Die kritische Sicherheitslücke php2shell trifft veraltete PHP-Versionen besonders hart. formativ.net erklärt die Risiken, zeigt, wann eine Migration unumgänglich ist, und bietet ein kostenloses Erstgespräch an.
Karlsruhe, 6. November 2026 – Mit der Sicherheitslücke php2shell steht seit Ende Oktober 2026 eine der kritischsten PHP-Schwachstellen der vergangenen Jahre im Fokus von IT-Sicherheitsbehörden weltweit. Die Digitalagentur formativ.net ordnet die Lücke für mittelständische Unternehmen und öffentliche Institutionen ein und macht deutlich: Bei veralteten PHP-Versionen schützt oft nur eine Migration der Anwendung dauerhaft, ein Patch allein reicht dann nicht.
Kritische Schwachstelle ohne Login und ohne Nutzerinteraktion
Am 20. Oktober 2026 wurde php2shell öffentlich bekannt, dokumentiert unter den beiden Kennungen CVE-2026-109618 und CVE-2026-109619. Mit einem CVSS-Wert von 9,2 von 10 gilt die Lücke als kritisch. Technisch handelt es sich um eine sogenannte Remote Code Execution: Angreifer können fremden Code direkt auf einem betroffenen Server ausführen, ohne sich einzuloggen und ohne dass ein Besucher der Website etwas anklicken oder bestätigen muss. Es reicht, dass die verwundbare PHP-Version auf einem öffentlich erreichbaren Server läuft.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zu php2shell eine eigene Cybersicherheitswarnung herausgegeben. Das unterstreicht die Relevanz der Lücke über die reine IT-Fachwelt hinaus.
Praktisch alle PHP-Versionen seit 5.4 betroffen: Für viele Anwendungen reicht kein Patch.
php2shell betrifft praktisch alle PHP-Versionen seit PHP 5.4, darunter auch mehrere nach wie vor verbreitete Versionszweige, deren offizieller Support längst beendet ist. Für aktuell unterstützte Versionen stehen Patches zur Verfügung (8.5.12, 8.4.27, 8.3.36, 8.2.35), zusätzlich gibt es Rückportierungen für einzelne ältere Zweige. Für Anwendungen auf ausgelaufenen Versionszweigen gibt es dagegen gar keinen offiziellen Patch mehr. Hier führt an einer Migration der Anwendung kein Weg vorbei.
„Ein Hosting-Patch sichert in der Regel nur die Serverumgebung ab. Veraltete Funktionen und unsichere Strukturen im eigenen Anwendungscode bleiben davon unberührt, bis jemand sie gezielt anpasst“, erklärt Sebastian Mohila, IT-Experte und Geschäftsführer von formativ.net. „Wer auf einer bereits ausgelaufenen PHP-Version arbeitet, kommt um eine Migration der Anwendung nicht herum. Einen Patch gibt es für diese Versionen schlicht nicht mehr.“
Strukturelles Risiko über den aktuellen Anlass hinaus
Nach Einschätzung von formativ.net ist php2shell zwar der aktuelle Auslöser, das zugrunde liegende Problem jedoch strukturell: PHP 8.1 erreichte bereits am 31. Dezember 2025 sein offizielles Lebensende, PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates. Unternehmen, die heute auf diesen Versionen arbeiten, stehen unabhängig von php2shell vor einer Migrationsentscheidung, die sich nicht dauerhaft aufschieben lässt.
„Eine alte PHP-Version ist kein Schönheitsfehler, sie ist ein offenes Einfallstor“, so Sebastian Mohila. „Ein Patch schließt dieses Einfallstor bestenfalls für den Moment. Wer jetzt migriert, löst nicht nur den aktuellen Vorfall, sondern ein wiederkehrendes Risiko, das mit jeder neuen Sicherheitslücke wieder akut würde.“
Kostenloses Erstgespräch für betroffene Unternehmen
formativ.net empfiehlt betroffenen Unternehmen ein dreistufiges Vorgehen: zunächst die eigene Betroffenheit klären, anschließend eine fundierte Bestandsaufnahme einholen und erst danach über Patch oder Migration entscheiden.
Dafür bietet die Agentur ein kostenloses, unverbindliches Erstgespräch an, in dem gemeinsam mit dem Unternehmen eingeschätzt wird, wie stark die eigene Anwendung betroffen ist und ob eine Migration notwendig ist – unabhängig davon, wer die Anwendung ursprünglich entwickelt hat. Bei Bedarf schließt sich daran eine erweiterte Analyse an, um die konkrete Migration fundiert planen und umsetzen zu können.
Weiterführende Informationen zu php2shell sowie das Angebot zum kostenlosen Erstgespräch finden Interessierte unter https://www.formativ.net/php-migration-sicherheitsluecke.
Über die formativ.net GmbH
Die Digitalagentur formativ.net unterstützt mittelständische Unternehmen, öffentliche Institutionen und Verbände seit mehr als 25 Jahren bei der Digitalisierung. Die Agentur mit Sitz in Karlsruhe ist spezialisiert auf individuelle Webentwicklung, App-Entwicklung und KI‑Integration. Sie begleitet Kunden von der Konzeption bis zum laufenden Betrieb ihrer digitalen Angebote.
Tag-It/Keywords: php2shell, PHP-Sicherheitslücke, PHP-Migration, veraltete PHP-Version, Remote Code Execution, IT-Sicherheit Mittelstand, Cybersicherheit, formativ.net, Webentwicklung, CVE-2026-109618, CVE-2026-109619, BSI-Warnung, Joomla, WordPress, Website-Sicherheit
Die Digitalagentur formativ.net ist seit Gründung im Jahr 2000 ein beständiger Partner für Webentwicklung und Internetkommunikation. Bis heute begleiteten die Internetexperten von formativ.net viele hundert Onlineprojekte für ihre Kunden aus Wirtschaft, Verwaltung und Politik. Die Bürostandorte der Agentur liegen in Frankfurt am Main und Karlsruhe.
Das Leistungsspektrum umfasst die PHP-Programmierung und Datenbankentwicklung, die Programmierung von individuellen Webapplikationen und internetbasierten Software-Anwendungen, die Programmierung von Mobile Apps, Webdesign und das Erstellen von Internetseiten, Server-Hosting, Domain-Management und E-Mail-Lösungen, die Wartung von Applikationen und Websites, Updates und Back-Up-Management sowie die Beratung zu SEO und KI.
Kontakt
formativ.net GmbH – Agentur für Webentwicklung, Software, Apps und KI-Integration
Holger Rückert
Erbprinzensraße 29a
76133 Karlsruhe
+49 721 75 400 40
https://www.formativ.net
Die Bildrechte liegen bei dem Verfasser der Mitteilung.