PHP2Shell Schwachstelle: Kritische Sicherheitslücken in PHP, wir patchen, sobald der Patch verfügbar ist

PHP2Shell ist der Name, den die Security-Community zwei kritischen Sicherheitslücken in PHP gegeben hat (CVE-2026-109618 und CVE-2026-109619). Durch ihre Ausnutzung kann ein Angreifer auf einem Server beliebige Befehle ausführen. Der offizielle Security-Release ist für am Mittwoch, den 21. Oktober 2026, um 14:00 Uhr UTC (16:00 Uhr CEST) geplant. Sobald der Path verfügbar ist, wird er von uns auf allen betroffenen Systemen ausgerollt.

Die beiden Lücken sitzen in PHP selbst und nicht in einem CMS, Plugin oder Theme. Das PHP-Sicherheitsteam stuft beide als kritisch ein (CVSS v4.0: 9.2) und beschreibt sie als Remote Code Execution. Weil Details vor dem Release des Patches öffentlich wurden, hat das PHP-Team den Release vorgezogen. Die Liste der betroffenen und gefixten Versionen veröffentlicht das Team erst zusammen mit dem Release. Eine aktive Ausnutzung ist bisher nicht bekannt.

PHP ist in einem grossen Teil des Webs im Einsatz, und ein Update ist nur auf Server-Ebene. Wir haben die Relevanz für unsere Infrastruktur zeitnah geprüft und sind vorbereitet. Wir warten derzeit auf den offiziellen Patch und spielen ihn auf den betroffenen Systemen ein, sobald das Release heute um 16:00 Uhr CEST (14:00 Uhr UTC) verfügbar ist.

Wir nehmen Sicherheit ernst. In solchen Fällen warten wir nicht: Wir handeln zügig, wo Handeln nötig ist, und halten die Systeme, auf die unsere Kundinnen und Kunden angewiesen sind, zuverlässig und auf dem aktuellen Stand.