daraus ein Risiko für Betroffene entsteht.

Art. 33 Abs. 4 DSGVO erlaubt, Informationen schrittweise nachzureichen, wenn sie nicht zur gleichen Zeit bereitgestellt werden können. Eine verspätete Meldung ist zu begründen. Warten auf vollständige Klarheit ist daher in der Regel kein Grund, die Frist verstreichen zu lassen.

Meldepflichtig ist der Verantwortliche, also in der Regel das Unternehmen, das die Website betreibt. Ein Auftragsverarbeiter wie der Hoster muss den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich informieren.

Bei der zuständigen Datenschutz-Aufsichtsbehörde, für Unternehmen meist die Behörde des Bundeslandes, in dem sie ihren Sitz haben. Die meisten Behörden bieten dafür Online-Formulare an.