Das BSI warnt vor zwei kritischen Lücken in PHP. Wenn Ihre Website darauf läuft, sollten Sie jetzt handeln.
Was ist passiert?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung zu zwei Schwachstellen in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619, in Berichten „PHP2Shell“ genannt. Beide wurden mit CVSS 4.0 von 9,2 bewertet. Das BSI stuft die Lage mit Stufe 3 („Orange“) ein und rechnet damit, dass Angreifer die Lücken schnell ausnutzen.
Läuft Ihre Website auf PHP?
Wir prüfen das kostenlos und sagen Ihnen, was zu tun ist.
Was heißt das konkret?
Über die Lücken könnte Schadcode aus der Ferne auf Webservern ausgeführt werden. Betroffen sein können alle Websites und Systeme, die PHP nutzen, auch Content-Management-Systeme wie WordPress, Joomla, TYPO3 oder Drupal. Das PHP-Projekt hat am 21. Oktober 2026 bereinigte Versionen veröffentlicht. Nach Angaben des BSI haben zudem alle PHP-Versionen vor 8.2 das Support-Ende erreicht.
Was sollten Sie jetzt tun?
- Fragen Sie Ihren Hoster oder Ihre Agentur, welche PHP-Version läuft und ob das Sicherheitsupdate eingespielt ist.
- Aktualisieren Sie auch Ihr CMS und alle Plugins.
- Prüfen Sie Ihr System auf Auffälligkeiten.
- Überlegen Sie, ob Ihre Website überhaupt dynamisch sein muss. Viele Firmenwebsites kommen ganz ohne PHP aus.
Die Alternative: Website ohne PHP
Eine Website ohne PHP hat auf dem Server nichts, was über diese Lücken angegriffen werden kann. Wir überarbeiten Ihre bestehende Website so, dass sie genau gleich aussieht, aber ohne PHP auskommt. Sie bekommen einen Festpreis und eine feste Ansprechperson.
Über die Autorin
Melanie Preßmar entwickelt Websites und Apps bei wedesignyou in Salach und begleitet Projekte von Anfang bis Ende.