PHP2Shell (CVE-2026-109618): Was KMU jetzt tun müssen

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell bekannt wurden: CVE-2026-109618 und CVE-2026-109619. Beide sind mit CVSS 9.2 bewertet und erlauben es Angreifern, ohne Passwort fremden Code auf einem Webserver auszuführen. Weil PHP hinter WordPress, WooCommerce, Joomla und vielen anderen Systemen steckt, betrifft das auch zahlreiche Websites und Onlineshops von Schweizer KMU.

Dieser Artikel erklärt in einfachen Worten, was passiert ist, wie Sie in einer Minute prüfen, ob Ihre Website betroffen ist, und welche Nachricht Sie Ihrem Hoster schicken können. Am Schluss erzählen wir, warum Saldio bewusst auf WordPress verzichtet.

Was ist PHP2Shell?

PHP ist die Programmiersprache, mit der ein grosser Teil aller Websites gebaut ist, darunter WordPress. PHP2Shell bezeichnet zwei Fehler im PHP-Kern, die sich zu einem Angriff kombinieren lassen:

• CVE-2026-109618: Gerät PHP während einer Anfrage an seine Speichergrenze, bleiben interne Daten halb aufgebaut zurück. Beim Aufräumen behandelt PHP sie trotzdem als gültig. Laut Sansec sitzt der Fehler im Unserializer für den Upload-Fortschritt und erlaubt das Auslesen von Speicher bis hin zur Codeausführung.
• CVE-2026-109619: Interne Daten einer Anfrage überleben, obwohl ihr Speicher schon freigegeben ist. Eine spätere Anfrage auf demselben Worker kann sie noch verwenden.

Fachlich sind beides sogenannte Use-after-free-Fehler. Für Sie als KMU zählt das Ergebnis: Eine einzige, speziell präparierte Anfrage genügt, und der Angreifer kann den Server übernehmen. Ein Login ist nicht nötig, und der Angriff greift, bevor der Code Ihrer Website überhaupt läuft. Deshalb hilft auch ein sauber gepflegtes WordPress mit allen Plugin-Updates allein nicht.

Betroffen sind die üblichen Betriebsarten, also Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed, und zwar in der Standardkonfiguration. Der fehlerhafte Code geht laut Sansec auf PHP 5.4 zurück.

Zeitlicher Ablauf

Weil die Details schon vor dem Update kursierten, blieb den Hostern kaum Vorlauf. Einige Behörden, Hochschulen und Spitäler haben Dienste vorsorglich vom Netz genommen. Das britische NCSC rät ausdrücklich, Systeme offline zu nehmen, die sich nicht sofort aktualisieren lassen. Lieber kurz offline als Kundendaten in Gefahr.

Ist meine Website betroffen? Der 1-Minuten-Check

Sie müssen dafür nichts installieren. Es genügt zu wissen, womit Ihre Website gebaut ist.

Ein Hinweis zu WordPress: Laut Sansec wurde der Angriff unter anderem auf WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4 und Nextcloud 35.0.1 vorgeführt. Ein WordPress-Update löst das Problem nicht. Entscheidend ist die PHP-Version auf dem Server.

Diese Nachricht können Sie Ihrem Hoster schicken

Kopieren Sie den Text in eine E-Mail an Ihren Hoster oder Ihre Webagentur:

Betreff: PHP-Update gegen PHP2Shell

Hallo

Ist auf unserem Hosting das PHP-Update gegen PHP2Shell (CVE-2026-109618 und CVE-2026-109619) bereits eingespielt? Nötig ist mindestens PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.

Vielen Dank für eine kurze Bestätigung.

Läuft Ihre Website noch auf PHP 8.1 oder älter, gibt es kein offizielles Update mehr. Das PHP-Projekt hat zwar minimale Backports für 7.4, 8.0 und 8.1 veröffentlicht, sicherer ist aber der Wechsel auf eine unterstützte Version. Fragen Sie Ihren Hoster in diesem Fall auch danach.

Für alle mit eigenem Server: Übergangsmassnahmen

Wer seine Server selbst betreibt, sollte PHP sofort aktualisieren oder die Pakete der eigenen Linux-Distribution einspielen. Ubuntu und weitere Distributionen haben Updates bereitgestellt. Nutzer des Repositorys von Remi sollten auf Distributionspakete wechseln, weil dort am Veröffentlichungstag noch keine Updates verfügbar waren.

Ist ein Update nicht sofort möglich, nennt Sansec diese Übergangslösungen:

1. Anfragen mit multipart/form-data am Webserver blockieren. Das legt Datei-Uploads lahm, danach den Checkout im Shop testen.
2. Den PHP-Server offline nehmen oder eine statische Wartungsseite ausliefern, alternativ nur GET- und HEAD-Anfragen zulassen.
3. In der PHP-Konfiguration session.upload_progress.enabled ausschalten und memory_limit auf -1 setzen. Das ist nur eine Teilmassnahme: den Speicherverbrauch beobachten und das Limit nach dem Update zurücksetzen.

Cloudflare hat für bekannte Angriffswege Regeln in der Web Application Firewall aktiviert, auch für Gratis-Konten. Der Wartungsmodus von WordPress oder Magento schützt dagegen nicht. Die einzige vollständige Lösung bleibt das PHP-Update.

Warum Saldio kein WordPress einsetzt

Ist Saldio betroffen? Die kurze Antwort: nein. Die längere Antwort hat mit einer Entscheidung zu tun, die wir ganz am Anfang getroffen haben.

WordPress ist ein grossartiges Werkzeug. Es betreibt einen enormen Teil des Webs, und das PHP-Team hat die Updates unter grossem Druck schnell geliefert. Für eine Buchhaltungssoftware, der Sie Ihre Zahlen anvertrauen, wollten wir aber möglichst wenig bewegliche Teile. Diese Gründe haben den Ausschlag gegeben:

1. Keine Software, die bei jedem Aufruf läuft. Die Website saldio.ch wird mit Astro einmal beim Erstellen in fertige HTML-Dateien übersetzt und danach nur noch als Dateien ausgeliefert. Es gibt keinen PHP-Server, der auf Anfragen wartet, und damit auch nichts, was eine Lücke wie PHP2Shell ausnutzen könnte.
2. Keine Plugins von Dritten. Ein typisches WordPress hat Dutzende Plugins, jedes mit eigenem Code und eigenem Update-Rhythmus. Jedes ist eine mögliche Hintertür. Unsere Website hat keine.
3. Keine Datenbank und kein Admin-Login hinter der Website. Wo kein /wp-admin ist, kann auch niemand Passwörter durchprobieren.
4. Weniger Patch-Stress. Statt Server, PHP-Version, Core und Plugins aktuell zu halten, prüfen wir bei jeder Änderung einen einzigen Build. Die Zeit stecken wir lieber in die Buchhaltung.
5. Schneller für Sie. Fertige Dateien aus einem CDN laden schneller als Seiten, die bei jedem Aufruf neu zusammengebaut werden.

Und PHP? Wir haben nichts gegen PHP. Aber wir setzen bewusst auf einen Aufbau, in dem die öffentliche Website gar keine Serverlogik braucht und die Anwendung strikt davon getrennt ist. Auch die Saldio-App selbst ist nicht in PHP geschrieben und von PHP2Shell nicht betroffen.

Was das für Saldio-Kunden heisst

Sie müssen nichts tun. Ihre Buchhaltung läuft weiter wie gewohnt. Unabhängig von PHP2Shell gilt bei Saldio:

• Hosting in der Schweiz, Ihre Daten bleiben im Land.
• Anmeldung mit MFA und Passkey über AWS Cognito, die Tokens liegen serverseitig.
• Jede Änderung im Audit-Log, Aufbewahrung gemäss GeBüV.

Welche Funktionen rund um Sicherheit und Plattform dazugehören, zeigt die Übersicht der Funktionen.

Fazit

PHP2Shell ist ernst, aber gut lösbar: PHP-Version prüfen lassen, Update einspielen, fertig. Teilen Sie diesen Artikel mit allen, die eine Website oder einen Onlineshop betreuen. Vielleicht verhindert genau dieser eine Klick ein grösseres Problem.

Und wenn Sie bei der Gelegenheit auch Ihre Buchhaltung auf eine Lösung ohne Patch-Stress umstellen wollen: Saldio 7 Tage gratis testen, ohne Zahlungsmittel, danach ab CHF 15 pro Monat gemäss Preisen. Bis 31.01.2027 gibt es mit dem Jahresend-Spezial einmalig 50 % auf das erste Jahr.

Passen Sie auf sich auf.

Häufige Fragen

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Lücken im PHP-Kern, CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9.2 bewertet. Kombiniert erlauben sie Angreifern, ohne Passwort Code auf einem Webserver auszuführen.

Ist WordPress von PHP2Shell betroffen?

Ja, wenn der Server eine ungepatchte PHP-Version verwendet. Die Lücke steckt in PHP selbst, darum hilft ein WordPress- oder Plugin-Update allein nicht. Entscheidend ist das PHP-Update auf dem Server.

Welche PHP-Versionen schliessen die Lücke?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 7.4, 8.0 und 8.1 gibt es nur minimale Backports, ein Wechsel auf eine unterstützte Version ist sicherer.

Muss ich bei Wix, Squarespace oder Shopify etwas tun?

Nein. Bei Baukasten-Anbietern betreiben Sie keinen eigenen PHP-Server, der Anbieter ist für die Infrastruktur zuständig.

Ist Saldio von PHP2Shell betroffen?

Nein. Die Website saldio.ch besteht aus statischen Dateien ohne PHP und ohne WordPress, und auch die Saldio-App läuft nicht mit PHP. Saldio-Kunden müssen nichts tun.