PHP-Lücken: Wer pflegt eigentlich Ihre Website?

Key-Visual zum Beitrag über die kritischen PHP-Sicherheitslücken vom Oktober 2026 und die Zuständigkeit für Firmenwebsites

26 October 2026

Eine Warnung, bevor es die Korrektur gab

Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Cyber-Sicherheitswarnung zu zwei Schwachstellen in PHP veröffentlicht — und zwar, bevor es überhaupt eine Korrektur gab. PHP ist die Programmiersprache, in der ein großer Teil aller Websites, Onlineshops und Kundenportale läuft. Das BSI stufte die Kritikalität als „sehr hoch" ein, beide Lücken sind mit 9,2 von 10 Punkten bewertet. Diskutiert werden sie unter dem Namen „php2shell".

Angreifer können darüber eigenen Programmcode auf einem Webserver ausführen, ohne vorher Zugangsdaten zu besitzen. Wie leicht das gelingt, hängt von der Serverkonfiguration ab — vorgeführt wurde der Angriff aber unter anderem für WordPress, Joomla, Magento und Nextcloud, also für Software, die in vielen Unternehmen im Einsatz ist. Im Erfolgsfall lässt sich damit die Seite verändern, Schadsoftware ablegen oder auf das zugreifen, was im Hintergrund an Daten liegt. Betroffen sind nach Angaben des BSI alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5. Eine Einstellung, die das Problem ohne Aktualisierung vollständig entschärft, gibt es nicht.

Der Zeitplan geriet aus den Fugen, weil Details einen Tag zu früh öffentlich wurden. Die Entwickler zogen das Update vor und veröffentlichten am Nachmittag des 21. Oktober die Fassungen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Releases mehr; dort existieren nur minimale Quellcode-Korrekturen und Nachbauten einzelner Distributionen und Hoster. Verlässlich ist allein der Wechsel auf einen unterstützten Zweig.

Das BSI rechnete damit, dass die Lücken binnen Stunden nach Erscheinen der Updates in der Breite ausgenutzt würden — auch weil Angreifer eine Korrektur mit KI-gestützten Werkzeugen sehr schnell analysieren können — und sprach von unverzüglichem Handlungsbedarf. Noch am selben Tag registrierten Sicherheitsanbieter zehntausende Angriffsversuche. Die großen deutschen Hoster haben nach eigenen Angaben gepatcht, ohne das Webhosting abzuschalten; einzelne Anbieter schränkten PHP-Dienste während der Arbeiten vorübergehend ein. Für viele Betriebe in Göppingen oder Stuttgart hieß das: Es war nichts zu tun, weil jemand anders rechtzeitig gehandelt hat.

Nicht die Lücke ist das Problem, sondern die Zuständigkeit

Darauf sollte man sich nicht dauerhaft verlassen. Website, Shop und Kundenportal sind in vielen kleineren Unternehmen vor Jahren von einer Agentur gebaut, bei einem Anbieter eingemietet und seitdem nicht mehr angefasst worden. Sie stehen in keinem Inventar, niemand kennt den Versionsstand, und im Ernstfall ist unklar, wen man anruft.

Vier Punkte lohnen sich daher unabhängig von dieser einen Lücke. Erstens eine Liste aller aus dem Internet erreichbaren Systeme — Website, Shop, Terminbuchung, Bewerberportal, Kundenlogin — mit der Angabe, wer sie betreibt und wer sie aktualisiert. Zweitens die Frage, welche PHP-Version Ihre Seite tatsächlich nutzt: Hoster stellen meist mehrere Versionen parallel bereit, und eine Seite, die noch auf einer alten Version festgelegt ist, bleibt auch bei einem gepatchten Anbieter ungeschützt. Bei eigenen virtuellen oder dedizierten Servern liegt die Aktualisierung ohnehin beim Kunden. Drittens gehören Geräte und Fertigprodukte dazu, in denen PHP mitgeliefert wird — Netzwerkspeicher oder Verwaltungsoberflächen brauchen ein Update des Herstellers. Und viertens eine Datensicherung der Website außerhalb des Webservers, von der schon einmal zurückgespielt wurde.

Zwei Hinweise aus der Praxis. Monitoring, das ungewöhnliche Zugriffe, neue Dateien oder plötzliche Last meldet, ist bei Webservern besonders wichtig — ein erfolgreicher Einbruch fällt sonst oft wochenlang nicht auf. Und mehrere Anbieter warnen vor E-Mails, die die PHP-Lücke als Vorwand nutzen, um Zugangsdaten abzufragen: Aufforderungen zur „Sicherheitsbestätigung" gehören geprüft, nicht angeklickt.

Wenn Sie nicht sagen können, wer diese Fragen für Ihr Unternehmen beantwortet, ist das kein technisches, sondern ein organisatorisches Thema — und in einem Gespräch von einer Stunde meist geklärt. Wir sehen uns die Webpräsenz an und halten fest, wer künftig für welche Sicherheitsupdates zuständig ist. Für Betriebe in Nürtingen, Kirchheim unter Teck und der Region: sprechen Sie uns an.