PHP2Shell: Sicherheitsupdates zeitnah eingespielt
Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei kritischen Schwachstellen in der Programmiersprache PHP gewarnt. Die als „PHP2Shell“ bezeichneten Lücken betreffen Webanwendungen weltweit und können es Angreifern ermöglichen, Schadcode auf Webservern auszuführen.
Die Updates wurden wie angekündigt um 16:00 Uhr veröffentlicht. Wir haben sie kurz darauf auf unseren Systemen eingespielt und die Dienste anschließend geprüft. Dabei haben wir keine Anzeichen für einen unbefugten Zugriff festgestellt.
Das gilt auch für den digitalen Entwässerungsantrag. Die Anwendung steht unseren kommunalen Kunden weiterhin uneingeschränkt zur Verfügung.
Der Ablauf am 21. Oktober
- 20. Oktober Die PHP-Entwickler kündigen ein kritisches Sicherheitsrelease an.
- 21. Oktober, vor dem Release Das BSI veröffentlicht seine Cybersicherheitswarnung mit der Warnstufe „3 / Orange“.
- 21. Oktober, 16:00 Uhr Die PHP-Entwickler stellen die Sicherheitsupdates bereit.
- 21. Oktober, kurz darauf Wir spielen die Updates auf unseren Systemen ein.
- Im Anschluss Wir prüfen Systeme und Protokolle und finden keine Anzeichen für einen unbefugten Zugriff.
Hintergrund
Die Schwachstellen sind unter den Kennungen CVE-2026-109618 und CVE-2026-109619 registriert. Für eine Ausnutzung sind weder eine Anmeldung noch eine Interaktion von Nutzern erforderlich. Betroffen sind zahlreiche PHP-Versionen und damit viele Content-Management-Systeme, Onlineshops und individuell entwickelte Webanwendungen.
Weitere Informationen bietet die Cybersicherheitswarnung des BSI.
Wir beobachten die Lage weiter und informieren unsere Kunden, falls sich daraus neue Schritte ergeben.
Sie haben Fragen zur Sicherheit Ihrer Anwendungen oder möchten wissen, wie wir Sie unterstützen können?