--- adresse: "https://qvestcon.com/dora-update-markus-junge/ikt-dienstleister_a5d22eb2/" titel: "PHP2Shell: Zwei kritische PHP-Lücken…" beschreibung: "Die PHP Foundation hat Updates für die zwei Schwachstellen CVE-2026-109618 und CVE-2026-109619 veröffentlicht…" sprache: "de-DE" stand: "2026-10-23" --- Qvestcon News # PHP2Shell: Zwei kritische PHP-Lücken sofort schließen Die PHP Foundation hat Updates für die zwei Schwach­stel­len CVE-2026-109618 und CVE-2026-109619 ver­öf­fent­licht, zusammen „PHP2Shell“ genannt. Beide haben einen CVSS-Wert von 9,2 von 10 (CVSS ist der Standard zur Bewertung des Schweregrads von Sicher­heits­lü­cken). Angreifer können über sie aus der Ferne Programmcode auf Webservern ausführen. Gefährdet ist jede PHP-Installation, die Webanfragen bedient. Das Bundesamt für Sicherheit in der Infor­ma­ti­ons­tech­nik (BSI) hat eine dringliche Cyber­si­cher­heits­war­nung herausgegeben. Was jetzt zu tun ist: 1. Bestand klären: Welche Systeme mit Inter­net­an­bin­dung laufen auf PHP? Die nie­der­län­di­sche Cyber­si­cher­heits­be­hörde weist darauf hin, dass PHP auch in Appliances, Netz­werk­ge­rä­ten und Management-Schnitt­stel­len steckt. Dort können Admi­nis­tra­to­ren Patches oft nicht selbst einspielen. Dieser Teil des Bestands gehört in die Anfrage an die Hersteller. 2. Zielversion festlegen: Die PHP Foundation empfiehlt 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Für PHP 8.1 und andere Versionen am Ende ihres Lebenszyklus gibt es keine offiziellen Updates mehr. Betreiber fragen ihren Linux- oder LTS-Anbieter nach zurück­por­tier­ten Patches. 3. Nicht patchbare Systeme isolieren: Lässt sich ein System nicht sofort aktualisieren, nennt CERT-EU vorbeugende Maßnahmen. Sie sichern eine PHP-Installation aber nicht vollständig ab. Ein vor­über­ge­hen­der Ausfall ist nach Einschätzung der Forrester-Analystin Madelein van der Hout der bessere Kompromiss als eine schwer­wie­gende Kom­pro­mit­tie­rung. 4. Nach dem Patch prüfen: Ein Update behebt die Lücke, beseitigt aber nicht automatisch einen Zugriff, den Angreifer schon erlangt haben. Die Sicher­heits­teams suchen deshalb zusätzlich nach Anzeichen einer Kom­pro­mit­tie­rung. Woran sich die Umsetzung erkennen lässt: Es gibt eine Liste aller PHP-Systeme mit Versionsstand, eine Rückmeldung der Dienstleister zu eingebetteten Komponenten und ein doku­men­tier­tes Ergebnis der Kom­pro­mit­tie­rungs­prü­fung. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank zeigt sich genau hier, ob der Patchprozess über die Dienst­leis­ter­kette trägt. Cloudflare meldete laut Bericht bereits Millionen von Angriffen. [KRITIS](https://qvestcon.com/news/kritis/)23.10.2026 Die PHP Foundation hat Updates für die zwei Schwach­stel­len CVE-2026-109618 und CVE-2026-109619 ver­öf­fent­licht, zusammen „PHP2Shell“ genannt. Beide haben einen CVSS-Wert von 9,2 von 10 (CVSS ist der Standard zur Bewertung des Schweregrads von Sicher­heits­lü­cken). Angreifer können über sie aus der Ferne Programmcode auf Webservern ausführen. Gefährdet ist jede PHP-Installation, die Webanfragen bedient. Das Bundesamt für Sicherheit in der Infor­ma­ti­ons­tech­nik (BSI) hat eine dringliche Cyber­si­cher­heits­war­nung herausgegeben. Was jetzt zu tun ist: 1. Bestand klären: Welche Systeme mit Inter­net­an­bin­dung laufen auf PHP? Die nie­der­län­di­sche Cyber­si­cher­heits­be­hörde weist darauf hin, dass PHP auch in Appliances, Netz­werk­ge­rä­ten und Management-Schnitt­stel­len steckt. Dort können Admi­nis­tra­to­ren Patches oft nicht selbst einspielen. Dieser Teil des Bestands gehört in die Anfrage an die Hersteller. 2. Zielversion festlegen: Die PHP Foundation empfiehlt 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Für PHP 8.1 und andere Versionen am Ende ihres Lebenszyklus gibt es keine offiziellen Updates mehr. Betreiber fragen ihren Linux- oder LTS-Anbieter nach zurück­por­tier­ten Patches. 3. Nicht patchbare Systeme isolieren: Lässt sich ein System nicht sofort aktualisieren, nennt CERT-EU vorbeugende Maßnahmen. Sie sichern eine PHP-Installation aber nicht vollständig ab. Ein vor­über­ge­hen­der Ausfall ist nach Einschätzung der Forrester-Analystin Madelein van der Hout der bessere Kompromiss als eine schwer­wie­gende Kom­pro­mit­tie­rung. 4. Nach dem Patch prüfen: Ein Update behebt die Lücke, beseitigt aber nicht automatisch einen Zugriff, den Angreifer schon erlangt haben. Die Sicher­heits­teams suchen deshalb zusätzlich nach Anzeichen einer Kom­pro­mit­tie­rung. Woran sich die Umsetzung erkennen lässt: Es gibt eine Liste aller PHP-Systeme mit Versionsstand, eine Rückmeldung der Dienstleister zu eingebetteten Komponenten und ein doku­men­tier­tes Ergebnis der Kom­pro­mit­tie­rungs­prü­fung. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank zeigt sich genau hier, ob der Patchprozess über die Dienst­leis­ter­kette trägt. Cloudflare meldete laut Bericht bereits Millionen von Angriffen. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/p-r/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/p-r/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/m-o/#markusjunge) - [#PHP2Shell](https://qvestcon.com/stichwoerter/p-r/#php2shell) - [#Patch­ma­nage­ment](https://qvestcon.com/stichwoerter/p-r/#patchmanagement) - [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit) [Ori­gi­nal­quelle: Computerwoche →](https://www.computerwoche.de/article/4238904/php-panik-greift-um-sich-das-raten-experten.html?aid=29997503&huid=&tap=) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20PHP2Shell%3A%20Zwei%20kritische%20PHP-L%C3%BCcken%20sofort%20schlie%C3%9Fen#erstgespraech) [Weitere Meldungen in KRITIS](https://qvestcon.com/news/kritis/) · [alle Qvestcon-News](https://qvestcon.com/news/)