Gestern haben wir geschrieben, dass die von uns gehosteten Websites online blieben während DigiD, MijnOverheid und das niederländische Parlament offline gingen. Heute ist mehr über die beiden PHP-Lücken bekannt: ob sie ausgenutzt werden, was sie genau tun und für wen es keine Lösung geben wird. Hier der Stand der Dinge, in verständlicher Sprache.

Zuletzt aktualisiert: Freitag, 23. Oktober 2026, 00:30 Uhr. Wir aktualisieren diesen Beitrag, solange sich die Nachrichtenlage entwickelt.

Die Lücke hat inzwischen einen Namen: PHP2Shell

Die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619) sind gemeinsam bekannt als PHP2Shell. Sie stecken in PHP selbst, nicht in WordPress oder einem Plugin, und betreffen im Prinzip jede Website, die auf PHP läuft. Die Veröffentlichung war für den 22. Oktober geplant, aber die Details sickerten am 20. Oktober über soziale Medien durch. Deshalb veröffentlichte das PHP-Team den Patch einen Tag früher als geplant, und viele Organisationen nahmen ihre Websites vorsorglich offline.

Die reparierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Läuft Ihre Website auf einer dieser Versionen, ist diese Lücke für Sie geschlossen.

Wird die Lücke ausgenutzt?

Die Einschätzungen dazu haben sich heute verschoben, und zwar in zwei Richtungen:

  • Das NCSC (das niederländische Nationale Cyber-Sicherheitszentrum) meldete am 21. Oktober, noch keine Hinweise auf Missbrauch zu haben. Am 22. Oktober teilte es mit, erste Anzeichen erfolgreicher Angriffe zu untersuchen.
  • Sicherheitsforscher beobachteten über Honeypot-Server eingehende Angriffsversuche. Gleichzeitig stellt das Utrechter Unternehmen Sansec fest, dass massenhafter Missbrauch weniger wahrscheinlich ist als am ersten Tag befürchtet: Der öffentlich geteilte Angriffscode funktioniert nicht gegen eine Standard-PHP-Installation, und ein Angriff erfordert spezifisches Wissen über den Zielserver.
  • Die US-Behörde CISA drängt auf sofortiges Aktualisieren, hat die Lücken aber (noch) nicht in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen.

Unsere Lesart: Ein gepatchter Server ist sicher, und ein ungepatchter Server ist kein „geringes Risiko“, sondern eine offene Tür, an der inzwischen gerüttelt wird. Abwarten ist keine Option mehr.

Mehr als nur Codeausführung: auch ein Speicherleck

Ein Detail, das gestern noch wenig Beachtung fand: Eine der beiden Lücken kann auch Serverspeicher nach außen leaken. Über ein Session-Cookie kann ein Angreifer Speicherfragmente des Webservers abrufen, in denen Passwörter, Session-Tokens oder API-Schlüssel anderer Besucher stecken können. Das funktioniert sogar auf Websites, die gar keine Sessions nutzen.

Praktisch bedeutet das: Lag Ihre Website zwischen dem 20. und 22. Oktober auf einem ungepatchten Server, sollten Sie erwägen, die dort verwendeten Passwörter und API-Schlüssel zu erneuern. Nicht, weil sicher etwas passiert ist, sondern weil Sie es nicht ausschließen können.

Kein Patch für PHP 8.1 und älter

Das ist vielleicht der wichtigste Punkt für viele Unternehmer. PHP 8.1, 8.0 und alle 7.x-Versionen werden nicht mehr unterstützt und erhalten kein Sicherheitsupdate. Eine Website auf einer solchen Version bleibt verwundbar, bis der Server auf PHP 8.2 oder neuer gebracht wurde. Das ist keine Frage eines Knopfdrucks: Alte Plugins und Themes funktionieren manchmal nicht auf einer neuen PHP-Version, also muss getestet werden.

So prüfen Sie es selbst in WordPress: Gehen Sie zu Werkzeuge → Website-Zustand → Bericht → Server. Dort steht die PHP-Version. Beginnt sie mit 8.2, 8.3, 8.4 oder 8.5 und ist die Versionsnummer gleich oder höher als oben genannt? Dann sind Sie gepatcht. Sehen Sie 8.1 oder niedriger, kontaktieren Sie noch heute Ihren Hoster.

Was wir getan haben und weiterhin tun

  • Alle Server, auf denen wir hosten, wurden am 21. Oktober, am selben Tag wie das Release, auf eine gepatchte PHP-Version aktualisiert.
  • Verploy, unsere eigene Wartungsplattform, prüfte nach dem Update, ob jede Kundenwebsite noch korrekt funktionierte. Das war überall der Fall: Keine einzige Website war offline.
  • In unseren Protokollen haben wir keinen Missbrauch festgestellt, und wir überwachen in den kommenden Tagen besonders aufmerksam auf auffälligen Traffic.
  • Keine unserer Kundenwebsites läuft auf PHP 8.1 oder älter. Das ist kein Zufall: Rechtzeitige PHP-Upgrades sind Teil unserer Wartung.

Drei Dinge, die Sie heute tun können

  1. Prüfen Sie Ihre PHP-Version (siehe oben) oder fragen Sie Ihren Hoster. Ein guter Hoster kann Ihnen sofort sagen, wann gepatcht wurde.
  2. Erneuern Sie Passwörter und API-Schlüssel wenn Ihre Website auf einem ungepatchten Server lag.
  3. Sorgen Sie dafür, dass dies das letzte Mal ist, dass Sie es selbst herausfinden müssen. Eine Website gehört überwacht, nicht einmal im Jahr angeschaut.

Nicht sicher, wie es um Ihre Website steht?

Hinterlassen Sie unten die Adresse Ihrer Website. Sie erhalten per E-Mail einen kurzen, persönlichen Bericht: Läuft Ihre Website auf einer sicheren PHP-Version, wie steht es um Geschwindigkeit und Auffindbarkeit, und was sind die drei Verbesserungen mit der größten Wirkung. Kostenlos und unverbindlich.

Kostenloses Beratungsgespräch vereinbaren   

Lieber anrufen? +31 (0)166 700204, Mo–Fr 9:00–17:30 Uhr.

Quellen: Sansec, PHP2Shell-Analyse (aktualisiert am 22. Oktober) · watchTowr, FAQ PHP2Shell · Help Net Security · Scientias · Sicherheitshinweis php.net vom 21. Oktober 2026.