PHP2Shell: Was Betriebe jetzt bei Website, NAS und Firewall prüfen sollten
Zwei kritische Lücken in der Skriptsprache PHP betreffen nicht nur Websites, sondern auch NAS-Speicher, Firewalls und Router mit Weboberfläche. Updates gibt es seit dem 21. Oktober.
Betrifft Sie, wenn
Sie eine Website, eine Online-Terminbuchung, einen NAS-Speicher oder eine Firewall mit Weboberfläche betreiben.Am 21. Oktober hat das PHP-Projekt Updates für zwei kritische Schwachstellen veröffentlicht. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind jeweils mit 9,2 von 10 Punkten bewertet. Angreifer können darüber ohne Anmeldung Schadcode auf Servern ausführen, die Webseiten mit PHP verarbeiten. Das BSI stuft die Lage als orange ein: Maßnahmen müssen unverzüglich ergriffen werden.
PHP steckt in einem großen Teil aller Websites, etwa in WordPress, TYPO3 oder Shopsystemen. Weniger bekannt ist, dass auch viele Geräte im Betrieb PHP für ihre Bedienoberfläche nutzen. Das BSI nennt unter anderem NAS-Speicher von QNAP und Synology sowie die Firewalls OPNsense und pfSense als mindestens teilweise betroffen.
Wichtig zu wissen: Ein Update von WordPress und Co. reicht nicht. Die PHP-Version auf dem Server selbst muss aktualisiert sein. Bei gemieteten Websites ist das Sache des Hosters, man sollte es sich aber bestätigen lassen.
Zur Einordnung: Dem BSI ist bislang keine erfolgreiche Ausnutzung in der Breite bekannt. Angriffsversuche laufen aber automatisiert. Wer nur Websites besucht, muss nichts installieren, sollte in den nächsten Wochen aber bei Downloads vorsichtig sein, weil nicht aktualisierte Seiten manipuliert sein können.
Was zu tun ist
- Beim Hoster der Website nachfragen, ob PHP auf eine der gepatchten Versionen gebracht wurde: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Für die älteren Stände 7.4, 8.0 und 8.1 gibt es Backports.
- Eingebundene Dienste anderer Anbieter mitprüfen, etwa Online-Terminbuchung oder Formulare. Auch dort beim Betreiber nachfragen.
- NAS-Speicher, Firewall und Router auf die neueste Firmware bringen, besonders Geräte von QNAP, Synology, OPNsense und pfSense.
- Die Weboberfläche von Router, NAS und Firewall nicht aus dem Internet erreichbar machen.
- Wer eigene PHP-Server betreibt: sofort patchen, den Stand mit php -v prüfen und auf neue oder veränderte PHP-Dateien achten.
Quelle: BSI-IT-Sicherheitshinweis 2026-297981-1232, Version 1.2 vom 22.10.2026
Eingeordnet von Christian Wichert, CSW IT Dienstleistungen ·