In den letzten Tagen gab es viel Unruhe wegen zwei kritischer Sicherheitslücken in der Programmiersprache PHP (bekannt unter dem Namen „PHP2Shell“). Da PHP das technische Fundament für die meisten Webseiten und Onlineshops – wie WordPress oder Shopware – bildet, sorgt so etwas schnell für Verunsicherung.
Was ist passiert?
Am 21. Oktober 2026 wurden zwei schwerwiegende Lücken im PHP-System offiziell geschlossen (CVE-2026-109618 und CVE-2026-109619) [1.1.2, 1.3.1]. Angreifer konnten darüber im schlimmsten Fall fremden Code auf dem Server ausführen, ohne Zugangsdaten zu besitzen [1.3.1]. Sicherheitsbehörden wie das BSI stuften das Risiko entsprechend hoch ein [1.2.1].
Müssen Sie jetzt aktiv werden?
In den allermeisten Fällen: Nein.
Da der Fehler direkt auf Serverebene liegt und nicht in Ihrem WordPress-System oder Shopware-Shop selbst, liegt die Verantwortung bei den Webhostern. Seriöse Anbieter haben bereits reagiert, Schutzfilter aktiviert und die nötigen Server-Updates eingespielt [1.1.3].
Das sollten Sie jetzt tun:
- Server-Status prüfen: Ein kurzer Blick ins Kundenkonto Ihres Hosters zeigt meist direkt, ob die PHP-Updates bereits eingespielt wurden.
- PHP-Version aktualisieren: Nutzen Sie auf Ihrem Server noch veraltete PHP-Versionen, sollten Sie im Hosting-Bereich auf eine aktuelle Version umstellen.
Wenn Ihr Server auf dem neuesten Stand ist, besteht kein Grund zur Sorge.
Gepatchte PHP-Versionen im Detail
Die am 21. Oktober 2026 veröffentlichten Sicherheitsupdates des PHP-Projekts beheben die kritischen Schwachstellen ab folgenden Versionsnummern:
- PHP 8.2: ab Version 8.2.35
- PHP 8.3: ab Version 8.3.36
- PHP 8.4: ab Version 8.4.27
- PHP 8.5: ab Version 8.5.12
Alle jeweils älteren Unterversionen unterhalb dieser Revisionsnummern sind ungepatcht und damit anfällig.
Quellenhinweise:
- [1.1.2] Fynk Blog / PHP-Projekt: Nachbericht zu den PHP-Sicherheitslücken (Oktober 2026).
- [1.2.1] ZDFheute: Berichterstattung zur PHP-Sicherheitslage (Oktober 2026).
- [1.3.1] CERT-EU: Security Advisory 2026-018 zu den Schwachstellen CVE-2026-109618 und CVE-2026-109619 in PHP.
