PHP-Sicherheitslücke PHP2Shell: Diese Server, NAS und Anwendungen in Ihrem Unternehmen sind jetzt gefährdet

Sie betreiben keine eigene Website? Oder Ihre Website wird von einer Agentur verwaltet?

Dann könnte die neue Sicherheitslücke PHP2Shell trotzdem für Ihr Unternehmen relevant sein.

Denn PHP steckt nicht nur hinter Websites und Onlineshops.

Die Programmiersprache wird auch in Serververwaltungen, Netzwerkspeichern, Unternehmensanwendungen und bestimmten Netzwerk- und Sicherheitsprodukten eingesetzt.

Ein Geschäftsführer kennt vielleicht seinen Webhoster. Aber weiß er auch, welche Software auf seinem NAS läuft? Welche Komponenten seine Firewall verwendet? Oder welche Programmiersprache hinter der internen Verwaltungsoberfläche steckt?

Genau diese Unsicherheit macht PHP2Shell für Unternehmen besonders gefährlich.

In diesem Artikel erfahren Sie, welche Systeme betroffen sein können, wie Sie gefährdete Geräte identifizieren und welche Maßnahmen jetzt notwendig sind.

Stand: 29. Oktober 2026. Herstellerinformationen und verfügbare Sicherheitsupdates können sich kurzfristig ändern.

1. Was ist PHP2Shell und wie gefährlich ist die Sicherheitslücke?

PHP ist eine weitverbreitete Programmiersprache, die insbesondere für Webanwendungen eingesetzt wird.

Viele bekannte Websites, Shopsysteme und Unternehmensanwendungen verwenden PHP, um Anfragen zu verarbeiten und dynamische Inhalte bereitzustellen.

Im Oktober 2026 wurden zwei kritische Sicherheitslücken bekannt:

Beide Schwachstellen werden unter dem Namen PHP2Shell zusammengefasst.

Sie wurden am 21. Oktober 2026 mit Sicherheitsupdates des PHP-Projekts adressiert.

Die Schwachstellen sind als kritisch eingestuft. Ihre Bewertung liegt bei 9,8 nach CVSS 3.1 beziehungsweise 9,2 nach CVSS 4.0.

Laut BSI ist eine erfolgreiche Ausnutzung bislang nicht bestätigt (Stand: 22. Oktober 2026). Es gibt jedoch unbestätigte Berichte über bereits existierende Exploits. Updates sollten Sie deshalb nicht aufschieben.

Was bedeutet Remotecodeausführung?

Remotecodeausführung, auch Remote Code Execution oder RCE genannt, bedeutet, dass ein Angreifer unter bestimmten Voraussetzungen eigenen Programmcode auf einem fremden System ausführen kann.

Bei PHP2Shell kann dies über eine manipulierte Webanfrage möglich sein.

Besonders problematisch: Die Ausnutzung kann bei verwundbaren Konfigurationen bereits während der Verarbeitung einer Anfrage stattfinden, bevor die eigentliche Anwendung ihre Sicherheitsprüfungen durchführt.

Das bedeutet nicht, dass jeder Angreifer automatisch vollständige Administratorrechte erhält.

Welche Rechte er erlangen kann, hängt unter anderem von der betroffenen Anwendung und den Berechtigungen des PHP-Prozesses ab.

Dennoch können bereits diese Rechte ausreichen, um sensible Informationen auszulesen, Dateien zu verändern oder weitere Angriffe vorzubereiten.

Welche PHP-Versionen wurden abgesichert?

Für die regulär unterstützten PHP-Versionszweige wurden folgende Sicherheitsversionen veröffentlicht:

Ältere PHP-Versionen benötigen gegebenenfalls herstellerspezifische Sicherheitsupdates oder einen Wechsel auf eine unterstützte Version.

Wichtig: Manche Hersteller stellen Sicherheitskorrekturen für ältere Versionen bereit, ohne die eigentliche PHP-Versionsnummer zu ändern. Dann muss zusätzlich der konkrete Paket- oder Buildstand geprüft werden.

2. Welche Geräte und Anwendungen können von PHP2Shell betroffen sein?

Hier liegt der entscheidende Unterschied zwischen einem gewöhnlichen Website-Sicherheitsproblem und einem unternehmensweiten IT-Risiko.

PHP wird in sehr unterschiedlichen Produkten eingesetzt.

Eine installierte PHP-Komponente bedeutet allerdings nicht automatisch, dass das jeweilige Gerät verwundbar ist. Entscheidend sind die konkrete Version, die Einbindung und die Erreichbarkeit der betroffenen Funktionen.

PHP2Shell: Betroffene Systeme und aktueller Handlungsbedarf

Websites und Onlineshops

Websites sind der naheliegendste Bereich.

Viele Unternehmen verwenden PHP-basierte Content-Management-Systeme, ohne die zugrunde liegende PHP-Version regelmäßig zu kontrollieren.

Besonders bei älteren Hostingumgebungen können veraltete PHP-Versionen zum Problem werden.

Ein aktuelles WordPress-Plugin oder ein aktuelles Theme bedeutet nicht automatisch, dass auch die PHP-Laufzeit abgesichert ist.

Unsere Empfehlung: Lassen Sie die tatsächlich verwendete PHP-Version und den Sicherheitsstand des Hostings prüfen.

Server mit Verwaltungsoberflächen

Serververwaltungssoftware kann selbst PHP verwenden oder unterschiedliche PHP-Versionen für gehostete Anwendungen bereitstellen.

Bei Plesk waren sowohl bereitgestellte PHP-Versionen als auch bestimmte Komponenten der Verwaltungsoberfläche betroffen.

Der Hersteller hat entsprechende Sicherheitsupdates veröffentlicht.

Wichtig: Es reicht nicht zwingend, nur die PHP-Version einer Website zu aktualisieren. Auch die Verwaltungssoftware selbst kann ein separates Update benötigen.

Eigene Business-Anwendungen und Nextcloud

Viele Unternehmen betreiben eigene Webanwendungen.

Dazu zählen beispielsweise:

• Dokumentenmanagementsysteme
• Interne CRM-Anwendungen
• Ticketsysteme
• Kundenportale
• Intranet-Anwendungen
• Nextcloud-Installationen
• Individuell entwickelte Software

Solche Anwendungen können PHP einsetzen, ohne dass dies für Anwender erkennbar ist.

Ob ein konkretes System gefährdet ist, hängt von seiner PHP-Laufzeit und den eingesetzten Komponenten ab.

Synology NAS: PHP2Shell betrifft bestimmte Pakete

Synology hat bestätigt, dass insbesondere bestimmte PHP-abhängige Pakete von PHP2Shell betroffen sind.

Dazu gehören unter anderem Calendar, Mail Station und verschiedene PHP-Pakete.

Für die PHP-Pakete 7.4 bis 8.4 sowie für Calendar und Mail Station stehen Sicherheitsupdates bereit. Das im Betriebssystem DSM eingebaute PHP ist laut Synology nicht von außen angreifbar. Das Risiko stuft der Hersteller dort als sehr gering ein.

Wer dieses Paket noch verwendet, sollte die Abhängigkeiten prüfen und auf eine unterstützte Version migrieren beziehungsweise betroffene Dienste vorübergehend deaktivieren.

Die Aktualisierung erfolgt je nach Paket über das Paket-Zentrum.

Auch Mail Station muss gesondert aktualisiert werden.

QNAP NAS: Sicherheitsupdates sind teilweise bereits verfügbar

Bei QNAP hat sich die Situation seit Bekanntwerden der Schwachstellen weiterentwickelt.

Während zunächst noch keine Korrekturen bereitstanden, wurden ab dem 24. Oktober 2026 Sicherheitsupdates für mehrere Versionen von QTS, QuTS hero und QuTScloud veröffentlicht.

Behoben ist die Lücke unter anderem in QTS 5.2.11.3661 und 6.1.0.3656, in QuTS hero h5.2.11.3661, h6.0.2.3656 und h6.1.0.3656 sowie in QuTScloud c5.2.9.3661 (jeweils Build 20261023). Auch Notes Station 3 ist inzwischen abgesichert. Für QNE (ADRA) steht der Fix laut QNAP noch aus (Stand: 29. Oktober 2026).

Deshalb wäre die pauschale Aussage „Für QNAP gibt es noch keinen Fix“ inzwischen falsch.

Entscheidend ist die genaue Kombination aus NAS-Modell, Betriebssystemversion und installierten Anwendungen.

Bis zur vollständigen Absicherung sollten betroffene Systeme nicht unnötig aus dem Internet erreichbar sein.

Firewalls und Netzwerkgeräte

Auch Sicherheitsprodukte können verwundbare Softwarekomponenten enthalten.

Das klingt zunächst widersprüchlich: Ein Gerät, das Ihr Netzwerk schützen soll, benötigt selbst regelmäßige Sicherheitsupdates.

Doch eine Firewall ist ebenfalls ein Computer mit Betriebssystem, Diensten und Verwaltungssoftware.

Bei PHP2Shell müssen deshalb auch entsprechende Herstellerwarnungen für Netzwerk- und Sicherheitsprodukte berücksichtigt werden.

Nicht jede Firewall ist betroffen.

Telefonie- und Zugangssysteme

Auch in Kommunikations- und Zugangsprodukten können PHP-Komponenten eingesetzt werden.

Cisco führt als betroffen unter anderem Expressway, Duo Access Gateway, den ISE Portal Builder und Industrial-Wireless-Produkte (URWB) auf.

Ausdrücklich nicht betroffen sind dagegen unter anderem die Cisco-Firewalls (ASA, Secure Firewall), IOS-basierte Router und Meraki.

Das verdeutlicht, warum pauschale Aussagen über ganze Hersteller nicht ausreichen.

Docker-Container

Eine weitere häufig übersehene Fehlerquelle sind Container.

Wird eine PHP-Anwendung in Docker betrieben, steckt die verwundbare PHP-Version möglicherweise direkt im verwendeten Container-Image.

Ein einfacher Neustart des bisherigen Containers behebt die Schwachstelle dann nicht.

Erforderlich ist ein aktualisiertes Image beziehungsweise ein neu gebautes Image mit abgesicherter PHP-Laufzeit.

Anschließend muss der betroffene Container mit diesem Image neu bereitgestellt werden.

3. Warum PHP2Shell für Unternehmen besonders gefährlich ist

Die technische Schwachstelle ist kritisch.

Das organisatorische Problem dahinter kann jedoch genauso entscheidend sein.

Viele Unternehmen wissen nicht vollständig, welche Software in ihrer IT-Infrastruktur eingesetzt wird.

Das Problem der unsichtbaren Abhängigkeiten

Stellen Sie sich ein Unternehmen mit 30 Mitarbeitern vor.

Der Geschäftsführer weiß:

• Wir arbeiten mit Microsoft 365.
• Unsere Daten liegen teilweise auf einem NAS.
• Wir haben eine professionelle Firewall.
• Unsere Telefonie läuft über eine zentrale Lösung.
• Wir verwenden ein internes Ticketsystem.

Was er möglicherweise nicht weiß:

• Welche PHP-Version auf dem NAS installiert ist.
• Ob die Serververwaltung PHP verwendet.
• Welche Laufzeit das Ticketsystem benötigt.
• Ob eine Netzwerkkomponente eine verwundbare PHP-Bibliothek enthält.
• Wer Sicherheitsmeldungen der Hersteller überwacht.

Und genau hier entstehen gefährliche Lücken im Sicherheitsmanagement. Welche weiteren Risiken häufig unterschätzt werden, zeigt unser Ratgeber zu IT-Problemen in Unternehmen.

Warum automatische Updates nicht immer ausreichen

Automatische Updates sind sinnvoll, ersetzen aber keine strukturierte Sicherheitsüberwachung.

Manche Updates müssen bewusst freigegeben werden.

Andere erfordern einen Neustart, eine Anpassung der Konfiguration oder eine Kompatibilitätsprüfung.

Bei veralteten Produkten gibt es möglicherweise gar keine Sicherheitsupdates mehr. Ein aktuelles Beispiel ist das Windows Server 2016 End of Life am 12. Januar 2027.

Außerdem können Herstellerupdates zeitversetzt veröffentlicht werden.

4. Worst Case: Ein ungepatchtes NAS wird zum Einfallstor

Stellen Sie sich ein mittelständisches Unternehmen mit 25 Mitarbeitern vor.

Das Unternehmen arbeitet mit Microsoft 365 und nutzt zusätzlich ein NAS für gemeinsame Dateien, Backups und bestimmte interne Anwendungen.

Das NAS ist aus historischen Gründen über eine Portfreigabe aus dem Internet erreichbar.

Eine darauf installierte PHP-basierte Anwendung wurde seit längerer Zeit nicht aktualisiert.

Was hätte das Unternehmen schützen können?

Mehrere Sicherheitsmaßnahmen hätten das Risiko reduzieren können:

• Ein vollständiges Verzeichnis aller eingesetzten Systeme
• Regelmäßige Überprüfung von Herstellerwarnungen
• Zeitnahe Sicherheitsupdates
• Keine unnötige direkte Erreichbarkeit des NAS aus dem Internet
• Kontrollierte Fernzugriffe
• Netzwerksegmentierung
• Sicherheitsmonitoring
• Geschützte und getestete Backups

Eine einzelne Sicherheitsmaßnahme hätte möglicherweise nicht jeden Angriff verhindert.

Zusammen können diese Maßnahmen die Angriffsfläche jedoch erheblich reduzieren.

5. PHP2Shell-Checkliste: So finden Sie gefährdete Systeme

Die wichtigste Aufgabe besteht darin, zunächst Transparenz zu schaffen.

Denn Sie können nur schützen, was Sie kennen.

Die sieben wichtigsten Prüfschritte

Schritt 1: Internetseitig erreichbare Systeme identifizieren

Beginnen Sie mit allen Diensten, die von außerhalb Ihres Unternehmensnetzwerks erreichbar sind.

Dazu gehören beispielsweise:

• Websites
• Kundenportale
• Serververwaltungen
• NAS-Weboberflächen
• Fernzugriffsdienste
• Individuelle Webanwendungen

Diese Systeme sollten besonders schnell geprüft werden.

Schritt 2: Geräte mit Weboberfläche erfassen

Erstellen Sie eine Übersicht Ihrer Netzwerkgeräte.

Notieren Sie für jedes System:

• Hersteller
• Modell
• Software- beziehungsweise Firmwareversion
• Verantwortlichen IT-Dienstleister
• Internet-Erreichbarkeit
• Installierte Anwendungen
• Letzten bekannten Sicherheitsupdate-Stand

Nicht jede Weboberfläche verwendet PHP.

Die Übersicht hilft jedoch dabei, potenziell relevante Systeme systematisch zu identifizieren.

Schritt 3: PHP-Versionen prüfen

Bei selbst verwalteten Linux-Servern kann die installierte PHP-Version beispielsweise über die Kommandozeile überprüft werden.

Allerdings zeigt eine einfache Versionsabfrage nicht zwangsläufig sämtliche PHP-Installationen.

Ein Server kann mehrere PHP-Versionen parallel verwenden.

Außerdem können Anwendungen eigene PHP-Laufzeiten mitbringen.

Schritt 4: Herstellerwarnungen abgleichen

Prüfen Sie für jedes relevante Produkt die offiziellen Sicherheitsmeldungen.

Achten Sie dabei insbesondere auf:

• Betroffene Versionen
• Verfügbare Sicherheitsupdates
• Notwendige Zusatzmaßnahmen
• Nicht mehr unterstützte Produkte
• Hinweise auf bereits beobachtete Angriffe

Schritt 5: Anwendungen und Abhängigkeiten prüfen

Bei internen Webanwendungen reicht es nicht aus, nur den sichtbaren Produktnamen zu kennen.

Entscheidend ist, welche PHP-Version tatsächlich im Hintergrund arbeitet.

Schritt 6: Sicherheitsupdates kontrolliert installieren

Sicherheitsupdates sollten zeitnah, aber fachgerecht durchgeführt werden.

Bei geschäftskritischen Anwendungen müssen gegebenenfalls vorher Sicherungen und Kompatibilitätsprüfungen erfolgen.

Schritt 7: Ergebnisse dokumentieren

Halten Sie fest:

• Welche Systeme überprüft wurden
• Welche Versionen installiert waren
• Welche Updates durchgeführt wurden
• Welche Risiken noch bestehen
• Welche weiteren Maßnahmen notwendig sind

Erst wenn diese Informationen vorliegen, lässt sich der Sicherheitsstatus Ihres Unternehmens belastbar beurteilen.

6. Was tun, wenn noch kein Sicherheitsupdate verfügbar ist?

Nicht jeder Hersteller stellt Sicherheitsupdates gleichzeitig bereit.

Manche Produkte benötigen zusätzliche Entwicklungs- und Testzeit.

Für betroffene Systeme ohne verfügbaren Fix müssen deshalb vorübergehende Schutzmaßnahmen getroffen werden.

Fünf Sofortmaßnahmen für ungepatchte Systeme

1. Direkte Internet-Erreichbarkeit reduzieren. Wenn eine verwundbare Verwaltungsoberfläche nicht zwingend öffentlich erreichbar sein muss, sollte ihr Zugriff aus dem Internet unterbunden werden. Dazu können beispielsweise unnötige Portfreigaben deaktiviert werden.
2. Fernzugriffe absichern. Ist ein Fernzugriff erforderlich, sollte dieser über eine geeignete, abgesicherte Zugangslösung erfolgen. Eine korrekt konfigurierte VPN-Verbindung kann helfen, die direkte Erreichbarkeit eines verwundbaren Dienstes zu vermeiden.
3. Nicht benötigte Dienste deaktivieren. Wird eine verwundbare Anwendung nicht benötigt, kann eine vorübergehende Deaktivierung sinnvoll sein.
4. Netzwerkzugriffe einschränken. Eine professionelle lokale Firewall kann helfen, den Zugriff auf gefährdete Systeme auf notwendige Netzwerkbereiche zu beschränken.
5. Sicherheitsmeldungen weiter beobachten. Sobald ein Hersteller ein geeignetes Update veröffentlicht, sollte dieses kontrolliert installiert werden.

7. Woran erkennen Sie einen möglichen PHP2Shell-Angriff?

Nicht jeder erfolgreiche Angriff führt sofort zu sichtbaren Störungen.

Ein kompromittiertes System kann zunächst weiterhin normal funktionieren.

Deshalb ist eine technische Überprüfung wichtiger als die bloße Beobachtung des täglichen Betriebs.

Mögliche Warnzeichen

• Ungewöhnliche Prozesse auf einem Webserver
• Auffällige oder unerklärliche ausgehende Netzwerkverbindungen
• Unbekannte Dateien oder Skripte
• Verdächtige Einträge in Webserver- und Systemprotokollen
• Ungewöhnliche Änderungen an Benutzerkonten
• Nicht autorisierte Konfigurationsänderungen
• Unerwartete Systemlast oder Abstürze

Diese Anzeichen sind nicht spezifisch für PHP2Shell.

Sie können jedoch auf einen Sicherheitsvorfall hindeuten.

Was sollten Unternehmen bei einem Verdacht tun?

Wenn Sie eine Kompromittierung vermuten, sollten Sie das betroffene System nicht unüberlegt neu starten oder sämtliche Protokolle löschen.

Dadurch könnten wichtige Informationen für die spätere Untersuchung verloren gehen.

Stattdessen sollten Sie:

1. Ihren IT-Dienstleister oder Ihr Security-Team informieren, zum Beispiel die IT-Nunweiler GmbH unter 0511 51 51 69 14.
2. Den Zugriff auf das betroffene System kontrolliert einschränken.
3. Relevante Protokolle und Beweisdaten sichern lassen.
4. Die Ursache fachgerecht untersuchen.
5. Möglicherweise kompromittierte Zugangsdaten prüfen und austauschen.
6. Eine sichere Wiederherstellung vorbereiten.

8. PHP2Shell und WordPress: So prüfen Sie Ihre Website

WordPress ist eines der bekanntesten PHP-basierten Content-Management-Systeme.

Deshalb ist PHP2Shell auch für viele Unternehmenswebsites relevant.

Wie finde ich meine PHP-Version in WordPress?

In vielen WordPress-Installationen können Administratoren die PHP-Version direkt im Backend einsehen.

Öffnen Sie: Werkzeuge → Website-Zustand → Bericht → Server

Dort wird üblicherweise die vom WordPress-System verwendete PHP-Version angezeigt.

Was muss ich bei einer veralteten PHP-Version tun?

Wenn Ihre Website eine verwundbare PHP-Version verwendet, sollte diese aktualisiert werden.

Bei Managed-Hosting-Angeboten erfolgt die Umstellung häufig über das Kundenportal des Hosters.

Bei selbst betriebenen Servern muss die entsprechende PHP-Laufzeit auf dem Server aktualisiert werden.

Achtung: Nicht einfach blind aktualisieren

Eine PHP-Aktualisierung kann Auswirkungen auf ältere Plugins, Themes oder individuelle Anwendungen haben.

Deshalb empfehlen wir:

1. Aktuelles Backup erstellen
2. Kompatibilität prüfen
3. PHP-Version aktualisieren
4. Website-Funktionen testen
5. Fehlermeldungen und Protokolle kontrollieren

Bei geschäftskritischen Websites und Shops sollte dies möglichst kontrolliert und mit einem geeigneten Wiederherstellungsplan erfolgen.

Reicht ein WordPress-Update?

Nein.

WordPress und PHP sind unterschiedliche Softwarekomponenten.

Auch wenn WordPress selbst vollständig aktualisiert ist, kann darunter eine veraltete PHP-Version laufen.

9. Warum Firewall, Virenschutz und Cloud allein nicht ausreichen

Viele Unternehmen investieren bereits in moderne IT-Sicherheit.

Sie verwenden professionelle Firewalls, Endpoint-Schutz, Multi-Faktor-Authentifizierung und Cloud-Anwendungen.

Das ist wichtig.

Doch keine dieser Maßnahmen ersetzt ein strukturiertes Patchmanagement.

Warum Managed IT Services hier einen Unterschied machen

Ein professionell betreutes Unternehmensnetzwerk sollte nicht erst dann überprüft werden, wenn eine kritische Sicherheitslücke in den Nachrichten erscheint.

Wichtiger ist ein dauerhafter Prozess:

1. Systeme erfassen
2. Sicherheitsmeldungen bewerten
3. Updates priorisieren
4. Maßnahmen umsetzen
5. Ergebnisse kontrollieren

Bei der IT-Nunweiler GmbH betrachten wir IT-Sicherheit deshalb nicht als einmalige Installation.

Wir verbinden technische Schutzmaßnahmen mit laufender Betreuung, Monitoring und Patchmanagement.

10. Häufig gestellte Fragen zu PHP2Shell

11. Fazit: Die größte Gefahr sind Systeme, die niemand auf dem Schirm hat

PHP2Shell zeigt ein grundlegendes Problem moderner Unternehmens-IT.

Viele Anwendungen und Geräte verwenden Softwarekomponenten, die für Geschäftsführer und Mitarbeiter im Alltag unsichtbar bleiben.

Eine Website ist schnell als PHP-Anwendung erkennbar.

Aber wer denkt bei einer kritischen PHP-Sicherheitslücke sofort an sein NAS, seine Serververwaltung oder eine interne Business-Anwendung?

Die gute Nachricht ist, dass für viele betroffene Produkte bereits Sicherheitsupdates verfügbar sind.

Die Herausforderung besteht darin, sämtliche relevanten Systeme zu finden, den tatsächlichen Patchstand zu überprüfen und notwendige Maßnahmen umzusetzen.

Drei Fragen, die Sie Ihrem IT-Dienstleister heute stellen sollten

• Wissen wir, auf welchen Systemen unseres Unternehmens PHP eingesetzt wird?
• Sind alle relevanten Systeme gegen PHP2Shell abgesichert?
• Wer überprüft künftig neue Sicherheitswarnungen und sorgt für notwendige Updates?

Wenn diese Fragen nicht eindeutig beantwortet werden können, besteht Handlungsbedarf.

PHP2Shell-Check für Unternehmen

Wir unterstützen Unternehmen dabei, ihre IT-Infrastruktur auf relevante Sicherheitsrisiken zu überprüfen.

Dabei betrachten wir nicht nur die Website, sondern auch die dahinterliegende Unternehmens-IT.

Ein PHP2Shell-Check kann folgende Leistungen umfassen:

• Bestandsaufnahme relevanter Server und Anwendungen
• Prüfung von NAS-Systemen und Netzwerkkomponenten
• Ermittlung eingesetzter PHP-Versionen
• Abgleich mit offiziellen Herstellerwarnungen
• Bewertung öffentlich erreichbarer Dienste
• Prüfung verfügbarer Sicherheitsupdates
• Empfehlungen zur kurzfristigen Risikoreduzierung
• Planung und Durchführung erforderlicher Aktualisierungen
• Dokumentation offener Sicherheitsrisiken