Die kritische Sicherheitslücke php2shell trifft veraltete PHP-Versionen besonders hart. formativ.net erklärt die Risiken, zeigt, wann eine Migration unumgänglich ist, und bietet ein kostenloses Erstgespräch an.
Karlsruhe, 6. November 2026 – Mit der Sicherheitslücke php2shell steht seit Ende Oktober 2026 eine der kritischsten PHP-Schwachstellen der vergangenen Jahre im Fokus von IT-Sicherheitsbehörden weltweit. Die Digitalagentur formativ.net ordnet die Lücke für mittelständische Unternehmen und öffentliche Institutionen ein und macht deutlich: Bei veralteten PHP-Versionen schützt oft nur eine Migration der Anwendung dauerhaft, ein Patch allein reicht dann nicht.
Kritische Schwachstelle ohne Login und ohne Nutzerinteraktion
Am 20. Oktober 2026 wurde php2shell öffentlich bekannt, dokumentiert unter den beiden Kennungen CVE-2026-109618 und CVE-2026-109619. Mit einem CVSS-Wert von 9,2 von 10 gilt die Lücke als kritisch. Technisch handelt es sich um eine sogenannte Remote Code Execution: Angreifer können fremden Code direkt auf einem betroffenen Server ausführen, ohne sich einzuloggen und ohne dass ein Besucher der Website etwas anklicken oder bestätigen muss. Es reicht, dass die verwundbare PHP-Version auf einem öffentlich erreichbaren Server läuft.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zu php2shell eine eigene Cybersicherheitswarnung herausgegeben. Das unterstreicht die Relevanz der Lücke über die reine IT-Fachwelt hinaus.
Praktisch alle PHP-Versionen seit 5.4 betroffen: Für viele Anwendungen reicht kein Patch.
php2shell betrifft praktisch alle PHP-Versionen seit PHP 5.4, darunter auch mehrere nach wie vor verbreitete Versionszweige, deren offizieller Support längst beendet ist. Für aktuell unterstützte Versionen stehen Patches zur Verfügung (8.5.12, 8.4.27, 8.3.36, 8.2.35), zusätzlich gibt es Rückportierungen für einzelne ältere Zweige. Für Anwendungen auf ausgelaufenen Versionszweigen gibt es dagegen gar keinen offiziellen Patch mehr. Hier führt an einer Migration der Anwendung kein Weg vorbei.
„Ein Hosting-Patch sichert in der Regel nur die Serverumgebung ab. Veraltete Funktionen und unsichere Strukturen im eigenen Anwendungscode bleiben davon unberührt, bis jemand sie gezielt anpasst“, erklärt Sebastian Mohila, IT-Experte und Geschäftsführer von formativ.net. „Wer auf einer bereits ausgelaufenen PHP-Version arbeitet, kommt um eine Migration der Anwendung nicht herum. Einen Patch gibt es für diese Versionen schlicht nicht mehr.“
Strukturelles Risiko über den aktuellen Anlass hinaus
Nach Einschätzung von formativ.net ist php2shell zwar der aktuelle Auslöser, das zugrunde liegende Problem jedoch strukturell: PHP 8.1 erreichte bereits am 31. Dezember 2025 sein offizielles Lebensende, PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates. Unternehmen, die heute auf diesen Versionen arbeiten, stehen unabhängig von php2shell vor einer Migrationsentscheidung, die sich nicht dauerhaft aufschieben lässt.
„Eine alte PHP-Version ist kein Schönheitsfehler, sie ist ein offenes Einfallstor“, so Sebastian Mohila. „Ein Patch schließt dieses Einfallstor bestenfalls für den Moment. Wer jetzt migriert, löst nicht nur den aktuellen Vorfall, sondern ein wiederkehrendes Risiko, das mit jeder neuen Sicherheitslücke wieder akut würde.“
Kostenloses Erstgespräch für betroffene Unternehmen
formativ.net empfiehlt betroffenen Unternehmen ein dreistufiges Vorgehen: zunächst die eigene Betroffenheit klären, anschließend eine fundierte Bestandsaufnahme einholen und erst danach über Patch oder Migration entscheiden.
Dafür bietet die Agentur ein kostenloses, unverbindliches Erstgespräch an, in dem gemeinsam mit dem Unternehmen eingeschätzt wird, wie stark die eigene Anwendung betroffen ist und ob eine Migration notwendig ist – unabhängig davon, wer die Anwendung ursprünglich entwickelt hat. Bei Bedarf schließt sich daran eine erweiterte Analyse an, um die konkrete Migration fundiert planen und umsetzen zu können.
Weiterführende Informationen zu php2shell sowie das Angebot zum kostenlosen Erstgespräch finden Interessierte unter https://www.formativ.net/php-migration-sicherheitsluecke.
Über die formativ.net GmbH
Die Digitalagentur formativ.net unterstützt mittelständische Unternehmen, öffentliche Institutionen und Verbände seit mehr als 25 Jahren bei der Digitalisierung. Die Agentur mit Sitz in Karlsruhe ist spezialisiert auf individuelle Webentwicklung, App-Entwicklung und KI‑Integration. Sie begleitet Kunden von der Konzeption bis zum laufenden Betrieb ihrer digitalen Angebote.
Tag-It/Keywords: php2shell, PHP-Sicherheitslücke, PHP-Migration, veraltete PHP-Version, Remote Code Execution, IT-Sicherheit Mittelstand, Cybersicherheit, formativ.net, Webentwicklung, CVE-2026-109618, CVE-2026-109619, BSI-Warnung, Joomla, WordPress, Website-Sicherheit
Die Digitalagentur formativ.net ist seit Gründung im Jahr 2000 ein beständiger Partner für Webentwicklung und Internetkommunikation. Bis heute begleiteten die Internetexperten von formativ.net viele hundert Onlineprojekte für ihre Kunden aus Wirtschaft, Verwaltung und Politik. Die Bürostandorte der Agentur liegen in Frankfurt am Main und Karlsruhe.
Das Leistungsspektrum umfasst die PHP-Programmierung und Datenbankentwicklung, die Programmierung von individuellen Webapplikationen und internetbasierten Software-Anwendungen, die Programmierung von Mobile Apps, Webdesign und das Erstellen von Internetseiten, Server-Hosting, Domain-Management und E-Mail-Lösungen, die Wartung von Applikationen und Websites, Updates und Back-Up-Management sowie die Beratung zu SEO und KI.
Kontakt
formativ.net GmbH – Agentur für Webentwicklung, Software, Apps und KI-Integration
Holger Rückert
Erbprinzensraße 29a
76133 Karlsruhe
+49 721 75 400 40
https://www.formativ.net
- Cybersicherheit (Wikipedia)
Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung und -speicherung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe oder dem US-Standard NIST 800. Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung. Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller. Die Umsetzung aus der Cyberresilienz-Verordnung schafft dabei auch Sicherheit auf Hardwareebene und schützt dadurch auch die Betreiber von Anlagen und Maschinen, indirekt auch die Verbraucher. - Joomla (Wikipedia)
Joomla ([ʤuːm.lə]; ) (Eigenschreibweise: Joomla!) ist ein freies Content-Management-System (CMS) zur Erstellung von Webseiten. Joomla steht unter der GNU General Public License. Es ist in PHP geschrieben und verwendet objektorientierte Programmierung (OOP) (ab Version 1.0), Entwurfsmuster, speichert Daten in einer MySQL-, MariaDB- (ab Version 5.0) oder PostgreSQL- (ab Version 3.0) Datenbank und beinhaltet Funktionen wie zum Beispiel Cache, RSS-Feeds, druckbare Versionen von Seiten, News-Flashes, Blogs, Suche und Unterstützung für die Sprachinternationalisierung. Joomla! wurde über 150 Millionen Mal heruntergeladen. Über 8000 kostenlose und kommerzielle Erweiterungen sind im offiziellen Joomla!-Extensions-Directory verfügbar, weitere sind aus anderen Quellen verfügbar. Zusammen mit WordPress, TYPO3 und Drupal gehört es zu den bekanntesten und meistverwendeten Open-Source-Content-Management-Systemen. Historisch ist Joomla aus dem Open-Source-Projekt Mambo hervorgegangen. Seit 27. Oktober 2025 ist Joomla als „Digitales Öffentliches Gut“ der Digital Public Goods Alliance anerkannt, einer von den Vereinten Nationen unterstützten Allianz, der auch die Bundesrepublik Deutschland angehört und die den Open-Source-Gedanken unterstützt. - PHP2Shell (Wikipedia)
PHP2Shell ist die Bezeichnung für zwei Remote-Code-Execution-Sicherheitslücken im Interpreter der Programmiersprache PHP, die am 21. Oktober 2026 öffentlich bekannt wurden. Das Computer Emergency Response Team der Europäischen Union führt die Sicherheitslücken als CVE-2026-109618 und CVE-2026-109619. Um die Sicherheitslücken zu schließen, wurde die umfangreichste Fehlerbehebung (Patch) in der Geschichte von PHP mit über 11.000 Zeilen Programmcode in 423 Dateien veröffentlicht. - Remote Code Execution (Wikipedia)
Eine Remote Code Execution (RCE, deutsch: „ferngesteuerte Code-Ausführung“) bezeichnet in der Informationssicherheit eine Sicherheitsschwachstelle in Server-Systemen. Remote-Code-Execution-Angriffe beginnen in der Regel mit einer Schwachstelle in einer öffentlich zugänglichen Anwendung, die die Möglichkeit bietet, Schadprogramme auszuführen und somit unerwünschte Befehle auf dem zugrunde liegenden Rechner auszuführen. Angreifer können dies nutzen, um sich einen ersten Zugang zu einem Gerät zu verschaffen, um Schadprogramme zu installieren oder andere Ziele zu erreichen. RCE-Schwachstellen erlauben einem Angreifer die Ausführung von beliebigem Code auf einem Gerät, ohne physischen Kontakt zu haben. - Webentwicklung (Wikipedia)
Als Webentwicklung (englisch Web development) bezeichnet man die Softwareentwicklung von Webanwendungen, Webservices oder anderer komplexer Websites. Die Ersteller und Entwickler von Webanwendungen werden Webentwickler genannt. Das Layout und Design wird dagegen meist von Webdesignern übernommen. - WordPress (Wikipedia)
WordPress ist ein freies Content-Management-System (CMS). Es wurde ab 2003 von Matthew Mullenweg als Software für Weblogs programmiert und wird als Open-Source-Projekt permanent weiterentwickelt. WordPress wird von über 63 % aller Websites (Stand Mai 2023), deren CMS bekannt ist, eingesetzt und ist damit das am weitesten verbreitete System zu deren Betrieb. Von einer Million der meistbesuchten Websites nutzt rund ein Drittel WordPress. In WordPress kann jeder Beitrag frei erstellbaren Kategorien zugewiesen werden. Navigationselemente werden automatisch passend erzeugt. Weiter bietet das System Leserkommentare mit der Möglichkeit, diese vor der Veröffentlichung erst zu prüfen, eine Verwaltung der Benutzerrollen und -rechte und die Möglichkeit externer Plug-ins, womit WordPress in Richtung eines vollwertigen CMS ausgebaut werden kann. WordPress basiert auf der Skriptsprache PHP (empfohlen wird PHP 8.3 oder höher) und benötigt eine MySQL- oder MariaDB-Datenbank. Es ist eine freie Software, die unter der GNU General Public License (GPLv2) lizenziert wurde. Laut Aussage der Entwickler legt das System besonderen Wert auf Webstandards, Eleganz, Benutzerfreundlichkeit und leichte Anpassbarkeit. WordPress entstand auf Basis der Software b2.
