PHP2Shell
von

Zwei kritische Sicherheitslücken in PHP, zusammengefasst unter dem Namen PHP2Shell, haben kurzfristige Updates erforderlich gemacht. Wir haben die bereitgestellten Patches gestern Abend (21. Oktober 2026) auf unseren internen Systemen, den Kundensystemen mit Patchservice beziehungsweise Servicemanagement sowie allen Business-Nextclouds eingespielt.

  • IT-Sicherheit
  • PHP2Shell
  • Patchmanagement
  • Nextcloud
  • Webhosting

Was steckt hinter PHP2Shell?

Unter dem Namen PHP2Shell werden die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 zusammengefasst. Sie betreffen PHP – eine technische Grundlage vieler Websites und Webanwendungen, darunter auch Nextcloud und WordPress.

Die Schwachstellen liegen in der internen Speicherverwaltung bei der Verarbeitung von Webanfragen. Unter bestimmten Bedingungen können Angreifer durch speziell präparierte Anfragen eigenen Programmcode auf einem betroffenen Server ausführen. Dafür ist keine Anmeldung erforderlich. Eine Ausnutzung kann bereits erfolgen, bevor die eigentliche Webanwendung ihre Sicherheitsprüfungen durchführt.

Das PHP-Projekt empfiehlt deshalb, die bereitgestellten Sicherheitsupdates unverzüglich zu installieren. Technische Einzelheiten enthält die offizielle Sicherheitsmeldung des PHP-Projekts.

So haben wir auf PHP2Shell reagiert

Wir haben die Situation engmaschig beobachtet und die Aktualisierung unserer Systeme vorbereitet, um die Patches nach ihrer Bereitstellung zeitnah einzuspielen.

Bereits im Vorfeld hatten wir den Zugriff auf wichtige Systeme vorsorglich eingeschränkt. Damit haben wir die Angriffsfläche bis zur Installation der Sicherheitsupdates reduziert. Dieses Vorgehen orientierte sich an der Empfehlung von CERT-EU, eine vorübergehende Abschottung öffentlich erreichbarer Anwendungen in Betracht zu ziehen, wenn eine sofortige Aktualisierung noch nicht möglich ist.

Ablauf der Aktualisierung

Die anschließende Aktualisierung erfolgte gestern Abend in zwei Schritten:

  1. Bis 20:40 UhrUnsere internen Systeme sowie alle Kundensysteme mit gebuchtem Patchservice beziehungsweise Servicemanagement waren aktualisiert.
  2. Um 22:30 UhrAuch die Aktualisierung aller Business-Nextclouds sowie unserer Angebote Files, Teams und Teams&Talk war abgeschlossen.

Damit wurden die aktuellen PHP-Sicherheitspatches auf allen genannten Systemen eingespielt.

PHP 8.1 und ältere Versionen in Webpaketen deaktiviert

Im Rahmen der Sicherheitsmaßnahmen haben wir außerdem entschieden, PHP 8.1 und alle älteren PHP-Versionen für die Webpakete unserer Kunden zu deaktivieren. Diese Versionen stehen dort ab sofort nicht mehr zur Verfügung.

Für Kunden mit eigenen Webanwendungen ist deshalb wichtig, dass ihre eingesetzte Software mit einer verfügbaren neueren PHP-Version kompatibel ist. Bei Fragen zur PHP-Version Ihres Webpakets oder zu möglichen Anpassungen unterstützt Sie unser Support.

PHP2Shell: Unsere Empfehlung für Kunden ohne Patchservice

Wenn Sie ein PHP-basiertes System ohne gebuchten Patchservice beziehungsweise Servicemanagement selbst verwalten, prüfen Sie bitte umgehend, ob die Sicherheitsupdates bereits installiert sind.

Die oben beschriebene Aktualisierung der betreuten Kundensysteme umfasst nicht automatisch Ihre selbst verwalteten Systeme.

Wir empfehlen Ihnen, gemeinsam mit Ihrer IT-Abteilung oder Ihrem zuständigen Dienstleister folgende Maßnahmen durchzuführen:

  • PHP-Installationen prüfen: Erfassen Sie alle eingesetzten PHP-Versionen, insbesondere auf öffentlich erreichbaren Webservern und in Containern.
  • Sicherheitsupdates unverzüglich einspielen: Installieren Sie die korrigierten PHP-Pakete Ihres Betriebssystem- oder PHP-Anbieters. Ein Update der Webanwendung allein ersetzt die Aktualisierung von PHP nicht.
  • Nicht mehr unterstützte Versionen ablösen: Planen Sie den Wechsel auf eine unterstützte PHP-Version, falls für Ihre bisherige Version keine Sicherheitsupdates verfügbar sind.
  • Bei fehlender Update-Möglichkeit den Zugriff einschränken: Prüfen Sie, ob betroffene Anwendungen vorübergehend vom öffentlichen Internet getrennt werden können, bis die Sicherheitsupdates installiert sind. Diese Vorsichtsmaßnahme entspricht der Empfehlung von CERT-EU.

Wenn Sie Unterstützung bei der Prüfung oder Aktualisierung benötigen, wenden Sie sich bitte an unseren Support.

Wir beobachten die Lage weiterhin

Mit der Installation der Updates sind die angekündigten Patchmaßnahmen für die oben genannten Systeme abgeschlossen. Wir verfolgen weiterhin die Veröffentlichungen des PHP-Projekts und die Hinweise der Sicherheitsbehörden, um auf neue Erkenntnisse kurzfristig reagieren zu können.

Vielen Dank für Ihr Verständnis während der Wartungsarbeiten.

Unterstützung bei PHP-Updates

Sie möchten prüfen lassen, ob Ihre Systeme gegen PHP2Shell abgesichert sind, oder benötigen Hilfe beim Wechsel auf eine neuere PHP-Version? Unser Support unterstützt Sie dabei.

Support-Ticket eröffnen +49 211 875505 11

Häufige Fragen zu PHP2Shell

Was ist PHP2Shell?

PHP2Shell ist die Sammelbezeichnung für die beiden kritischen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619. Beide liegen in der internen Speicherverwaltung bei der Verarbeitung von Webanfragen. Angreifer können darüber ohne Anmeldung eigenen Programmcode auf einem betroffenen Server ausführen, teilweise bevor die Webanwendung ihre eigenen Sicherheitsprüfungen durchführt.

Welche PHP-Versionen schließen die PHP2Shell-Lücken?

Das PHP-Projekt hat am 21. Oktober 2026 die korrigierten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Updates mehr. Für diese Versionen bieten einzelne Linux-Distributionen und LTS-Anbieter zurückportierte Korrekturen an, empfohlen wird jedoch der Wechsel auf eine unterstützte Version.

Sind die Business-Nextclouds von HKN gegen PHP2Shell gepatcht?

Ja. Am Abend des 21. Oktober 2026 waren um 22:30 Uhr alle Business-Nextclouds sowie die HKN-Angebote Files, Teams und Teams&Talk aktualisiert. Interne Systeme und alle Kundensysteme mit gebuchtem Patchservice beziehungsweise Servicemanagement waren bereits um 20:40 Uhr gepatcht.

Warum hat HKN PHP 8.1 und ältere Versionen in den Webpaketen deaktiviert?

PHP 8.1 und ältere Versionen werden vom PHP-Projekt nicht mehr mit Sicherheitsupdates versorgt. Um die Webpakete unserer Kunden vor PHP2Shell und künftigen Lücken zu schützen, stehen diese Versionen dort nicht mehr zur Verfügung. Eigene Webanwendungen müssen deshalb mit einer neueren, verfügbaren PHP-Version kompatibel sein; bei Fragen dazu hilft unser Support.

Was müssen Kunden ohne Patchservice wegen PHP2Shell tun?

Wer ein PHP-basiertes System ohne gebuchten Patchservice beziehungsweise Servicemanagement selbst verwaltet, muss die Sicherheitsupdates selbst einspielen. Dazu gehört, alle PHP-Installationen zu erfassen, die korrigierten PHP-Pakete unverzüglich zu installieren und nicht mehr unterstützte Versionen abzulösen. Ist ein Update nicht sofort möglich, sollte der öffentliche Zugriff auf betroffene Anwendungen vorübergehend eingeschränkt werden.

Reicht ein Update der Webanwendung, um PHP2Shell zu schließen?

Nein. Die Lücken stecken in PHP selbst, also in der Laufzeitumgebung unterhalb der Webanwendung. Ein Update von Nextcloud, WordPress oder einer anderen PHP-Anwendung ändert daran nichts. Geschlossen werden die Lücken nur durch die Installation der korrigierten PHP-Pakete.

Was tun, wenn das PHP-Update nicht sofort eingespielt werden kann?

CERT-EU empfiehlt, öffentlich erreichbare Anwendungen in diesem Fall vorübergehend vom Internet zu trennen, bis das Update installiert und geprüft ist. Das PHP-Projekt nennt zusätzlich einzelne Konfigurationsänderungen, die bestimmte Angriffswege erschweren. Diese Maßnahmen machen eine Installation jedoch nicht sicher; vollständigen Schutz bietet nur das Update.