Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 21. Oktober 2026 eine Cybersicherheitswarnung zu zwei kritischen Schwachstellen in PHP veröffentlicht. In den Medien heißen sie PHP2Shell. Die Lücken sitzen in der Programmiersprache selbst, nicht in einem einzelnen Plugin oder Theme.
Was das BSI meldet
Der Hinweis BITS-H 2026-297981-1132 (Version 1.1) ist mit Kritikalität 3, Orange, eingestuft. Maßnahmen müssen unverzüglich ergriffen werden.
Gemeldet sind zwei Schwachstellen:
- CVE-2026-109618, CVSS 9,2
- CVE-2026-109619, CVSS 9,2
Nach dem BSI gilt das für alle bekannten PHP-Versionen, zurück bis mindestens PHP 5. Webserver, die Anfragen mit PHP verarbeiten, sind gefährdet. Für eine Ausnutzung sind weder eine Anmeldung noch ein Klick nötig. Angreifer könnten aus der Ferne Schadcode auf dem Server ausführen.
WordPress, TYPO3, Drupal, Joomla und viele weitere Systeme laufen auf PHP. Ein Update nur der Website reicht nicht. Die PHP-Version darunter muss den Patch haben.
Die Warnung im Wortlaut: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf?__blob=publicationFile&v=3
Welche Versionen schützen
Die PHP-Entwickler haben Patches bereitgestellt. Geschützt sind unter anderem:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Bei DigitalMDMA ist aktualisiert
Unsere Webserver laufen auf den gepatchten Ständen. PHP 8.4 steht auf 8.4.27, PHP 8.3 auf 8.3.36.