23. Oktober 2026 | Sicherheitsinformation von Webframe

Gute Nachrichten für unsere Kunden: Die kritischen PHP2Shell-Sicherheitslücken wurden auf sämtlichen betroffenen Webframe-Systemen durch entsprechende Sicherheitsupdates geschlossen. Unsere Hosting-Infrastruktur ist hinsichtlich der beiden bekannt gewordenen Schwachstellen auf dem aktuellen Sicherheitsstand. Für unsere Kunden besteht diesbezüglich kein weiterer Handlungsbedarf.

Am 21. Oktober 2026 wurden zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP öffentlich bekannt, die unter dem Namen PHP2Shell zusammengefasst werden. Aufgrund ihrer hohen Kritikalität und der weltweiten Verbreitung von PHP sorgten diese Schwachstellen international für große Aufmerksamkeit.

Als IT-Dienstleister und Hosting-Anbieter hat die Sicherheit unserer Kunden und ihrer Daten für uns höchste Priorität. Deshalb haben wir die Situation intensiv verfolgt und nach Bereitstellung der offiziellen Sicherheitsupdates die notwendigen Maßnahmen umgesetzt.

Was ist PHP2Shell?

PHP ist eine der weltweit meistverwendeten Programmiersprachen für Websites und Webanwendungen. Bekannte Systeme wie WordPress, WooCommerce, Joomla und Drupal basieren unter anderem auf PHP.

Die unter dem Namen PHP2Shell bekannt gewordenen Sicherheitslücken betreffen nicht einzelne Websites oder Plugins, sondern den PHP-Kern selbst.

Konkret handelt es sich um zwei kritische Schwachstellen:

• CVE-2026-109618: Eine Schwachstelle in der Speicherverwaltung, die unter bestimmten Bedingungen eine Manipulation des Arbeitsspeichers und die Ausführung von Schadcode ermöglichen kann.
• CVE-2026-109619: Eine Schwachstelle bei der Verwaltung interner Zustände, durch die bereits freigegebene Speicherbereiche unter Umständen erneut verwendet werden können.

Beide Sicherheitslücken wurden mit einem CVSS-v4.0-Wert von 9,2 von 10 Punkten als kritisch eingestuft.

Unter bestimmten Voraussetzungen hätten Angreifer diese Schwachstellen aus der Ferne ausnutzen können, um ohne vorherige Anmeldung Schadcode auf betroffenen Servern auszuführen oder sensible Informationen auszulesen.

Besonders problematisch war dabei, dass auch technisch einwandfrei entwickelte und regelmäßig aktualisierte Websites betroffen sein konnten, sofern sie auf einer verwundbaren PHP-Version betrieben wurden.

Webframe hat die erforderlichen Sicherheitsmaßnahmen umgesetzt

Unmittelbar nach Bekanntwerden der Sicherheitslücken und der Verfügbarkeit entsprechender Patches haben wir unsere betroffene Hosting-Infrastruktur aktualisiert.

Im Rahmen der Sicherheitsmaßnahmen wurden insbesondere folgende Schritte durchgeführt:

• Aktualisierung der PHP-Versionen: Installation der bereitgestellten Sicherheitsupdates zur Behebung beider PHP2Shell-Schwachstellen.
• Überprüfung der Serverumgebungen: Kontrolle der eingesetzten PHP-Installationen und relevanten Systemkomponenten.
• Aktualisierung der Hosting-Komponenten: Einspielen erforderlicher Updates für betroffene Verwaltungs- und Laufzeitumgebungen.
• Neustart betroffener Dienste: Sicherstellung, dass aktualisierte PHP-Versionen tatsächlich von den laufenden Webanwendungen verwendet werden.
• Sicherheitskontrollen: Überprüfung relevanter Systemzustände und Fortführung der laufenden Überwachung unserer Infrastruktur.

Damit sind die erforderlichen Updates zum Schutz vor CVE-2026-109618 und CVE-2026-109619 innerhalb unserer betroffenen Infrastruktur abgeschlossen.

Welche PHP-Versionen wurden abgesichert?

Das offizielle PHP-Entwicklerteam veröffentlichte am 21. Oktober 2026 Sicherheitsupdates für mehrere unterstützte PHP-Versionen.

Die beiden kritischen Schwachstellen wurden in folgenden Versionen behoben:

PHP-Version	Sicherheitsupdate
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

Auch für bestimmte ältere PHP-Versionen wurden durch Drittanbieter beziehungsweise über spezielle Backports Sicherheitskorrekturen bereitgestellt.

Entscheidend ist dabei nicht ausschließlich die Versionsnummer, sondern auch, ob die jeweiligen Sicherheitspatches tatsächlich in der verwendeten Installation enthalten sind.

Was bedeutet das für unsere Kunden?

Für Kunden, deren Websites, Onlineshops oder Webanwendungen auf unserer verwalteten Hosting-Infrastruktur betrieben werden, besteht hinsichtlich der beiden behobenen PHP2Shell-Sicherheitslücken kein zusätzlicher Handlungsbedarf.

Die erforderlichen serverseitigen Sicherheitsupdates wurden von uns übernommen. Kunden müssen hierfür keine eigenen PHP-Aktualisierungen durchführen oder technische Einstellungen verändern.

Unsere Hosting-Systeme werden weiterhin überwacht und regelmäßig auf sicherheitsrelevante Aktualisierungen überprüft.

Wir wissen, wie wichtig eine zuverlässige und sichere IT-Infrastruktur für Unternehmen ist. Deshalb setzen wir auf eine proaktive Wartung, kontinuierliches Monitoring und die zeitnahe Umsetzung sicherheitskritischer Updates.

Sicherheit endet nicht mit einem Update

Auch wenn die beiden PHP2Shell-Schwachstellen durch die veröffentlichten Updates behoben wurden, bleibt IT-Sicherheit ein fortlaufender Prozess.

Neue Sicherheitslücken können jederzeit entdeckt werden. Deshalb verfolgen wir aktuelle Sicherheitsmeldungen, bewerten zusätzliche Risiken und reagieren auf neu veröffentlichte Erkenntnisse mit geeigneten Schutzmaßnahmen.

Unser Ziel ist es, Sicherheitsprobleme frühzeitig zu erkennen und zu beheben, bevor daraus eine konkrete Gefahr für unsere Kunden entsteht.

Unser Fazit: Ihre Sicherheit bleibt unsere Priorität

Die Veröffentlichung von PHP2Shell zeigt erneut, wie wichtig professionell betreute, regelmäßig aktualisierte Hosting-Systeme sind.

Wir können unseren Kunden bestätigen, dass die erforderlichen Sicherheitsupdates gegen die beiden kritischen PHP2Shell-Schwachstellen auf unserer betroffenen Hosting-Infrastruktur erfolgreich umgesetzt wurden.

Unsere Kunden können ihre Websites und Onlineshops wie gewohnt nutzen. Im Hinblick auf diese beiden Schwachstellen sind keine zusätzlichen Maßnahmen erforderlich.

Bei Webframe kümmern wir uns um die Technik und Sicherheit im Hintergrund, damit Sie sich auf Ihr Unternehmen konzentrieren können.

Ihr Webframe-Team

Technische Referenzen: Offizielle PHP-Sicherheitshinweise und Plesk Security Advisory.