Akute PHP-Schwachstelle: Das bedeutet die aktuelle BSI-Warnung für Ihr Unternehmen

Die IT-Sicherheitslage ist kritisch: Seit dem 21. Oktober 2026 warnen internationale Sicherheitsbehörden wie das BSI (Warnstufe Orange) und das CERT-EU vor zwei verheerenden Sicherheitslücken im Kern der Programmiersprache PHP. Unter dem Namen „PHP2Shell“ (in Anlehnung an das historische Log4Shell-Szenario) bedrohen die Schwachstellen CVE-2026-109618 und CVE-2026-109619 weltweit Millionen von Webanwendungen, Onlineshops und Content-Management-Systemen (wie WordPress oder TYPO3).

PHP ist für fast 80 % aller dynamischen Webseiten das Fundament. Unternehmen müssen jetzt nicht nur technisch, sondern auch regulatorisch sofort reagieren, um Datenabflüsse und gravierende Non-Compliance-Strafen zu verhindern.

Das Risiko: Was macht „PHP2Shell“ so gefährlich?

Beide Sicherheitslücken betreffen die grundlegende Speicherverwaltung im PHP-Kern. Sie weisen einen extrem hohen CVSS-v4.0-Score von 9,2 (kritisch) auf.

Remote Code Execution (RCE): Angreifer können aus der Ferne eigenen Schadcode auf dem Webserver ausführen – komplett ohne Anmeldung (unauthentifiziert) und ohne Interaktion durch Endnutzer.
Kein Schutz durch Anwendungscode: Selbst perfekt programmierte Webanwendungen bieten keinen Schutz, da der Fehler greift, bevor das eigentliche Skript der Webseite geladen wird.
Akuter Zeitdruck: Die technischen Details zu den Sicherheitslücken wurden vorzeitig geleakt. Erste automatisierte Angriffe im Netz wurden bereits registriert. Weltweit haben Behörden, Kommunen und Konzerne ihre Webdienste vorsorglich komplett abgeschaltet.

Welche Bedeutung hat PHP2Shell für Datenschutz und Compliance?

Kritische Sicherheitslücken sind nicht nur ein technisches Problem. Unternehmen müssen auch ihre gesetzlichen Verpflichtungen berücksichtigen.

DSGVO: Nach Art. 32 DSGVO müssen personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen geschützt werden. Kommt es zu einer Datenschutzverletzung, können Meldepflichten gegenüber der Datenschutzaufsichtsbehörde und betroffenen Personen entstehen.

NIS-2: Unternehmen, die unter die entsprechenden gesetzlichen Regelungen fallen, müssen geeignete Maßnahmen zur Cybersicherheit und zum Risikomanagement umsetzen.

DORA: Für betroffene Unternehmen im Finanzsektor bestehen zusätzliche Anforderungen an die Sicherheit und Widerstandsfähigkeit ihrer IT-Systeme.

Die Verantwortung für angemessene Sicherheitsmaßnahmen verbleibt grundsätzlich beim Unternehmen – auch wenn externe IT- oder Hosting-Dienstleister eingesetzt werden.

Was sollten Unternehmen jetzt tun?

Wir empfehlen unseren Kunden, folgende Maßnahmen zeitnah umzusetzen:

IT-Systeme überprüfen: Feststellen, ob PHP-basierte Webseiten oder Anwendungen eingesetzt werden und welche Versionen installiert sind.
Sicherheitsupdates durchführen: Betroffene Systeme durch die interne IT oder externe Dienstleister auf einen nachweislich korrigierten Stand aktualisieren.
Dienstleister einbeziehen: Bei Hosting- und Softwareanbietern den aktuellen Sicherheits- und Patch-Status erfragen.
Sicherheitsvorfälle ausschließen: Betroffene Systeme auf mögliche Angriffe oder unbefugte Zugriffe untersuchen.
Maßnahmen dokumentieren: Prüfungen, Sicherheitsupdates und gegebenenfalls erforderliche Datenschutzmaßnahmen nachvollziehbar festhalten.

Unser Fazit: IT-Sicherheit und Compliance gehören zusammen

PHP2Shell verdeutlicht, wie wichtig ein funktionierendes Sicherheits- und Patchmanagement für Unternehmen ist.

Regelmäßige Sicherheitsupdates, klare Verantwortlichkeiten und eine nachvollziehbare Dokumentation helfen dabei, Cyberrisiken zu reduzieren und gesetzliche Anforderungen einzuhalten.

Unsere Empfehlung an Sie: Lassen Sie durch Ihre IT-Abteilung oder Ihren IT-Dienstleister zeitnah überprüfen, ob Ihre Systeme betroffen sind und erforderliche Sicherheitsmaßnahmen bereits umgesetzt wurden.