Kritische Schwachstellen in PHP – was jetzt zu tun ist

Stand: 23.10.2026 - 08:06 Uhr. Wir aktualisieren diesen Beitrag, sobald sich die Lage ändert.

Am 21. Oktober 2026 wurden zwei kritische Schwachstellen in PHP bekannt, die unter dem Namen PHP2Shell kursieren. Das BSI hat dazu eine Cybersicherheitswarnung der Stufe 3 (Orange) herausgegeben. Angreifer können über diese Lücken ohne Zugangsdaten aus der Ferne Schadcode auf einem Server ausführen. Erste Angriffsversuche wurden bereits beobachtet, bevor die Korrektur überhaupt veröffentlicht war.

Wir haben unmittelbar nach Bekanntwerden geprüft, welche der bei unseren Kunden eingesetzten Systeme betroffen sind, und die notwendigen Schritte eingeleitet. Dieser Beitrag fasst zusammen, was der Vorfall bedeutet und was jetzt zu tun ist.

Was das für Sie bedeutet

PHP ist die Grundlage eines großen Teils aller Webanwendungen und steckt auch in vielen Hersteller-Appliances, ohne dass das nach außen sichtbar wäre. Betroffen sind praktisch alle PHP-Versionen der vergangenen Jahre. Die Frage ist deshalb selten, ob ein System betroffen ist, sondern ob es bereits aktualisiert wurde.

Ein Punkt, der erfahrungsgemäß missverstanden wird: Updates Ihrer Anwendungen schließen diese Lücke nicht. Sie sitzt in PHP selbst. Erst ein Update von PHP beziehungsweise der entsprechenden Systempakete behebt das Problem.

Unsere Einschätzung der verbreiteten Systeme

Stand heute, auf Grundlage der Hersteller-Advisories und unserer eigenen Prüfung:

System Einschätzung
Fortinet (FortiGate, FortiAnalyzer, FortiManager, FortiAuthenticator, FortiClient und weitere) Nicht betroffen. Der Hersteller hat dies bestätigt. Kein Handlungsbedarf.
Palo Alto PAN-OS und Panorama Das Management-Interface ist betroffen, die Cloud-Dienste des Herstellers nicht. Ein Patch ist angekündigt. Bis dahin gilt: Der Administrationszugang darf nicht aus dem Internet erreichbar sein.
Aruba ClearPass Setzt PHP ein, ist in den von uns betreuten Installationen aber nicht von außen erreichbar und zusätzlich abgesichert. Risiko niedrig, Update folgt, sobald der Hersteller es bereitstellt.
Linux-basierte Management-Systeme (z. B. Netdisco, phpIPAM) Die Korrektur kommt über die Systempakete der Distribution und wird im Rahmen der regulären Wartung eingespielt.
Extreme Networks - ExtremeCloud IQ & Extreme Platform ONE Nicht betroffen. Der Hersteller hat dies bestätigt. Kein Handlungsbedarf.

Was wir tun

Für alle Systeme in unserer Betreuung haben wir den Patchstand erhoben und die Aktualisierung eingeplant beziehungsweise bereits durchgeführt. Wo wir ein Wartungsfenster oder Ihre Freigabe benötigen, kommen wir aktiv auf Sie zu. Die Hersteller-Advisories beobachten wir weiter und reagieren, sobald sich die Bewertung ändert.

Den konkreten Stand Ihrer Umgebung nennen wir Ihnen jederzeit – sprechen Sie uns an.

Was Sie tun sollten

Für Systeme, die Sie selbst betreiben, empfehlen wir – im Einklang mit den Sofortmaßnahmen des BSI – diese Schritte:

  1. PHP aktualisieren. Die korrigierten Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für ältere Zweige gibt es keine offizielle Korrektur mehr – dort ist ein Wechsel auf eine unterstützte Version nötig.

  2. Auch die unauffälligen Systeme einbeziehen. Interne Werkzeuge, Verwaltungsoberflächen, selten genutzte Altanwendungen: Überall dort steckt oft PHP, und genau dort wird es übersehen.

  3. Nach dem Update prüfen, ob es wirklich greift. Die laufenden Prozesse müssen neu gestartet werden, sonst bleibt die alte Version aktiv. Bei Systempaketen ändert sich die Versionsnummer häufig nicht – hier hilft nur der Blick in den Changelog des Pakets.

  4. Administrationszugänge kontrollieren. Verwaltungsoberflächen von Appliances gehören nicht ins offene Internet. Dieser Vorfall ist ein guter Anlass, das zu überprüfen.

  5. Wenn ein Update nicht sofort möglich ist, das betroffene System vorübergehend vom Netz nehmen oder den Zugriff stark einschränken. Konfigurationsänderungen allein verringern nur die Angriffsfläche und ersetzen das Update nicht.

Wenn Sie unsicher sind, welche Ihrer Systeme betroffen sind, unterstützen wir Sie bei der Bestandsaufnahme.

Sie haben Fragen zu Ihrer Umgebung?

Melden Sie sich bei Ihrem Ansprechpartner bei CMS. Wenn Sie den Verdacht haben, dass eines Ihrer Systeme bereits angegriffen wurde, melden Sie sich bitte umgehend und telefonisch.