Sicherheitslücke in PHP: Was Unternehmen jetzt wissen müssen
Kritische Sicherheitslücken in PHP können Webseiten, Cloud-Dienste und Serveranwendungen gefährden. Sicherheitsupdates sind verfügbar. Wir erklären, worauf Unternehmen jetzt achten sollten und welche Maßnahmen wir für unsere Kundinnen und Kunden ergreifen.
Informationsstand: 22.10.2026
Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik vor zwei kritischen Schwachstellen in PHP gewarnt. Sie werden auch unter der Bezeichnung „PHP2Shell“ zusammengefasst. Unter bestimmten Voraussetzungen können Angreifer darüber ohne vorherige Anmeldung schädlichen Programmcode auf betroffenen Servern ausführen. Das BSI fordert dazu auf, verfügbare Sicherheitsupdates unverzüglich einzuspielen.
Für Unternehmen bedeutet das: Prüfen lassen, wo PHP eingesetzt wird, den Update-Stand klären und notwendige Schutzmaßnahmen mit den zuständigen IT-Dienstleistern abstimmen. Dabei sollten nicht nur öffentlich erreichbare Webseiten, sondern auch interne Anwendungen und Geräte berücksichtigt werden.
Was ist PHP – und welche Systeme können betroffen sein?
PHP ist eine Programmiersprache, die auf Servern arbeitet und die technische Grundlage vieler Webseiten und Webanwendungen bildet. Auch wenn Sie PHP nicht bewusst einsetzen, kann die Software im Hintergrund Ihrer Unternehmenswebsite oder anderer Anwendungen genutzt werden.
Neben Webseiten und Onlineshops kommen deshalb auch bestimmte Cloud-Lösungen, Verwaltungsoberflächen und Netzwerkspeicher, sogenannte NAS-Systeme, für eine Prüfung infrage. Entscheidend ist, ob die jeweilige Installation eine verwundbare PHP-Version verwendet und ob das passende Sicherheitsupdate bereits installiert wurde. Nicht jedes Gerät oder jeder Dienst ist automatisch betroffen.
Besonders dringend ist die Prüfung von Systemen, die aus dem Internet erreichbar sind. Aber auch interne Anwendungen sollten anschließend auf ihren Sicherheitsstand überprüft werden.
Was Net Con aktuell unternimmt
Wir prüfen derzeit die von uns betreuten Systeme und installieren verfügbare Sicherheitsupdates. Vorsorglich haben wir einzelne Systeme vorübergehend vom Internet getrennt. Diese Maßnahme dient dem Schutz Ihrer Daten und Ihrer IT-Infrastruktur.
Für PHP stehen Sicherheitsupdates zur Verfügung. Unternehmen sollten gemeinsam mit ihrer IT-Betreuung oder ihrem Hosting-Anbieter prüfen, ob die eingesetzte PHP-Installation bereits abgesichert ist. Bei Geräten und Komplettlösungen wie NAS-Systemen oder Cloud-Anwendungen kann die Aktualisierung von passenden Updates des jeweiligen Herstellers abhängen.
Solange für ein betroffenes System noch keine passende Aktualisierung verfügbar oder installiert ist, können einzelne Dienste aus Sicherheitsgründen vorübergehend nicht über das Internet erreichbar sein.
Ihre Geräte oder Dienste sind aus dem Internet erreichbar?
Bei entsprechenden Systemen, die wir für Sie betreuen, melden wir uns aktiv bei Ihnen und stimmen das weitere Vorgehen mit Ihnen ab.
Wir übernehmen das Hosting Ihrer Website?
Auch in diesem Fall melden wir uns bei Ihnen und informieren Sie über das weitere Vorgehen. Bitte beachten Sie zusätzlich die Hinweise zur Pflege Ihrer Website im folgenden Abschnitt.
Vorsorgliche Abschaltung bedeutet nicht automatisch einen Angriff. Die vorübergehende Trennung einzelner Systeme vom Internet ist eine Schutzmaßnahme. Sie bedeutet nicht, dass diese Systeme angegriffen wurden. Ziel ist es, mögliche Angriffswege zu begrenzen, bis notwendige Sicherheitsupdates installiert und geprüft sind.
Was Sie jetzt selbst tun sollten
Was Sie jetzt selbst tun sollten
Wenden Sie sich zeitnah an die Person oder Agentur, die Ihre Website betreut. Lassen Sie klären, ob Ihre Website eine betroffene PHP-Installation nutzt und wer das notwendige Sicherheitsupdate einspielt. Zusätzlich sollten das eingesetzte Website- oder Shopsystem sowie Erweiterungen und Designvorlagen geprüft und bei Bedarf aktualisiert werden.
Die Pflege und Aktualisierung der Website selbst übernehmen wir nicht. Das gilt auch dann, wenn wir das Hosting Ihrer Website bereitstellen. Bitte beziehen Sie deshalb Ihre zuständige Webagentur oder Website-Betreuung mit ein.
Was Sie jetzt selbst tun sollten
Wird Ihre Website bei einem anderen Anbieter betrieben, lassen Sie sich bestätigen, ob die eingesetzte PHP-Umgebung bereits gegen die aktuellen Schwachstellen abgesichert wurde. Beachten Sie dazu auch E-Mails, Sicherheitshinweise und Mitteilungen im Kundenbereich Ihres Anbieters. Maßgeblich ist der Update-Stand Ihrer konkreten Hosting-Umgebung.
Die Pflege und Aktualisierung der Website selbst übernehmen wir nicht. Das gilt auch dann, wenn wir das Hosting Ihrer Website bereitstellen. Bitte beziehen Sie deshalb Ihre zuständige Webagentur oder Website-Betreuung mit ein.
Stimmen Sie weitere Maßnahmen mit Ihrer IT-Betreuung ab
Lassen Sie auch prüfen, ob weitere Anwendungen oder Geräte in Ihrem Unternehmen PHP verwenden. Falls ein notwendiges Update noch nicht eingespielt werden kann, sollte Ihre IT-Betreuung beurteilen, welche vorübergehenden Schutzmaßnahmen erforderlich sind. Dazu kann gehören, den Zugriff aus dem Internet einzuschränken.
Fragen zur PHP-Sicherheitslücke? Wir unterstützen Sie.
Sie sind unsicher, ob Ihre Systeme betroffen sein könnten, oder haben Fragen zu vorübergehenden Einschränkungen? Wenden Sie sich an Ihre bekannten Ansprechpartnerinnen und Ansprechpartner bei Net Con oder direkt an unseren IT-Support.
Gemeinsam klären wir, welche Schritte für Ihre IT erforderlich sind.
Net Con IT-Support
Telefon: 0345 61415-200
E-Mail: tickets@netconservice.de
Weitere Informationen: Offizielle Sicherheitshinweise des Bundesamts für Sicherheit in der Informationstechnik und des PHP-Projekts. Eine allgemein verständliche Einordnung bietet außerdem die Tagesschau.
