PHP2Shell: Ihr System ist betroffen? Wir helfen sofort.
Ob Shop, CMS oder Digital Experience Platform: Wir schließen die Sicherheitslücke, prüfen auf Angriffsspuren und unterstützen Sie bei den nächsten Schritten. Auf Wunsch inklusive Betrieb bei unserer Tochter main cloud.
Zwei kritische Lücken im Kern von PHP
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619, häufig als „PHP2Shell“ bezeichnet. Beide erreichen einen CVSS-Wert von 9,2 von 10 Punkten. Nach Angaben des BSI kann eine Ausnutzung die Ausführung von Schadcode aus der Ferne ermöglichen. Eine Authentifizierung oder Interaktion des Nutzers ist dafür nicht erforderlich.
Das Problem betrifft PHP damit auf einer sehr grundlegenden Ebene. Das PHP-Projekt nennt alle PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Besonders hoch bewertet das PHP-Projekt das Risiko bei mod_php.
Für Unternehmen bedeutet das: Nicht allein das eingesetzte Shopsystem oder CMS ist entscheidend. Relevant sind insbesondere die PHP-Version und die tatsächliche Serverkonfiguration.
Aktueller Stand
PHP-Version | Einordnung |
|---|---|
PHP 8.5.12 | Sicherheitskorrekturen enthalten |
PHP 8.4.27 | Sicherheitskorrekturen enthalten |
PHP 8.3.36 | Sicherheitskorrekturen enthalten |
PHP 8.2.35 | Sicherheitskorrekturen enthalten |
PHP 8.1 und älter | keine regulären Updates mehr durch das PHP-Projekt; teilweise Backports über Distributionen/LTS-Anbieter möglich |
Das PHP-Projekt empfiehlt allen Nutzern ein sofortiges Update. Auch das BSI stuft die Situation als kritisch ein und empfiehlt, die bereitgestellten Patches unverzüglich einzuspielen.
Zur Warnung des BSI ->
Drei Fragen, die Sie jetzt beantworten sollten
1. Läuft Ihr Shop, Ihre Website oder Ihr Portal noch auf einer PHP-Version ohne die aktuellen Sicherheitskorrekturen?
2. Hat Ihr Hoster PHP eingeschränkt, aktualisiert oder Ihre Anwendung vorsorglich offline genommen?
3. Ist Ihre Anwendung so alt oder individuell angepasst, dass ein PHP-Update nicht ohne Weiteres möglich ist?
Wenn Sie mindestens eine dieser Fragen mit„Ja“ oder „Weiß nicht“ beantworten, sollten Sie die Situation prüfen lassen.
Sie müssen dafür nicht selbst herausfinden, welche PHP-Konfiguration Ihr Server verwendet oder welche Bestandteile betroffen sein könnten. Genau hier setzt unser Schnellcheck an. Wir klären gemeinsam,welche PHP-Version tatsächlich läuft, ob ein direktes Update möglich ist und welche weiteren Schritte für Ihre Anwendung sinnvoll sind.
Ein Update schließt die Lücke. Aber wurde sie vorher bereits ausgenutzt?
Das Einspielen der Sicherheitsupdates ist der wichtigste erste Schritt. PHP weist ausdrücklich darauf hin, dass nur das Update eine vollständige Lösung für die bekannten Schwachstellen darstellt. Temporäre Maßnahmen können die Angriffsfläche reduzieren, ersetzen das Update jedoch nicht.
Danach stellt sich eine zweite Frage: Was ist in der Zeit vor dem Update passiert?
Denn ein erfolgreich eingespielter Patch allein beantwortet nicht, ob eine Anwendung zuvor bereits kompromittiert wurde.
Deshalb unterscheiden wir zwei Aufgaben:
Maßnahme | Worum geht es? | Ziel |
|---|---|---|
Sicherheitslücke schließen | PHP auf einen korrigierten Stand bringen | weitere Ausnutzung der bekannten Schwachstellen verhindern |
System | Logs, Dateien und Auffälligkeiten untersuchen | mögliche Hinweise auf eine vorherige Kompromittierung erkennen |
Das BSI empfiehlt neben dem Einspielen der Patches ausdrücklich, exponierte PHP-Webserver verstärkt auf Auffälligkeiten zu beobachten.
In 15 Minuten wissen Sie, was als Nächstes zu tun ist
Nicht jedes betroffene System benötigt dieselbe Maßnahme. Bei einer aktuellen Anwendung kann das PHP-Update möglicherweise direkt umgesetzt werden. Bei älteren Shops, CMS oder Individualanwendungen können dagegen zunächst Anpassungen erforderlich sein.
In einem kostenlosen 15-minütigen Telefonat klären wir gemeinsam:
Sie erhalten anschließend eine klare Einschätzung, welcher nächste Schritt für Ihre Situation sinnvoll ist.
Von der ersten Analyse bis zum stabilen Betrieb
Wenn ein produktiver Shop oder eine geschäftskritische Anwendung betroffen sein könnte, geht es nicht nur darum, möglichst schnell eine neue PHP-Version einzuspielen. Die Änderung muss auch zur bestehenden Anwendung passen.
Deshalb gehen wir strukturiert vor:
1. Erstanalyse
2. Update oder Übergangslösung
Ist das Update möglich, aktualisieren wir PHP und prüfen anschließend die betroffene Anwendung. Kann die Anwendung noch nicht mit einer aktuellen PHP-Version betrieben werden, betrachten wir mögliche Übergangsmaßnahmen und den erforderlichen Migrationsweg.
3. Kompromittierungs-Check
Bei Bedarf untersuchen wir das System auf mögliche Angriffsspuren. Dazu gehören beispielsweise auffällige Zugriffe, Veränderungen an Dateien oder andere Hinweise auf eine mögliche Kompromittierung.
4. Funktionstest
Nach einem Update prüfen wir zentrale Funktionen der Anwendung. Bei einem Onlineshop können dazu beispielsweise Frontend, Warenkorb, Checkout, Backend und relevante Schnittstellen gehören.
5. Härtung und weitere Maßnahmen
Nach der akuten Absicherung betrachten wir die Konfiguration und planen gegebenenfalls notwendige Updates oder Modernisierungen.
6. Optional: laufender Betrieb
Auf Wunsch kann anschließend auch der technische Betrieb über unserem Partner MainCloud übernommen werden.
Soforthilfe, Prüfung und Modernisierung aus einer Hand
Leistung | Was wir übernehmen | Ergebnis |
|---|---|---|
Notfall-Patch | PHP-Update bzw. erforderliche Sofortmaßnahmen und Funktionstest von Shop, CMS oder Anwendung | bekannte Sicherheitslücke geschlossen und Anwendung geprüft |
Security-Check | Prüfung auf Angriffsspuren, Log-Analyse und Kontrolle auffälliger Veränderungen | dokumentierter Befund und Handlungsempfehlungen |
PHP-Migration | Code-Analyse, notwendige Anpassungen, Update auf eine aktuelle PHP-Version und Tests | technisch modernisierte PHP-Basis |
Shopware-Migration | Modernisierung einer bestehenden Shopware-5-Lösung auf Shopware 6 | aktuelle Commerce-Basis |
Managed Hosting | Betrieb über main cloud gemäß vereinbartem Leistungsumfang | betreute Hosting- und Betriebsumgebung |
Ihre Anwendung kann nicht einfach aktualisiert werden?
Die PHP2Shell-Sicherheitslücke macht bei älteren Anwendungen ein grundsätzliches Problem sichtbar: Was passiert, wenn die nächste PHP-Version erforderlich wird, aber die bestehende Anwendung nicht mehr kompatibel ist?
Das PHP-Projekt stellt für PHP 8.1 und ältere Versionen keine regulären Updates mehr bereit. Es weist allerdings darauf hin, dass einzelne Linux-Distributionen und LTS-Anbieter Sicherheitskorrekturen zurückportieren können.
Wer eine gewachsene Anwendung betreibt, sollte deshalb nicht allein die aktuelle Sicherheitslücke betrachten.
Wir prüfen:
1. Welche Bestandteile das PHP-Upgrade verhindern
2. Welche individuellen Erweiterungen betroffen sind
3. Welche Abhängigkeiten aktualisiert werden müssen
4. Welche Anpassungen am Code notwendig sind
5. Welche Tests vor dem produktiven Einsatz erforderlich sind
Anschließend können wir die Anwendung schrittweise auf eine aktuelle PHP-Basis bringen.
Auch gewachsene Individualsoftware muss deshalb nicht von heute auf morgen komplett ersetzt werden. Entscheidend ist ein realistischer Migrationsweg.
Bei Shopware 5 prüfen wir gemeinsam mit Ihnen, ob weitere Anpassungen noch sinnvoll sind oder die Migration auf Shopware 6 der bessere Weg ist.
Damit beim nächsten Sicherheitsupdate klar ist, wer handelt
PHP2Shell zeigt auch, wie wichtig klare Zuständigkeiten im laufenden Betrieb sind.
Wer überwacht relevante Sicherheitshinweise? Wer prüft die Auswirkungen eines Updates auf die Anwendung? Wer spielt es ein? Und wer kann eingreifen, wenn ein Update Anpassungen am Shop oder an individueller Software erforderlich macht?
Hier greifen Entwicklung und Betrieb ineinander.
elio kennt Anwendung und Code. main cloud übernimmt auf Wunsch die Hosting- und Betriebsseite. So können technische Weiterentwicklung und laufender Betrieb enger aufeinander abgestimmt werden.
Fakten gemäß euren Angaben:
Rechenzentrum Hannover · ISO 27001 · 99,9 % SLA · 24/7-Rufbereitschaft · feste Monatspreise ohne Datenausgangsentgelt
Mehr über MainCloud ->
Wenn ein PHP-Problem mehr als ein Server-Update braucht
Bei einer PHP-Sicherheitslücke treffen mehrere Bereiche aufeinander: Server, PHP-Version, Anwendungscode, Shopsystem, Erweiterungen und Schnittstellen.
Gerade bei älteren oder individuell entwickelten Plattformen reicht deshalb nicht immer ein Blick auf den Server.
Hier setzt elio an.
ISO/IEC 27001:2022 zertifiziert für unsere Digital- und IT-Services (BFMT Audit GmbH)
Seit 2000 Erfahrung mit digitalen Anwendungen und E-Commerce
100+ Senior-Entwickler aus Deutschland
Shopware Platinum Partner
OXID Enterprise Partner
Erfahrung mit Shop-, CMS- und Individualprojekten
Standorte in Gießen, Frankfurt am Main, Estenfeld und Heilbronn
Hosting und Betrieb auf Wunsch über main cloud
Sie müssen kein bestehender elio-Kunde sein
Auch wenn Ihre Website, Ihr Onlineshop oder Ihre Individualanwendung von einem anderen Dienstleister entwickelt wurde, können wir die technische Situation zunächst gemeinsam mit Ihnen bewerten.
Lassen Sie uns zuerst klären, was Ihr System tatsächlich braucht
Sie kennen Ihre PHP-Version nicht? Ihr Hoster verlangt ein Update? Ihre Anwendung funktioniert mit der aktuellen PHP-Version nicht mehr? Oder das Update wurde bereits eingespielt und Sie möchten prüfen, ob zuvor etwas passiert ist?
Dann starten Sie mit dem kostenlosen Schnellcheck.
Schildern Sie uns kurz Ihre Situation. Gemeinsam betrachten wir PHP-Version, Anwendung und Hosting-Umgebung und bestimmen die nächsten sinnvollen Schritte.
Erreichbarkeit: Mo – Fr 09:00 –12:30 Uhr · 13:30 - 17:00 Uhr
Telefon: +49 641 968698-0
E-Mail: business@elio-systems.com
elio GmbH, Gießen
Ihre Ansprechpartner
Sie haben Fragen zu unseren Leistungen oder zu elio? Wir sind für Sie da! Schreiben Sie uns einfach über das Kontaktformular, und wir melden uns schnellstmöglich bei Ihnen.
