PHP2Shell: Wie wir unsere Server abgesichert haben, bevor der Patch kam

Am 21. Oktober 2026 wurden zwei Sicherheitslücken in PHP bekannt, die unter dem Namen PHP2Shell die Runde machen (CVE-2026-109618 und CVE-2026-109619). PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft – WordPress, TYPO3, Contao, Joomla und viele eigene Anwendungen. Wer eine solche Lücke ausnutzt, kann im schlimmsten Fall eigenen Code auf dem Server ausführen.

Das Unangenehme: Zwischen Bekanntwerden und offiziellem Patch lagen einige Stunden. In dieser Zeit muss man handeln, ohne auf das Update warten zu können.

Was wir sofort gemacht haben

Die Angriffe laufen über die Sitzungsverwaltung von PHP. Zwei Einstellungen nehmen ihnen die Grundlage, ohne dass normale Websites etwas davon merken:

; Übergangslösung PHP2Shell – nach dem Update wieder prüfen
session.upload_progress.enabled = 0
session.use_strict_mode = 1

• session.upload_progress.enabled = 0 schaltet die Fortschrittsanzeige für Datei-Uploads ab. Kaum eine Website nutzt sie, Uploads selbst funktionieren weiter.
• session.use_strict_mode = 1 sorgt dafür, dass PHP nur Sitzungen akzeptiert, die es selbst erzeugt hat. Das ist ohnehin empfehlenswert und darf dauerhaft bleiben.

Wir haben beide Einstellungen für alle PHP-Versionen auf unserem Server gesetzt, für jede Kundenseite kontrolliert und die Dienste neu geladen. Danach haben wir jede Website aufgerufen, um sicherzugehen, dass nichts kaputtgegangen ist.

Das eigentliche Update

Sobald die korrigierten Versionen verfügbar waren, haben wir aktualisiert. Sicher sind nach aktuellem Stand:

Ältere Versionen wie PHP 7.x oder 8.0/8.1 bekommen keine offiziellen Korrekturen mehr. Wer darauf noch läuft, sollte nicht nur wegen PHP2Shell umsteigen.

Was Sie jetzt prüfen sollten

1. Welche PHP-Version läuft bei Ihnen? Ihr Hosting-Anbieter oder Ihre Agentur kann das in einer Minute sagen.
2. Ist sie gepatcht? Vergleichen Sie mit der Tabelle oben.
3. Läuft noch PHP 7 oder 8.0/8.1? Dann gehört ein Umstieg auf eine aktuelle Version auf die Liste – mit Test vorher.
4. Sind Ihre Website und Ihre Erweiterungen aktuell? Ein gepatchtes PHP hilft wenig, wenn das CMS selbst Jahre alt ist.

Bei großen Anbietern wie IONOS wurde zügig nachgezogen. Bei selbst verwalteten Servern oder älteren Hosting-Paketen lohnt sich die Nachfrage.

Unser Fazit

Gute Sicherheit heißt nicht, nie betroffen zu sein. Sie heißt, schnell zu wissen, welche Systeme betroffen sind, eine sichere Übergangslösung zu haben und danach sauber zu aktualisieren. Genau dafür überwachen wir die Websites, die wir betreuen.

Wenn Sie unsicher sind, ob Ihre Website betroffen ist, schauen wir gern kostenlos nach – eine kurze Nachricht an info@berlin-bird.com genügt.