Ihre Website lädt, das Kontaktformular funktioniert, der Shop verkauft. Das beantwortet noch nicht, ob die PHP-Laufzeit gegen PHP2Shell gepatcht ist. Die Meldungen betreffen PHP selbst – deshalb brauchen Betreiber jetzt eine konkrete Auskunft zur tatsächlich laufenden Umgebung.
Datierter Informationsstand. Spätere Änderungen bitte direkt in den verlinkten Herstellerhinweisen prüfen.
Für CVE-2026-109618 und CVE-2026-109619. Diese Tabelle bewertet weder Ihre konkrete Installation noch den zusätzlichen Sonderfall vom 23. Oktober.
| PHP-Linie | Fix-Release |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Neuere korrigierte Releases und bestätigte Distributions-Backports berücksichtigen. Die Tabelle ist keine allgemeine Sicherheitsfreigabe.
Quelle: offizielle PHP-SicherheitsveröffentlichungWAS FÜR IHRE ENTSCHEIDUNG ZÄHLT
Unter dem Namen PHP2Shell werden die PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 diskutiert. Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht. Unter passenden Bedingungen kann ein Angreifer eigenen Code im Kontext des PHP-Webprozesses ausführen, ohne sich vorher anzumelden. Das ist keine Behauptung, dass jede ungepatchte Website bereits übernommen wurde.
Die offizielle Warnung umfasst PHP-Installationen, die Webanfragen verarbeiten. Besonders hoch bewertet das PHP-Projekt das Risiko bei Apache mit mod_php. Auch andere Betriebsarten gehören in die Prüfung. Eine unveränderte Startseite, ein grüner CMS-Status oder ein einzelner sauberer Scan weisen den Sicherheitsstand der Laufzeit nicht nach.
Lassen Sie für die betroffene Domain bestätigen, welche PHP-Laufzeit aktiv ist, ob beide CVEs behoben sind und ob die aktualisierten Prozesse tatsächlich laufen. Bei Distributionspaketen kann ein zurückportierter Fix eine ältere sichtbare Versionsnummer tragen. Entscheidend ist deshalb zusätzlich die passende Hersteller- oder Anbieterbestätigung.
AWS beschreibt beobachtete Ausnutzungsversuche und empfiehlt auch die Prüfung auf ungewöhnliche Prozesse, Dateiveränderungen und verdächtige Anfragen. Solche Hinweise sind ein Anlass zur Untersuchung, kein fertiger Beweis. Bei konkretem Verdacht sind schnelle Eindämmung und Beweissicherung wichtiger als eine gewöhnliche Update-Anfrage. Die reguläre Ersteinschätzung umfasst keinen Incident-Einsatz. Technische Soforthilfe können Sie über unsere Notdienst-Seite gesondert anfragen; Verfügbarkeit und Umfang werden persönlich bestätigt.
Bitte keine Passwörter per E-Mail senden. Falls ein Zugriff nötig ist, klären wir den geeigneten Weg im geschützten Auftragsbereich.
Technische Anforderungen und Hostingoptionen können sich ändern. Beziehen Sie die Dokumentation immer auf Ihr konkretes Produkt und Ihre installierte Version.
PHP-Projekt: Sicherheitswarnung vom 21.10.2026PHP Foundation: Einordnung der beiden LückenAWS: beobachtete Ausnutzungsversuche und HandlungsempfehlungenPersönliche Rückfrage?
info@hajanet.de
Das lässt sich weder aus dem Namen noch aus einer PHP-Versionsnummer allein feststellen. Betroffenheit, erreichbarer Angriffsweg und ein tatsächlicher Einbruch sind unterschiedliche Fragen. Ein konkreter Verdacht benötigt eine passende Untersuchung.
Bei akuter Exposition oder Angriffsverdacht kontaktieren Sie sofort Ihren Hoster oder die zuständige Sicherheitsbetreuung. Warten Sie dafür nicht auf die reguläre Ersteinschätzung. Unsere gesonderte Notdienst-Anfrage ist ein weiterer Weg zur Klärung von Verfügbarkeit und Einsatzumfang.
Ein konkreter Prüfauftrag. Ein schriftliches Ergebnis. Ihre Entscheidung über die nächsten Schritte.