DomainexpressStart

Verlauf am 21.10.2026

• 21:00 Uhr: Die gepatchten PHP-Versionen 8.5, 8.4, 8.3 und 8.2 waren fertig gebaut. Die Patches für PHP 5.6, 7.4, 8.0 und 8.1 wurden noch vorbereitet. Ein Zeitpunkt für die Wiederinbetriebnahme stand noch nicht fest.
• 22:30 Uhr: Web-Präsenzen mit PHP 8.5, 8.4, 8.3, 8.2, 8.1, 8.0, 7.4 und 5.6 wurden wieder aktiviert. PHP 7.3, 7.2, 7.1 und 5.2 standen zu diesem Zeitpunkt noch aus.
• Späteres Update (ohne Uhrzeit): Auch PHP 7.3, 7.2 und 7.1 sind wieder verfügbar. PHP 5.2 bleibt offen und ist aktuell nicht lauffähig.

Hintergrund und weitere Hinweise
Das BSI warnt aktuell (BSI-IT-Sicherheitshinweis BITS-H Nr. 2026-297981-1032, Kritikalität 3/Orange) vor zwei kritischen Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619, CVSS-Score 9.2 von 10, bereits als „PHP2Shell“ bezeichnet). Betroffen sind alle bekannten PHP-Versionen zurück bis mindestens PHP 5; ohne Authentifizierung oder Nutzerinteraktion kann aus der Ferne Schadcode auf PHP-Webservern ausgeführt werden. Ein offizieller Patch wurde erst am 21.10.2026, 16:00 Uhr, veröffentlicht.

Wichtig für unsere Kunden: Stellen Sie Ihre Domains schnellstmöglich auf eine aktuelle, unterstützte PHP-Version um. Aktualisieren Sie veraltete Systeme/CMS (z.B. WordPress, Drupal, TYPO3, Joomla) und passen Sie Ihren Code bei Bedarf an. Veraltete, nicht mehr unterstützte PHP-Versionen (insbesondere PHP 5.x) bleiben dauerhaft ein Sicherheitsrisiko und sollten zeitnah abgelöst werden.

Als Reaktion haben bereits mehrere Betreiber und Hosting-Provider vorsorglich eigene Webseiten und PHP-gestützte Dienste vom Netz genommen bzw. eingeschränkt – beispielsweise die DENIC (Quelle). Vergleichbare Maßnahmen sind aktuell bei zahlreichen weiteren Hosting-Anbietern und Betreibern PHP-basierter Systeme zu beobachten, da die Schwachstelle branchenweit und nicht nur einzelne Anbieter betrifft.

Quelle der BSI-Warnung: BSI-PDF (BITS-H 2026-297981-1032).