Kurz gesagt: Das BSI hat zu PHP2Shell Warnstufe 3 (Orange) ausgerufen. Die Empfehlung ist eindeutig: PHP sofort aktualisieren und, wenn das nicht sofort geht, betroffene Webserver vorübergehend vom Netz nehmen. Das BSI rechnete mit schneller großflächiger Ausnutzung; bestätigte erfolgreiche Angriffe in der Breite waren zunächst nicht bekannt.
Die BSI-Warnung zu PHP in Kürze
Das Bundesamt für Sicherheit in der Informationstechnik ist die zentrale Fachbehörde für Cybersicherheit in Deutschland. Zu PHP2Shell hat es eine Warnung der Stufe 3 (Orange) veröffentlicht. Anlass sind zwei kritische Lücken in PHP selbst: CVE-2026-109618 und CVE-2026-109619, beide mit CVSS v4.0 9.2 bewertet. Sie erlauben Angreifern, ohne Anmeldung Schadcode auf dem Server auszuführen.
Die Kernaussagen der Warnung lassen sich so zusammenfassen:
| Aussage | Bedeutung für Betreiber |
|---|---|
| Warnstufe 3 / Orange | ernste Lage, Handeln nötig |
| Sofortiges Update empfohlen | behobene PHP-Versionen einspielen |
| Sonst vorübergehend vom Netz | Erreichbarkeit dem Schutz unterordnen |
| Schnelle großflächige Ausnutzung erwartet | nicht auf erste Schadensmeldungen warten |
| Erfolgreiche Angriffe in der Breite zunächst nicht bestätigt | kein Grund zur Entwarnung |
Die jeweils aktuelle Fassung finden Sie auf der Website des BSI.
Was „sofort aktualisieren“ praktisch heißt
Das PHP-Projekt hat am 21.10.2026 um 14:00 UTC (16 Uhr deutscher Zeit) die behobenen Versionen veröffentlicht: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr, lediglich minimale Quell-Backports für 7.4, 8.0 und 8.1.
Ein Update ist erst wirksam, wenn alle PHP-Prozesse neu gestartet wurden. Neue Dateien allein reichen nicht, solange alte Worker im Speicher laufen. Außerdem gilt: Distributionen und Hoster spielen Korrekturen teilweise als Backport ein. Dann zeigt etwa Plesk weiter 8.2.34 an, obwohl gepatcht ist. Entscheidend sind Paketstand und Bestätigung des Anbieters. Und ein CMS-Update, etwa von WordPress, schließt die PHP-Lücke nicht.
Wenn ein Update nicht sofort möglich ist
Für diesen Fall empfiehlt das BSI, die Webserver vorübergehend vom Netz zu nehmen. Das ist eine harte Maßnahme, aber eine klare. Für viele Unternehmen ist ein geplanter Ausfall von einigen Stunden weniger schädlich als ein Einbruch mit Datenabfluss.
php.net nennt zusätzlich Übergangsmaßnahmen, die das Risiko senken, aber ausdrücklich keinen vollständigen Schutz bieten. Dazu gehören session.upload_progress.enabled=0 in der Serverkonfiguration, begrenzte post_max_size-Werte, Speichergrenzen über Container oder cgroups und auf PHP 8.5 fatal_error_backtraces=0, jeweils mit anschließendem Neustart aller Worker. Einzelheiten stehen unter Sofortmaßnahmen ohne Patch.
Läuft ein öffentlich erreichbarer Webserver noch mit ungepatchtem PHP und ohne Übergangsmaßnahmen, folgt aus der BSI-Empfehlung: Server vom Netz nehmen, bis das Update eingespielt und alle Prozesse neu gestartet sind.
Einordnung der Lage
Das BSI steht mit seiner Einschätzung nicht allein. Cloudflare meldete beobachtete Angriffsversuche und hat Schutzregeln ausgerollt, warnt aber, dass Regeln anhand der Anfragedaten allein nicht genügen. Palo Alto Networks (Unit 42) zählte mehr als 22,6 Millionen exponierte, potenziell verwundbare Instanzen. Laut Medienberichten wurde ein erster Angriffsversuch bereits am 17.10.2026 beobachtet, also vor der Veröffentlichung der Patches.
Für Betreiber folgt daraus eine nüchterne Bewertung: Wer bis heute nicht gepatcht hat, sollte nicht nur patchen, sondern auch prüfen, ob schon etwas passiert ist. Ein Patch entfernt keine eingeschleuste Schadsoftware. Veröffentlichte, bestätigte Indicators of Compromise gibt es nicht; die Erkennung beruht auf Verhaltensanalyse. Die Fachpresse rät, Server-Logs ab dem 20.10.2026 aufzubewahren. Hinweise zur Suche stehen unter Bin ich schon kompromittiert?.
Was die Empfehlung für Verantwortliche bedeutet
Eine BSI-Warnung ist kein Gesetz. Sie ist aber die Einschätzung der zuständigen Fachbehörde und wird bei der späteren Bewertung von Entscheidungen eine Rolle spielen können, etwa durch Versicherer oder Prüfer. Geschäftsleitungen sollten deshalb dokumentieren, wann sie von der Warnung erfahren, wie sie die eigenen Systeme bewertet und welche Maßnahmen sie getroffen haben. Allgemeine Hinweise dazu stehen unter Haftung der Geschäftsführung; das ist keine Rechtsberatung.
Für die Praxis empfiehlt es sich, die Warnung nicht nur einmal zu lesen. Das BSI aktualisiert seine Meldungen, wenn sich die Lage ändert, etwa bei neuen Erkenntnissen zur Ausnutzung oder zu weiteren Lücken. Seit dem 23.10.2026 gibt es zudem einen Hinweis von php.net zu CVE-2026-115560, der nur ungewöhnliche Konfigurationen betrifft und ebenfalls mit session.upload_progress.enabled=0 entschärft wird. Benennen Sie eine Person, die BSI und php.net bis zum Abschluss der Lage täglich prüft und Änderungen an Technik und Leitung weitergibt. So entsteht kein Wissensgefälle zwischen denen, die entscheiden, und denen, die umsetzen.
Wie hilft PHP SOS konkret?
- Wir gleichen Ihre Webserver mit der BSI-Empfehlung ab: Version, Paketstand, Neustart, Erreichbarkeit.
- Im Rahmen der PHP2Shell-Soforthilfe patchen wir, starten alle Prozesse neu und liefern einen Nachweis.
- Wo ein Update nicht sofort geht, setzen wir Übergangsmaßnahmen und stellen bei Bedarf eine statische Ersatzseite bereit.
- Wir sichern Logs und prüfen auf Spuren, damit Sie die Lage nach dem Patch belastbar bewerten können.
Häufige Fragen
Was bedeutet Warnstufe 3 (Orange) beim BSI?
Die Farbe beschreibt eine erhöhte, ernste Bedrohungslage mit Handlungsbedarf. Bei PHP2Shell begründet das BSI dies mit der Kritikalität der Lücken und der erwarteten schnellen Ausnutzung. Die genaue Definition der Stufen finden Sie auf der Website des BSI.
Muss ich der BSI-Empfehlung folgen?
Eine Warnung des BSI ist eine Empfehlung, kein Gesetz. Sie ist aber eine gewichtige Einschätzung der zuständigen Fachbehörde, an der sich Versicherer, Prüfer und Gerichte orientieren können. Wer abweicht, sollte die Gründe dokumentieren. Das ist keine Rechtsberatung.
Gab es laut BSI schon erfolgreiche Angriffe?
Bestätigte erfolgreiche Angriffe in der Breite waren laut BSI zunächst nicht bekannt. Das BSI rechnete aber mit schneller großflächiger Ausnutzung. Andere Stellen meldeten bereits Angriffsversuche.
Wo finde ich die aktuelle Fassung der Warnung?
Auf der Website des BSI unter den aktuellen Sicherheitswarnungen. Die Lage kann sich ändern; prüfen Sie dort und auf php.net regelmäßig den neuesten Stand.