Worum geht es?
Unter dem Namen «PHP2Shell» wurden zwei Schwachstellen bekannt (CVE-2026-109618 und CVE-2026-109619). Laut der Analyse von Upwind liegen sie in der Funktion, die den Fortschritt von Datei-Uploads in PHP-Sitzungen verfolgt. Ein Angreifer kann mit gezielt aufeinanderfolgenden Anfragen Speicher missbrauchen und im Erfolgsfall Befehle auf dem Server ausführen, mit den Rechten des PHP-Prozesses.
Brisant: Die Details sind vor der geplanten Veröffentlichung durchgesickert. Das PHP-Team hat deshalb kurzfristig eine Sicherheitsversion angekündigt und behält sich vor, früher zu veröffentlichen, falls Angriffe beobachtet werden. Welche Versionen genau betroffen sind und welche Versionen die Korrektur enthalten, wird mit der Veröffentlichung auf php.net bekanntgegeben.
Wer ist betroffen?
PHP läuft hinter einem grossen Teil des Webs, darunter WordPress, Drupal, Shops und viele Hosting-Oberflächen. Laut Upwind genügt die Standardeinstellung (session.upload_progress.enabled=1). Ob eine einzelne Website tatsächlich angreifbar ist, hängt von PHP-Version und Serverkonfiguration ab und lässt sich von aussen nicht sicher feststellen.
| PHP-Version | Status | Was tun? |
|---|---|---|
| 8.2 bis 8.5 | Unterstützt | Sicherheitsupdate einspielen, sobald verfügbar |
| 8.1 und älter (7.x, 5.x) | Kein Support mehr | Auf aktuelle Version wechseln |
| Unbekannt | Unklar | Im Hosting-Panel oder in WordPress nachsehen |
Was bedeutet das für Ihre Website?
Bei den meisten Schweizer Hostings spielt der Anbieter PHP-Updates selbst ein. Verlassen Sie sich aber nicht blind darauf, sondern prüfen Sie die Punkte unten. Läuft Ihre Website noch auf einer veralteten PHP-Version, ist das jetzt besonders riskant: Für diese Versionen gibt es laut Upwind keine offiziellen Korrekturen.
- PHP-Version prüfen: In WordPress unter Werkzeuge → Website-Zustand → Info → Server, oder im Hosting-Panel.
- Hosting fragen: Wann wird die neue PHP-Sicherheitsversion eingespielt?
- Veraltete Versionen ersetzen: PHP 8.1 und älter im Hosting auf eine unterstützte Version umstellen. Vorher ein Backup erstellen und die Website danach testen.
- Übergangslösung, falls kein Update möglich: Laut Upwind die Einstellung session.upload_progress.enabled=0 setzen. Das sollte nur eine technisch versierte Person oder Ihr Hosting umsetzen.
- WordPress, Plugins und Theme aktuell halten: Ein aktueller Server nützt wenig, wenn die Website selbst Lücken hat.
Was bedeutet das für Ihr KMU?
Eine kompromittierte Website kann Kundendaten gefährden, Besucher auf Betrugsseiten umleiten oder Ihre E-Mail-Reputation schädigen. Ein schneller Blick auf Ihre Website lohnt sich: Der kostenlose Website-Check von WPKarma zeigt unter anderem, ob Ihr Server die PHP-Version öffentlich verrät und ob sie veraltet ist. Oft ist die Version gut verborgen, dann sehen Sie sie nur im Hosting. Der Check ist eine Prüfung von aussen und keine Sicherheitsgarantie.
Wenn Sie Updates und Backups nicht selbst im Blick behalten möchten, übernimmt die WordPress-Wartung der onlineKarma AG diese Arbeiten regelmässig. Und falls doch etwas passiert, hilft ein vorbereiteter Cyber-Notfallplan, damit Ihr Team weiss, wer was zu tun hat.
Hinweis: Dieser Beitrag basiert auf den Angaben des PHP-Teams und der Erstanalyse von Upwind vom 21. Oktober 2026. Die Lage kann sich rasch ändern; massgeblich sind die Angaben auf php.net.