Kurz gesagt: PHP2Shell sind zwei kritische Lücken in PHP selbst, über die Angreifer ohne Anmeldung Schadcode ausführen können. Wenn Sie schnell Hilfe bei dieser PHP-Sicherheitslücke brauchen, übernehmen wir remote die Bestandsaufnahme, das Patchen oder eine Übergangsmaßnahme, den Neustart aller PHP-Prozesse und eine erste Spurensuche. Am Ende erhalten Sie einen schriftlichen Nachweis des Stands.
Hilfe bei der PHP-Sicherheitslücke: warum jetzt gehandelt werden muss
Am 21.10.2026 um 16 Uhr deutscher Zeit hat das PHP-Projekt Patches für CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Beide Lücken sind mit CVSS v4.0 9.2 bewertet und erlauben die Ausführung von Schadcode aus der Ferne, ohne dass sich jemand anmelden muss. Betroffen sind die üblichen Betriebsarten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Das BSI hat Warnstufe 3 (Orange) ausgegeben. Es empfiehlt das sofortige Update und, wenn das nicht sofort geht, die Webserver vorübergehend vom Netz zu nehmen. Palo Alto Networks (Unit 42) zählte mehr als 22,6 Millionen exponierte, potenziell verwundbare Instanzen. Bestätigte erfolgreiche Angriffe in der Breite waren laut BSI zunächst nicht bekannt, Cloudflare meldete aber bereits Angriffsversuche.
Für Geschäftsführung und Inhaber heißt das: Jeder öffentlich erreichbare PHP-Server ist ein Kandidat, bis das Gegenteil belegt ist. Eine verständliche Erklärung der Lücke finden Sie unter Was ist PHP2Shell?.
Für wen ist die PHP2Shell-Soforthilfe gedacht?
Für Unternehmen, Agenturen und öffentliche Stellen, die PHP-Anwendungen betreiben und die Lage nicht allein in der nötigen Tiefe abarbeiten können oder wollen. Das betrifft eigene Root-Server und vServer ebenso wie Server mit Plesk oder cPanel, Container-Umgebungen und Managed Server, bei denen die Zuständigkeit unklar ist.
Auch wer einen Hoster hat, braucht oft Unterstützung. Viele Anbieter spielen Backports ein; dann zeigt etwa Plesk weiter 8.2.34 an, obwohl der Paketstand gepatcht ist. Umgekehrt kann eine neue Versionsnummer angezeigt werden, während alte PHP-Prozesse noch im Speicher laufen. Welche Stände als behoben gelten, steht auf Welche PHP-Versionen sind betroffen?.
Wie hilft PHP SOS konkret?
- Bestandsaufnahme: Wir erfassen alle PHP-Installationen, Betriebsarten und Versionen auf Ihren Servern, einschließlich Paketstand und laufender Prozesse. Ergebnis ist eine Liste, welche Systeme betroffen, behoben oder unklar sind.
- Patch oder Übergangsmaßnahme: Wo möglich, spielen wir die behobenen Versionen ein (8.5.12, 8.4.27, 8.3.36, 8.2.35) oder die Pakete Ihrer Distribution. Geht das nicht sofort, setzen wir die Übergangsmaßnahmen laut php.net um und sagen offen, dass sie keinen vollständigen Schutz bieten.
- Neustart und Kontrolle: Wir starten alle PHP-Worker und Prozesse neu und prüfen danach, dass kein alter Prozess mehr läuft. Neue Dateien allein schließen die Lücke nicht.
- Erste Spurensuche: Wir sichern die Server-Logs ab dem 20.10. und suchen nach Auffälligkeiten wie neuen PHP-Dateien, unbekannten Cronjobs oder ungewöhnlichen Prozessen. Weil es keine veröffentlichten, bestätigten Indicators of Compromise gibt, beruht diese Prüfung auf Verhaltensanalyse.
- Nachweis und nächste Schritte: Sie erhalten einen schriftlichen Bericht. Bei Verdacht auf Kompromittierung empfehlen wir die passenden Folgeschritte, etwa die Malware-Entfernung oder eine forensische Untersuchung.
Ein Patch entfernt keine bereits eingeschleuste Schadsoftware und beweist nicht, dass vorher nichts passiert ist. Darum gehört zur Soforthilfe immer ein Blick auf den Zeitraum seit dem 17.10.2026.
Was Sie von uns bekommen
- eine Übersicht aller geprüften Server mit PHP-Version, Paketstand, Betriebsart und Patch-Status
- die Dokumentation der eingespielten Updates oder der gesetzten Übergangsmaßnahmen
- den Nachweis, dass alle PHP-Prozesse neu gestartet wurden
- eine Einschätzung der Spurensuche, getrennt nach belegt, wahrscheinlich und unbekannt
- eine Liste offener Punkte, zum Beispiel Systeme mit PHP 8.1 oder älter
Diesen Bericht können Sie an Geschäftsführung, Datenschutzbeauftragte oder Versicherer weitergeben. Die rechtliche Bewertung übernimmt er nicht.
Was wir von Ihnen brauchen
- Zugang: SSH- oder Panel-Zugang mit ausreichenden Rechten, alternativ eine Freigabe für Ihren Hoster, uns Auskunft zu geben
- Ansprechpartner: eine Person, die Entscheidungen treffen darf, etwa über einen kurzen Offline-Betrieb oder einen Neustart
- Überblick: welche Websites, Shops und Anwendungen auf welchen Servern laufen
- Wartungsfenster: Ihre Vorgaben, wann Neustarts erfolgen dürfen
- Backups: Auskunft, wo aktuelle Sicherungen liegen
Für Admins, die vorab selbst prüfen möchten, reicht oft schon dieser ungefährliche Blick auf den Stand:
php -v
# Debian/Ubuntu: installierte PHP-Pakete mit Version
dpkg -l | grep -i php
# laufende PHP-Prozesse und deren Startzeit
ps -eo pid,lstart,cmd | grep -i php
Was wir nicht versprechen
Wir versprechen keine absolute Sicherheit und keine Aussage, dass Ihr Server nie angegriffen wurde, wenn die Belege das nicht hergeben. Wir arbeiten so lange an dem Vorfall, bis er abgeschlossen und dokumentiert ist. Ob eine Meldepflicht nach DSGVO besteht oder Ihre Versicherung zu informieren ist, klären Sie bitte mit Datenschutzbeauftragten, Anwalt oder Versicherer. Wir liefern dafür die technischen Fakten.
Wenn Sie nur das Update mit Nachweis brauchen, passt unser PHP-Patch-Service. Gibt es bereits Anzeichen eines Angriffs, ist die Notfallhilfe bei gehackter Website der richtige Einstieg.
Häufige Fragen
Reicht es, wenn mein Hoster PHP aktualisiert hat?
Das kann reichen, wenn der Hoster den Paketstand schriftlich bestätigt und alle PHP-Prozesse neu gestartet wurden. Die angezeigte Versionsnummer allein ist kein Beleg, weil Distributionen Backports einspielen. Ob der Server vorher schon angegriffen wurde, beantwortet ein Patch ohnehin nicht.
Muss meine Website für die Soforthilfe offline gehen?
Nicht zwingend. Das BSI empfiehlt, Webserver vorübergehend vom Netz zu nehmen, wenn das Update nicht sofort möglich ist. Ob das bei Ihnen nötig ist, entscheiden wir gemeinsam nach der Bestandsaufnahme.
Schützt ein WordPress- oder Shopware-Update vor PHP2Shell?
Nein. PHP2Shell steckt in PHP selbst, nicht im CMS. Ein CMS-Update bleibt sinnvoll, schließt diese Lücke aber nicht.
Was passiert bei PHP 8.1 oder älter?
Für diese Versionen gibt es keine offiziellen Updates mehr vom PHP-Projekt, nur minimale Quell-Backports für 7.4, 8.0 und 8.1. Wir sichern den Server übergangsweise ab und planen mit Ihnen den Umstieg auf eine unterstützte Version.