PHP2Shell: bei cyberstack nach knapp 1 Stunde zu

Am 21. Oktober 2026 hat das PHP-Team um 16 Uhr deutscher Zeit außerplanmäßig Sicherheitsupdates veröffentlicht. Sie schließen zwei kritische Lücken, die unter dem Namen „PHP2Shell“ bekannt geworden sind (CVE-2026-109618 und CVE-2026-109619). Das BSI hat dazu eine Cybersicherheitswarnung herausgegeben und bewertet die Lücken mit 9,2 von 10 Punkten.

Was ist PHP2Shell?

PHP ist die Programmiersprache, mit der sehr viele Websites laufen, auch WordPress, WooCommerce und Shopware. Über die beiden Lücken können Angreifer aus der Ferne eigenen Code auf dem Webserver ausführen. Sie brauchen dafür keine Anmeldung, und niemand muss etwas anklicken.

Ein Plugin-Update hilft hier nicht. Der Fehler steckt in PHP selbst, also auf dem Server. Geschlossen ist die Lücke ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die älteren Versionen 7.4, 8.0 und 8.1 hat das PHP-Team ausnahmsweise Backports bereitgestellt.

So schnell war das Update bei cyberstack drauf

16:00 Uhr: Das PHP-Team veröffentlicht die Updates.
Direkt danach: cyberstack spielt sie automatisiert auf allen betroffenen Servern ein und startet die Dienste neu.
Gegen 16:55 Uhr: Alle Server sind aktuell, ohne Unterbrechung der Websites.

Auch Websites, die noch auf PHP 8.1 oder 7.x laufen, sind gegen diese beiden Lücken abgesichert. cyberstack hat die Backports ebenfalls eingespielt und für jede Version geprüft. Kunden mussten nichts tun.

Hinweise auf verdächtige Zugriffe auf die eigenen Systeme gab es laut cyberstack nicht. Das Team prüft die Protokolle zusätzlich auf die inzwischen bekannten Angriffsmuster.

Warum es auf Tempo ankommt

Amazon hat einen ersten Angriffsversuch mit PHP2Shell schon am 17. Oktober registriert, vier Tage vor der Veröffentlichung. Je länger ein Server nach dem Update ungepatcht bleibt, desto größer wird das Risiko.

Was du jetzt tun solltest

Deine Website liegt bei cyberstack? Dann musst du nichts tun.
Deine Website liegt woanders? Frag deinen Hoster, ob die PHP-Version schon aktualisiert ist.
Läuft deine Website noch mit PHP 8.1 oder älter? Plan den Umstieg auf PHP 8.2 oder neuer. Backports wie diesmal sind eine Ausnahme, darauf ist beim nächsten Mal kein Verlass.

Die Aufgaben sind bei uns klar verteilt: cyberstack betreut die Server, danubius die Websites. Wir prüfen, ob dein WordPress, dein Shopware-Shop oder dein CMS mit einer neuen PHP-Version läuft, und passen die Website an. Ist niemand mehr für deine Website zuständig, helfen wir dir beim Umzug zu cyberstack.

Vorsicht vor gefälschten E-Mails

Betrüger nutzen die Lücke gerade für gefälschte E-Mails in unserem Namen. Darin fordern sie dazu auf, WordPress bis zum 28. Oktober zu aktualisieren, und bitten um eine Antwort. Diese E-Mails kommen nicht von uns. Echte E-Mails von uns kommen immer von einer Adresse, die auf @danubius.de endet.

So erkennst du die gefälschten E-Mails