Mit der Sicherheitslücke php2shell steht seit Ende Oktober 2026 eine der kritischsten PHP-Schwachstellen der vergangenen Jahre im Fokus von IT-Sicherheitsbehörden weltweit. Die Digitalagentur formativ.net ordnet die Lücke für mittelständische Unternehmen und öffentliche Institutionen ein und macht deutlich: Bei veralteten PHP-Versionen schützt oft nur eine Migration der Anwendung dauerhaft, ein Patch allein reicht dann nicht.
Kritische Schwachstelle ohne Login und ohne Nutzerinteraktion
Am 20. Oktober 2026 wurde php2shell öffentlich bekannt, dokumentiert unter den beiden Kennungen CVE-2026-109618 und CVE-2026-109619. Mit einem CVSS-Wert von 9,2 von 10 gilt die Lücke als kritisch. Technisch handelt es sich um eine sogenannte Remote Code Execution: Angreifer können fremden Code direkt auf einem betroffenen Server ausführen, ohne sich einzuloggen und ohne dass ein Besucher der Website etwas anklicken oder bestätigen muss. Es reicht, dass die verwundbare PHP-Version auf einem öffentlich erreichbaren Server läuft.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zu php2shell eine eigene Cybersicherheitswarnung herausgegeben. Das unterstreicht die Relevanz der Lücke über die reine IT-Fachwelt hinaus.
Praktisch alle PHP-Versionen seit 5.4 betroffen: Für viele Anwendungen reicht kein Patch.
php2shell betrifft praktisch alle PHP-Versionen seit PHP 5.4, darunter auch mehrere nach wie vor verbreitete Versionszweige, deren offizieller Support längst beendet ist. Für aktuell unterstützte Versionen stehen Patches zur Verfügung (8.5.12, 8.4.27, 8.3.36, 8.2.35). Zusätzlich gibt es Rückportierungen für einzelne ältere Zweige. Für Anwendungen auf ausgelaufenen Versionszweigen gibt es dagegen gar keinen offiziellen Patch mehr. Hier führt an einer Migration der Anwendung kein Weg vorbei.
„Ein Hosting-Patch sichert in der Regel nur die Serverumgebung ab. Veraltete Funktionen und unsichere Strukturen im eigenen Anwendungscode bleiben davon unberührt, bis jemand sie gezielt anpasst", erklärt Sebastian Mohila, IT-Experte und Geschäftsführer von formativ.net. „Wer auf einer bereits ausgelaufenen PHP-Version arbeitet, kommt um eine Migration der Anwendung nicht herum. Einen Patch gibt es für diese Versionen schlicht nicht mehr."
Strukturelles Risiko über den aktuellen Anlass hinaus
Nach Einschätzung von formativ.net ist php2shell zwar der aktuelle Auslöser, das zugrunde liegende Problem jedoch strukturell: PHP 8.1 erreichte bereits am 31. Dezember 2025 sein offizielles Lebensende, PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates. Unternehmen, die heute auf diesen Versionen arbeiten, stehen unabhängig von php2shell vor einer Migrationsentscheidung, die sich nicht dauerhaft aufschieben lässt.
„Eine alte PHP-Version ist kein Schönheitsfehler, sie ist ein offenes Einfallstor", so Sebastian Mohila. „Ein Patch schließt dieses Einfallstor bestenfalls für den Moment. Wer jetzt migriert, löst nicht nur den aktuellen Vorfall, sondern ein wiederkehrendes Risiko, das mit jeder neuen Sicherheitslücke wieder akut würde."
Kostenloses Erstgespräch für betroffene Unternehmen
formativ.net empfiehlt betroffenen Unternehmen ein dreistufiges Vorgehen: zunächst die eigene Betroffenheit klären, anschließend eine fundierte Bestandsaufnahme einholen und erst danach über Patch oder Migration entscheiden.
Dafür bietet die Agentur ein kostenloses, unverbindliches Erstgespräch an, in dem gemeinsam mit dem Unternehmen eingeschätzt wird, wie stark die eigene Anwendung betroffen ist und ob eine Migration notwendig ist – unabhängig davon, wer die Anwendung ursprünglich entwickelt hat. Bei Bedarf schließt sich daran eine erweiterte Analyse an, um die konkrete Migration fundiert planen und umsetzen zu können.
Weiterführende Informationen zu php2shell sowie das Angebot zum kostenlosen Erstgespräch finden Interessierte unter https://www.formativ.net/php-migration-sicherheitsluecke.
Kritische Schwachstelle ohne Login und ohne Nutzerinteraktion
Am 20. Oktober 2026 wurde php2shell öffentlich bekannt, dokumentiert unter den beiden Kennungen CVE-2026-109618 und CVE-2026-109619. Mit einem CVSS-Wert von 9,2 von 10 gilt die Lücke als kritisch. Technisch handelt es sich um eine sogenannte Remote Code Execution: Angreifer können fremden Code direkt auf einem betroffenen Server ausführen, ohne sich einzuloggen und ohne dass ein Besucher der Website etwas anklicken oder bestätigen muss. Es reicht, dass die verwundbare PHP-Version auf einem öffentlich erreichbaren Server läuft.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zu php2shell eine eigene Cybersicherheitswarnung herausgegeben. Das unterstreicht die Relevanz der Lücke über die reine IT-Fachwelt hinaus.
Praktisch alle PHP-Versionen seit 5.4 betroffen: Für viele Anwendungen reicht kein Patch.
php2shell betrifft praktisch alle PHP-Versionen seit PHP 5.4, darunter auch mehrere nach wie vor verbreitete Versionszweige, deren offizieller Support längst beendet ist. Für aktuell unterstützte Versionen stehen Patches zur Verfügung (8.5.12, 8.4.27, 8.3.36, 8.2.35). Zusätzlich gibt es Rückportierungen für einzelne ältere Zweige. Für Anwendungen auf ausgelaufenen Versionszweigen gibt es dagegen gar keinen offiziellen Patch mehr. Hier führt an einer Migration der Anwendung kein Weg vorbei.
„Ein Hosting-Patch sichert in der Regel nur die Serverumgebung ab. Veraltete Funktionen und unsichere Strukturen im eigenen Anwendungscode bleiben davon unberührt, bis jemand sie gezielt anpasst", erklärt Sebastian Mohila, IT-Experte und Geschäftsführer von formativ.net. „Wer auf einer bereits ausgelaufenen PHP-Version arbeitet, kommt um eine Migration der Anwendung nicht herum. Einen Patch gibt es für diese Versionen schlicht nicht mehr."
Strukturelles Risiko über den aktuellen Anlass hinaus
Nach Einschätzung von formativ.net ist php2shell zwar der aktuelle Auslöser, das zugrunde liegende Problem jedoch strukturell: PHP 8.1 erreichte bereits am 31. Dezember 2025 sein offizielles Lebensende, PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates. Unternehmen, die heute auf diesen Versionen arbeiten, stehen unabhängig von php2shell vor einer Migrationsentscheidung, die sich nicht dauerhaft aufschieben lässt.
„Eine alte PHP-Version ist kein Schönheitsfehler, sie ist ein offenes Einfallstor", so Sebastian Mohila. „Ein Patch schließt dieses Einfallstor bestenfalls für den Moment. Wer jetzt migriert, löst nicht nur den aktuellen Vorfall, sondern ein wiederkehrendes Risiko, das mit jeder neuen Sicherheitslücke wieder akut würde."
Kostenloses Erstgespräch für betroffene Unternehmen
formativ.net empfiehlt betroffenen Unternehmen ein dreistufiges Vorgehen: zunächst die eigene Betroffenheit klären, anschließend eine fundierte Bestandsaufnahme einholen und erst danach über Patch oder Migration entscheiden.
Dafür bietet die Agentur ein kostenloses, unverbindliches Erstgespräch an, in dem gemeinsam mit dem Unternehmen eingeschätzt wird, wie stark die eigene Anwendung betroffen ist und ob eine Migration notwendig ist – unabhängig davon, wer die Anwendung ursprünglich entwickelt hat. Bei Bedarf schließt sich daran eine erweiterte Analyse an, um die konkrete Migration fundiert planen und umsetzen zu können.
Weiterführende Informationen zu php2shell sowie das Angebot zum kostenlosen Erstgespräch finden Interessierte unter https://www.formativ.net/php-migration-sicherheitsluecke.
