{"id":1774,"date":"2026-10-21T17:47:59","date_gmt":"2026-10-21T15:47:59","guid":{"rendered":"https:\/\/www.milkycode.com\/de\/php2shell-6-fehler-sicherheitsluecke-2026\/"},"modified":"2026-10-21T23:31:49","modified_gmt":"2026-10-21T21:31:49","slug":"php2shell-6-bug-security-vulnerability-2026","status":"publish","type":"post","link":"https:\/\/www.milkycode.com\/en\/php2shell-6-bug-security-vulnerability-2026\/","title":{"rendered":"PHP2Shell: 6 Errors Related to the CVE-2026 Vulnerability"},"content":{"rendered":"<ul class=\"ce-toc\">\n<li><a href=\"#fehler-1-reicht-ein-wordpress--oder-plugin-update-um-dich-vor-php2shell-zu-sch%C3%BCtzen\">Fehler 1: Reicht ein WordPress- oder Plugin-Update, um dich vor PHP2Shell zu sch\u00fctzen?<\/a><\/li>\n<li><a href=\"#fehler-2-l%C3%A4uft-auf-deinem-server-wirklich-die-gepatchte-php-version\">Fehler 2: L\u00e4uft auf deinem Server wirklich die gepatchte PHP-Version?<\/a>\n<ul>\n<li><a href=\"#cli-vs-web-sapi-was-ist-der-h%C3%A4ufigste-pr%C3%BCffehler\">CLI vs. Web-SAPI: Was ist der h\u00e4ufigste Pr\u00fcffehler?<\/a><\/li>\n<li><a href=\"#was-gilt-f%C3%BCr-docker-ci-und-paketquellen\">Was gilt f\u00fcr Docker, CI und Paketquellen?<\/a><\/li>\n<\/ul>\n<\/li>\n<li><a href=\"#fehler-3-sind-workarounds-und-waf-ein-vollst%C3%A4ndiger-schutz\">Fehler 3: Sind Workarounds und WAF ein vollst\u00e4ndiger Schutz?<\/a><\/li>\n<li><a href=\"#fehler-4-gibt-es-f%C3%BCr-php-versionen-unter-82-wirklich-gar-keine-updates\">Fehler 4: Gibt es f\u00fcr PHP-Versionen unter 8.2 wirklich gar keine Updates?<\/a>\n<ul>\n<li><a href=\"#warum-drei-gruppen-statt-einer-starren-grenze\">Warum drei Gruppen statt einer starren Grenze?<\/a><\/li>\n<li><a href=\"#wann-ist-eine-abschaltung-wirklich-n%C3%B6tig\">Wann ist eine Abschaltung wirklich n\u00f6tig?<\/a><\/li>\n<\/ul>\n<\/li>\n<li><a href=\"#fehler-5-ist-extended-support-g%C3%BCnstiger-als-ein-upgrade\">Fehler 5: Ist Extended Support g\u00fcnstiger als ein Upgrade?<\/a><\/li>\n<li><a href=\"#fehler-6-reicht-ein-patch-auf-php-8235-obwohl-der-support-am-31122026-endet\">Fehler 6: Reicht ein Patch auf PHP 8.2.35, obwohl der Support am 31.12.2026 endet?<\/a>\n<ul>\n<li><a href=\"#warum-ist-php-84-f%C3%BCr-die-meisten-die-pragmatische-wahl\">Warum ist PHP 8.4 f\u00fcr die meisten die pragmatische Wahl?<\/a><\/li>\n<li><a href=\"#wie-pr%C3%BCfst-du-shop--und-cms-kompatibilit%C3%A4t-vor-dem-wechsel\">Wie pr\u00fcfst du Shop- und CMS-Kompatibilit\u00e4t vor dem Wechsel?<\/a><\/li>\n<\/ul>\n<\/li>\n<li><a href=\"#was-kann-dir-kein-chatbot-sagen-so-gehen-wir-bei-milkycode-mit-php2shell-vor\">Was kann dir kein Chatbot sagen? So gehen wir bei milkycode mit PHP2Shell vor<\/a>\n<ul>\n<li><a href=\"#die-zeitleiste-des-patch-tags\">Die Zeitleiste des Patch-Tags<\/a><\/li>\n<li><a href=\"#unsere-priorisierung\">Unsere Priorisierung<\/a><\/li>\n<li><a href=\"#wie-wir-dich-informieren\">Wie wir dich informieren<\/a><\/li>\n<li><a href=\"#welche-pflichten-hast-du-in-deutschland\">Welche Pflichten hast du in Deutschland?<\/a><\/li>\n<li><a href=\"#kompromittierungspr%C3%BCfung-nach-dem-patch\">Kompromittierungspr\u00fcfung nach dem Patch<\/a><\/li>\n<li><a href=\"#unsere-entscheidungsmatrix\">Unsere Entscheidungsmatrix<\/a><\/li>\n<li><a href=\"#grenzen-alternativen--professionelle-beratung\">Grenzen, Alternativen &amp; professionelle Beratung<\/a><\/li>\n<\/ul>\n<\/li>\n<li><a href=\"#faq\">FAQ<\/a>\n<ul>\n<li><a href=\"#was-ist-php2shell-und-wie-gef%C3%A4hrlich-ist-die-aktuelle-php-sicherheitsl%C3%BCcke\">Was ist PHP2Shell und wie gef\u00e4hrlich ist die aktuelle PHP-Sicherheitsl\u00fccke?<\/a><\/li>\n<li><a href=\"#welche-php-versionen-sind-von-cve-2026-109618-und-cve-2026-109619-betroffen\">Welche PHP-Versionen sind von CVE-2026-109618 und CVE-2026-109619 betroffen?<\/a><\/li>\n<li><a href=\"#welche-php-version-schlie%C3%9Ft-die-l%C3%BCcke\">Welche PHP-Version schlie\u00dft die L\u00fccke?<\/a><\/li>\n<li><a href=\"#gibt-es-einen-patch-f%C3%BCr-php-74-80-oder-81\">Gibt es einen Patch f\u00fcr PHP 7.4, 8.0 oder 8.1?<\/a><\/li>\n<li><a href=\"#warum-schaltet-mein-hoster-oder-meine-agentur-meine-website-ab\">Warum schaltet mein Hoster oder meine Agentur meine Website ab?<\/a><\/li>\n<li><a href=\"#wo-sehe-ich-welche-php-version-meine-website-nutzt\">Wo sehe ich, welche PHP-Version meine Website nutzt?<\/a><\/li>\n<li><a href=\"#auf-welche-php-version-sollte-ich-upgraden-83-84-oder-85\">Auf welche PHP-Version sollte ich upgraden: 8.3, 8.4 oder 8.5?<\/a><\/li>\n<\/ul>\n<\/li>\n<li><a href=\"#referenzen\">Referenzen<\/a><\/li>\n<\/ul>\n<h1>PHP2Shell: 6 Fehler bei der PHP-Sicherheitsl\u00fccke vom 21.10.2026 und warum wir alte PHP-Versionen ggf. abschalten m\u00fcssen<\/h1>\n<p><strong>Key Takeaways<\/strong><\/p>\n<ul>\n<li>Am 21.10.2026 erschienen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (<a href=\"https:\/\/www.php.net\/archive\/2026.php\" rel=\"nofollow noopener\" target=\"_blank\">The PHP Group, 2026<\/a>).<\/li>\n<li>Die PHP Sicherheitsl\u00fccke PHP2Shell erlaubt Codeausf\u00fchrung ohne Anmeldung. Das BSI bewertet sie 2026 mit CVSS v4.0 9.2 (<a href=\"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-297981-1032.pdf?__blob=publicationFile&amp;v=3\" rel=\"nofollow noopener\" target=\"_blank\">BSI, 2026<\/a>).<\/li>\n<li>F\u00fcr PHP 7.4 bis 8.1 gibt es nur Quell-Backports oder LTS-Fixes.<\/li>\n<li>F\u00fcr PHP 5.x bis 7.3 gibt es keine Updates. Solche Websites nehmen wir ggf. vor\u00fcbergehend vom Netz.<\/li>\n<li>PHP 8.2 erreicht am 31.12.2026 sein End of Life.<\/li>\n<\/ul>\n<p><strong>Transparenzhinweis:<\/strong> Recherchestand: 21.10.2026. Grundlage sind die BSI-Cybersicherheitswarnung 2026-297981-1032, das Security-Advisory auf php.net, CERT-EU Advisory 2026-018 und Analysen von Sansec und Huntress. Dazu kommen Preisangaben von Extended-Support-Anbietern und unsere eigenen Erfahrungen aus dem Patch-Rollout.<\/p>\n<p>Die Lage entwickelt sich weiter. Wir aktualisieren den Artikel, sobald neue Fakten vorliegen. Eine KI hat bei der Gliederung unterst\u00fctzt. Fakten und Bewertungen hat das milkycode-Team gepr\u00fcft.<\/p>\n<p>Im Jahr 2026 l\u00e4uft PHP auf rund 75 % aller Websites mit bekannter serverseitiger Sprache. Das zeigen W3Techs-Daten, zitiert von HeroDevs in \u201ePHP End-of-Life Dates: Support Timeline for Every Version (2026)\u201c (<a href=\"https:\/\/www.herodevs.com\/blog-posts\/php-end-of-life-dates-support-timeline-for-every-version-2026\" rel=\"nofollow noopener\" target=\"_blank\">HeroDevs, 2026<\/a>). Die PHP Sicherheitsl\u00fccke PHP2Shell betrifft also fast jede Firmenwebsite. Hier sind die sechs h\u00e4ufigsten Fehler vom Patch-Tag.<\/p>\n<h2>Fehler 1: Reicht ein WordPress- oder Plugin-Update, um dich vor PHP2Shell zu sch\u00fctzen?<a href=\"#fehler-1-reicht-ein-wordpress--oder-plugin-update-um-dich-vor-php2shell-zu-sch%C3%BCtzen\" class=\"heading-permalink\"><\/a><\/h2>\n<figure class=\"ce-image\" style=\"margin:1.5rem 0;text-align:center\"><img decoding=\"async\" src=\"https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/img_1.webp\" alt=\"Ein WordPress-Dashboard zeigt verf\u00fcgbare Sicherheitsupdates in der Aktualisierungssektion.\" loading=\"lazy\" style=\"max-width:100%;height:auto;border-radius:10px\"><\/figure>\n<p>Nein. Ein WordPress-, Shopware- oder Plugin-Update schlie\u00dft PHP2Shell nicht, denn die L\u00fccke steckt im PHP-Interpreter selbst. Im Jahr 2026 bewertet das BSI in seiner Cybersicherheitswarnung 2026-297981-1032 beide CVEs mit CVSS v4.0 9.2 (<a href=\"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-297981-1032.pdf?__blob=publicationFile&amp;v=3\" rel=\"nofollow noopener\" target=\"_blank\">BSI, 2026<\/a>). Du musst die PHP-Laufzeit aktualisieren.<\/p>\n<p>Warum passiert der Fehler? Viele kennen nur das CMS-Backend mit seinem Update-Button. Die PHP-Version liegt aber beim Hoster oder Server-Admin. Dein WordPress kann topaktuell sein und trotzdem auf einem verwundbaren PHP laufen.<\/p>\n<p>Laut php.net ist jede Installation betroffen, die Webanfragen bedient:<\/p>\n<ul>\n<li>PHP-FPM<\/li>\n<li>mod_php<\/li>\n<li>php-cgi<\/li>\n<li>FrankenPHP<\/li>\n<li>LiteSpeed<\/li>\n<\/ul>\n<p>Bei mod_php ist das Risiko am h\u00f6chsten. Dort greift der Exploit, bevor \u00fcberhaupt Anwendungscode l\u00e4uft. Im Oktober 2026 stuft das BSI die Lage in derselben Warnung 2026-297981-1032 mit Kritikalit\u00e4t 3\/Orange ein und verlangt unverz\u00fcgliches Handeln (<a href=\"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-297981-1032.pdf?__blob=publicationFile&amp;v=3\" rel=\"nofollow noopener\" target=\"_blank\">BSI, 2026<\/a>).<\/p>\n<p>Dazu kommt das Tempo. Die Details waren laut Huntress schon am 20.10. durchgesickert. Sansec berichtet unter Berufung auf Cloudflare von Angriffen noch vor dem Release. Die PHP Sicherheitsl\u00fccke PHP2Shell ist also kein theoretisches Problem.<\/p>\n<p><strong>Deine L\u00f6sung:<\/strong> Frag deinen Hoster oder deine Agentur, ob die PHP-Laufzeit gepatcht wurde. Bei Managed Hosting von milkycode \u00fcbernehmen wir das f\u00fcr dich. Mehr dazu findest du bei unseren <a href=\"https:\/\/www.milkycode.com\/de\/wordpress\">WordPress-Websites und WordPress-Hosting<\/a>.<\/p>\n<figure class=\"ce-chart\" role=\"group\" aria-label=\"PHP-Versionen: Sicherheitsupdates bis\"><svg viewBox=\"0 0 560 297\" role=\"img\" aria-label=\"PHP-Versionen: Sicherheitsupdates bis: PHP 8.5 2029, PHP 8.4 2028, PHP 8.3 2026, PHP 8.2 2026, PHP 8.1 und \u00e4lter 2024. Quelle: PHP: Supported Versions.\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" style=\"max-width:100%;height:auto;color:inherit;font-family:Arial,Helvetica,'Liberation Sans',Arimo,sans-serif\"><title>PHP-Versionen: Sicherheitsupdates bis<\/title><desc>PHP-Versionen: Sicherheitsupdates bis: PHP 8.5 2029, PHP 8.4 2028, PHP 8.3 2026, PHP 8.2 2026, PHP 8.1 und \u00e4lter 2024. Quelle: PHP: Supported Versions.<\/desc><text x=\"280\" y=\"26\" text-anchor=\"middle\" font-size=\"16\" fill=\"currentColor\" font-weight=\"600\">PHP-Versionen: Sicherheitsupdates bis<\/text><text x=\"109.8\" y=\"64.6\" text-anchor=\"end\" font-size=\"12\" fill=\"currentColor\">PHP 8.5<\/text><rect x=\"117.8\" y=\"46\" width=\"395.8\" height=\"28.8\" rx=\"4\" fill=\"#007299\"\/><text x=\"519.6\" y=\"64.6\" font-size=\"12\" fill=\"currentColor\">2029<\/text><text x=\"109.8\" y=\"112.6\" text-anchor=\"end\" font-size=\"12\" fill=\"currentColor\">PHP 8.4<\/text><rect x=\"117.8\" y=\"94\" width=\"329.9\" height=\"28.8\" rx=\"4\" fill=\"#ffb54c\"\/><text x=\"453.6\" y=\"112.6\" font-size=\"12\" fill=\"currentColor\">2028<\/text><text x=\"109.8\" y=\"160.6\" text-anchor=\"end\" font-size=\"12\" fill=\"currentColor\">PHP 8.3<\/text><rect x=\"117.8\" y=\"142\" width=\"197.9\" height=\"28.8\" rx=\"4\" fill=\"#2baab1\"\/><text x=\"321.7\" y=\"160.6\" font-size=\"12\" fill=\"currentColor\">2026<\/text><text x=\"109.8\" y=\"208.6\" text-anchor=\"end\" font-size=\"12\" fill=\"currentColor\">PHP 8.2<\/text><rect x=\"117.8\" y=\"190\" width=\"197.9\" height=\"28.8\" rx=\"4\" fill=\"#e36159\"\/><text x=\"321.7\" y=\"208.6\" font-size=\"12\" fill=\"currentColor\">2026<\/text><text x=\"109.8\" y=\"256.6\" text-anchor=\"end\" font-size=\"12\" fill=\"currentColor\">PHP 8.1 und \u00e4lter<\/text><rect x=\"117.8\" y=\"238\" width=\"66\" height=\"28.8\" rx=\"4\" fill=\"#3c5b9b\"\/><text x=\"189.7\" y=\"256.6\" font-size=\"12\" fill=\"currentColor\">2024<\/text><text x=\"280\" y=\"289\" text-anchor=\"middle\" font-size=\"11\" fill=\"currentColor\" opacity=\"0.6\">Quelle: PHP: Supported Versions<\/text><\/svg><\/figure>\n<h2>Fehler 2: L\u00e4uft auf deinem Server wirklich die gepatchte PHP-Version?<a href=\"#fehler-2-l%C3%A4uft-auf-deinem-server-wirklich-die-gepatchte-php-version\" class=\"heading-permalink\"><\/a><\/h2>\n<figure class=\"ce-image\" style=\"margin:1.5rem 0;text-align:center\"><img decoding=\"async\" src=\"https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/img_2.webp\" alt=\"Ein Terminal oder Code-Editor zeigt die PHP-Versionsinformation nach einem Versionscheck-Befehl.\" loading=\"lazy\" style=\"max-width:100%;height:auto;border-radius:10px\"><\/figure>\n<p>Oft nicht, denn viele pr\u00fcfen an der falschen Stelle. Sicher sind laut The PHP Group im \u201ePHP News Archive 2026, Security advisory\u201c (Stand 21.10.2026) nur PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (<a href=\"https:\/\/www.php.net\/archive\/2026.php\" rel=\"nofollow noopener\" target=\"_blank\">The PHP Group, 2026<\/a>). Zeigt <code>php -v<\/code> eine neue Version, kann PHP-FPM trotzdem die alte ausliefern.<\/p>\n<table>\n<thead>\n<tr>\n<th>Versionszweig<\/th>\n<th>Sichere Version ab<\/th>\n<th>Status (Oktober 2026)<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>PHP 8.5<\/td>\n<td>8.5.12<\/td>\n<td>offizielles Release<\/td>\n<\/tr>\n<tr>\n<td>PHP 8.4<\/td>\n<td>8.4.27<\/td>\n<td>offizielles Release<\/td>\n<\/tr>\n<tr>\n<td>PHP 8.3<\/td>\n<td>8.3.36<\/td>\n<td>offizielles Release<\/td>\n<\/tr>\n<tr>\n<td>PHP 8.2<\/td>\n<td>8.2.35<\/td>\n<td>offizielles Release, EOL 31.12.2026<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>CLI vs. Web-SAPI: Was ist der h\u00e4ufigste Pr\u00fcffehler?<a href=\"#cli-vs-web-sapi-was-ist-der-h%C3%A4ufigste-pr%C3%BCffehler\" class=\"heading-permalink\"><\/a><\/h3>\n<p>CLI- und Web-PHP sind oft getrennte Binaries oder Pakete. Die Kommandozeile sagt also wenig \u00fcber deine Website.<\/p>\n<p>[PRACTICAL EXAMPLE] So pr\u00fcfst du richtig: Ruf eine <code>phpinfo()<\/code>-Seite auf oder \u00f6ffne den Website-Zustand im WordPress-Backend. Starte nach dem Update PHP-FPM oder Apache neu, etwa mit <code>systemctl restart php8.3-fpm<\/code>. Erst danach l\u00e4dt der Server das neue Binary. L\u00f6sch die <code>phpinfo()<\/code>-Datei nach der Pr\u00fcfung wieder.<\/p>\n<h3>Was gilt f\u00fcr Docker, CI und Paketquellen?<a href=\"#was-gilt-f%C3%BCr-docker-ci-und-paketquellen\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Docker- und CI-Images musst du neu bauen und neu ausrollen. Nur das Base-Image-Tag zu \u00e4ndern, reicht nicht.<\/p>\n<p>Achte auch auf Fremd-Repositories. Laut php.net gab es am Release-Tag noch keine Remi-Pakete. Gleich deshalb die Backports deiner Distribution ab (Debian, Ubuntu, RHEL). Bei Plesk und cPanel kommen die Pakete vom Hersteller. Pr\u00fcf dort jede PHP-Handler-Version einzeln.<\/p>\n<figure class=\"ce-chart\" role=\"group\" aria-label=\"Extended Support Kosten f\u00fcr alte PHP-Versionen\"><svg viewBox=\"0 0 560 193\" role=\"img\" aria-label=\"Extended Support Kosten f\u00fcr alte PHP-Versionen: PHP 7.4 \/ 8.0 (IONOS) 15,62\u00a0\u20ac, PHP 8.1 (IONOS) 7,81\u00a0\u20ac, Extended Support (maxcluster) 15,00\u00a0\u20ac. Quelle: maxcluster, IONOS (zitiert von Winning Solutions).\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" style=\"max-width:100%;height:auto;color:inherit;font-family:Arial,Helvetica,'Liberation Sans',Arimo,sans-serif\"><title>Extended Support Kosten f\u00fcr alte PHP-Versionen<\/title><desc>Extended Support Kosten f\u00fcr alte PHP-Versionen: PHP 7.4 \/ 8.0 (IONOS) 15,62\u00a0\u20ac, PHP 8.1 (IONOS) 7,81\u00a0\u20ac, Extended Support (maxcluster) 15,00\u00a0\u20ac. Quelle: maxcluster, IONOS (zitiert von Winning Solutions).<\/desc><text x=\"280\" y=\"26\" text-anchor=\"middle\" font-size=\"16\" fill=\"currentColor\" font-weight=\"600\">Extended Support Kosten f\u00fcr alte PHP-Versionen<\/text><text x=\"182.5\" y=\"64.4\" text-anchor=\"end\" font-size=\"12\" fill=\"currentColor\">PHP 7.4 \/ 8.0 (IONOS)<\/text><line x1=\"190.5\" y1=\"60.4\" x2=\"494.3\" y2=\"60.4\" stroke=\"#007299\" stroke-width=\"2\"\/><circle cx=\"494.3\" cy=\"60.4\" r=\"6\" fill=\"#007299\"\/><text x=\"506.3\" y=\"64.4\" font-size=\"12\" fill=\"currentColor\">15,62\u00a0\u20ac<\/text><text x=\"182.5\" y=\"112.4\" text-anchor=\"end\" font-size=\"12\" fill=\"currentColor\">PHP 8.1 (IONOS)<\/text><line x1=\"190.5\" y1=\"108.4\" x2=\"342.4\" y2=\"108.4\" stroke=\"#ffb54c\" stroke-width=\"2\"\/><circle cx=\"342.4\" cy=\"108.4\" r=\"6\" fill=\"#ffb54c\"\/><text x=\"354.4\" y=\"112.4\" font-size=\"12\" fill=\"currentColor\">7,81\u00a0\u20ac<\/text><text x=\"182.5\" y=\"160.4\" text-anchor=\"end\" font-size=\"12\" fill=\"currentColor\">Extended Support (maxcluster)<\/text><line x1=\"190.5\" y1=\"156.4\" x2=\"482.2\" y2=\"156.4\" stroke=\"#2baab1\" stroke-width=\"2\"\/><circle cx=\"482.2\" cy=\"156.4\" r=\"6\" fill=\"#2baab1\"\/><text x=\"494.2\" y=\"160.4\" font-size=\"12\" fill=\"currentColor\">15,00\u00a0\u20ac<\/text><text x=\"280\" y=\"185\" text-anchor=\"middle\" font-size=\"11\" fill=\"currentColor\" opacity=\"0.6\">Quelle: maxcluster, IONOS (zitiert von Winning Solutions)<\/text><\/svg><\/figure>\n<h2>Fehler 3: Sind Workarounds und WAF ein vollst\u00e4ndiger Schutz?<a href=\"#fehler-3-sind-workarounds-und-waf-ein-vollst%C3%A4ndiger-schutz\" class=\"heading-permalink\"><\/a><\/h2>\n<figure class=\"ce-image\" style=\"margin:1.5rem 0;text-align:center\"><img decoding=\"async\" src=\"https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/img_3.webp\" alt=\"Eine symbolische Darstellung eines Schutzschild oder einer Firewall-Schutzebene f\u00fcr Cybersicherheit.\" loading=\"lazy\" style=\"max-width:100%;height:auto;border-radius:10px\"><\/figure>\n<p>Workarounds senken das Risiko, ersetzen aber kein Update. Im Jahr 2026 empfiehlt The PHP Group im \u201ePHP News Archive 2026, Security advisory\u201c als \u00dcbergang, <code>post_max_size<\/code> auf 8M ohne bzw. 32M mit Datei-Uploads zu begrenzen (<a href=\"https:\/\/www.php.net\/archive\/2026.php\" rel=\"nofollow noopener\" target=\"_blank\">The PHP Group, 2026<\/a>). Sicher wird die Installation dadurch nicht.<\/p>\n<p>Warum passiert der Fehler? Workarounds sind schnell gesetzt. Sie vermitteln ein tr\u00fcgerisches Gef\u00fchl von Sicherheit.<\/p>\n<p>php.net nennt drei Ma\u00dfnahmen:<\/p>\n<ul>\n<li>Anpassung von <code>memory_limit<\/code><\/li>\n<li>ein niedriges <code>post_max_size<\/code><\/li>\n<li><code>session.upload_progress.enabled=0<\/code><\/li>\n<\/ul>\n<p>Alle drei wirken nur teilweise gegen die PHP Sicherheitsl\u00fccke PHP2Shell.<\/p>\n<p>Ein typischer Fehler ist die falsche Ebene. Viele setzen die Werte per <code>ini_set()<\/code> oder <code>.user.ini<\/code>. Das greift bei dieser L\u00fccke zu sp\u00e4t oder gar nicht. Konfiguriere die Werte deshalb serverweit in der <code>php.ini<\/code> und starte den Dienst neu.<\/p>\n<p>Auch eine Web Application Firewall (WAF) hat Grenzen. Sie filtert bekannte Muster. Neue Exploit-Varianten k\u00f6nnen sie umgehen.<\/p>\n<p>Das BSI warnt, dass KI-gest\u00fctzte Werkzeuge Patches binnen Stunden in Exploits umwandeln k\u00f6nnen. WAF-Signaturen kommen da oft nicht hinterher.<\/p>\n<p><strong>Deine L\u00f6sung:<\/strong> Nutz Workaround und WAF nur als Br\u00fccke bis zum Patch. Setz dir daf\u00fcr eine feste Deadline, am besten in Tagen statt Wochen.<\/p>\n<h2>Fehler 4: Gibt es f\u00fcr PHP-Versionen unter 8.2 wirklich gar keine Updates?<a href=\"#fehler-4-gibt-es-f%C3%BCr-php-versionen-unter-82-wirklich-gar-keine-updates\" class=\"heading-permalink\"><\/a><\/h2>\n<figure class=\"ce-image\" style=\"margin:1.5rem 0;text-align:center\"><img decoding=\"async\" src=\"https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/img_4.webp\" alt=\"Ein Diagramm oder eine Timeline zeigt das Ende des Support f\u00fcr \u00e4ltere Softwareversionen.\" loading=\"lazy\" style=\"max-width:100%;height:auto;border-radius:10px\"><\/figure>\n<p>Die pauschale Aussage stimmt so nicht. Im Jahr 2026 hat das PHP-Sicherheitsteam laut \u201ePHP News Archive 2026, Security advisory\u201c f\u00fcr drei Legacy-Zweige (7.4, 8.0, 8.1) minimale Quell-Backports bereitgestellt (<a href=\"https:\/\/www.php.net\/archive\/2026.php\" rel=\"nofollow noopener\" target=\"_blank\">The PHP Group, 2026<\/a>). Offizielle Releases gibt es nicht. F\u00fcr PHP 5.x und 7.0 bis 7.3 gibt es keine Fixes.<\/p>\n<p>Warum passiert der Fehler? Seit dem Support-Ende von PHP 8.1 gilt alles unter 8.2 als \u201etot\u201c. Das ist zu grob.<\/p>\n<h3 id=\"warum-drei-gruppen-statt-einer-starren-grenze\">Warum drei Gruppen statt einer starren Grenze?<a href=\"#warum-drei-gruppen-statt-einer-starren-grenze\" class=\"heading-permalink\"><\/a><\/h3>\n<table>\n<thead>\n<tr>\n<th>Gruppe<\/th>\n<th>Versionen<\/th>\n<th>Was es gibt<\/th>\n<th>Was du tust<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>A<\/td>\n<td>PHP 8.2 bis 8.5<\/td>\n<td>offizielle Releases<\/td>\n<td>sofort einspielen<\/td>\n<\/tr>\n<tr>\n<td>B<\/td>\n<td>PHP 7.4 bis 8.1<\/td>\n<td>Quell-Backports, Distributionen, LTS-Anbieter<\/td>\n<td>nur mit gepr\u00fcftem Fix weiterbetreiben<\/td>\n<\/tr>\n<tr>\n<td>C<\/td>\n<td>PHP 5.x bis 7.3<\/td>\n<td>keine Fixes<\/td>\n<td>Upgrade oder vor\u00fcbergehende Abschaltung<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>In Gruppe B helfen Distributionen und LTS-Anbieter wie Freexian, maxcluster oder IONOS. Die Backports sind sonst nur zum Selbstkompilieren gedacht.<\/p>\n<h3>Wann ist eine Abschaltung wirklich n\u00f6tig?<a href=\"#wann-ist-eine-abschaltung-wirklich-n%C3%B6tig\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Im Oktober 2026 h\u00e4lt das BSI in der Warnung 2026-297981-1032 fest, dass alle PHP-Versionen bis mindestens PHP 5 verwundbar sind (<a href=\"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-297981-1032.pdf?__blob=publicationFile&amp;v=3\" rel=\"nofollow noopener\" target=\"_blank\">BSI, 2026<\/a>). F\u00fcr Gruppe C nennt das BSI die vor\u00fcbergehende Trennung vom Internet ausdr\u00fccklich als Option.<\/p>\n<p>Unser Vorgehen: Wir pr\u00fcfen jedes System einzeln. Abgeschaltet wird nur, wenn weder Patch noch Backport verf\u00fcgbar ist. Und immer erst, nachdem wir dich informiert haben. Die PHP Sicherheitsl\u00fccke PHP2Shell ist f\u00fcr uns kein Grund f\u00fcr pauschale Entscheidungen.<\/p>\n<h2>Fehler 5: Ist Extended Support g\u00fcnstiger als ein Upgrade?<a href=\"#fehler-5-ist-extended-support-g%C3%BCnstiger-als-ein-upgrade\" class=\"heading-permalink\"><\/a><\/h2>\n<figure class=\"ce-image\" style=\"margin:1.5rem 0;text-align:center\"><img decoding=\"async\" src=\"https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/img_5.webp\" alt=\"Ein Kostenvergleich oder Preisanalyse-Diagramm zeigt zwei Optionen nebeneinander.\" loading=\"lazy\" style=\"max-width:100%;height:auto;border-radius:10px\"><\/figure>\n<p>Kurzfristig oft ja, langfristig selten. Im Oktober 2026 verlangt IONOS laut eigener Preisliste 7,81 \u20ac (PHP 8.1) bis 15,62 \u20ac (PHP 7.4, 8.0) monatlich. Das zitiert Winning Solutions in \u201ePHP 8.4 Update\u201c (<a href=\"https:\/\/www.winning-solutions.de\/php-update\/\" rel=\"nofollow noopener\" target=\"_blank\">Winning Solutions, 2026<\/a>). Das kauft Zeit, l\u00f6st aber keine Kompatibilit\u00e4tsprobleme.<\/p>\n<table>\n<thead>\n<tr>\n<th>Option<\/th>\n<th>Laufende Kosten<\/th>\n<th>Sch\u00fctzt CMS\/Shop?<\/th>\n<th>Dauerl\u00f6sung?<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>IONOS Extended Support<\/td>\n<td>7,81 \u20ac bis 15,62 \u20ac\/Monat<\/td>\n<td>nein<\/td>\n<td>nein<\/td>\n<\/tr>\n<tr>\n<td>Extended Support anderer Hoster<\/td>\n<td>je nach Anbieter<\/td>\n<td>nein<\/td>\n<td>nein<\/td>\n<\/tr>\n<tr>\n<td>Upgrade auf PHP 8.4<\/td>\n<td>einmaliges Projekt<\/td>\n<td>teilweise, je nach Shop-Version<\/td>\n<td>ja<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Warum passiert der Fehler? Die Monatsgeb\u00fchr wirkt klein im Vergleich zu einem Upgrade-Projekt.<\/p>\n<p>Es gibt aber versteckte Kosten. Backports kommen bei Extended-Support-Anbietern teils sp\u00e4ter. Genau diese Zeitspanne ist bei PHP2Shell kritisch.<\/p>\n<p>Au\u00dferdem bleiben veraltete Shop- und CMS-Versionen ohne Sicherheitsupdates. Extended Support sch\u00fctzt nur die PHP-Ebene.<\/p>\n<p>Unsere Faustregel: Extended Support ist eine Br\u00fccke von wenigen Monaten. Er braucht einen festen Upgrade-Termin und ist kein Dauerzustand.<\/p>\n<p>Die Ergebnisse k\u00f6nnen je nach Codebasis variieren. Eine Kostensch\u00e4tzung lohnt sich deshalb vor der Entscheidung. Wie wir solche Projekte angehen, liest du unter <a href=\"https:\/\/www.milkycode.com\/de\/webentwicklung\">Webentwicklung und PHP-Upgrades<\/a>.<\/p>\n<h2 id=\"fehler-6-reicht-ein-patch-auf-php-8235-obwohl-der-support-am-31122026-endet\">Fehler 6: Reicht ein Patch auf PHP 8.2.35, obwohl der Support am 31.12.2026 endet?<a href=\"#fehler-6-reicht-ein-patch-auf-php-8235-obwohl-der-support-am-31122026-endet\" class=\"heading-permalink\"><\/a><\/h2>\n<p>Nein, du hast sonst in zehn Wochen das n\u00e4chste Problem. Im Jahr 2026 nennt The PHP Group in \u201ePHP: Supported Versions\u201c den 31.12.2026 als Support-Ende f\u00fcr PHP 8.2 (<a href=\"https:\/\/www.php.net\/supported-versions.php\" rel=\"nofollow noopener\" target=\"_blank\">The PHP Group, 2026<\/a>). PHP 8.4 erh\u00e4lt Updates bis Ende 2028, PHP 8.5 bis Ende 2029. Plane das Upgrade gleich mit.<\/p>\n<p>Warum passiert der Fehler? Nach dem Notfall-Patch wirkt das Thema erledigt. Dabei steht das php 8.2 end of life kurz bevor. Die PHP Sicherheitsl\u00fccke PHP2Shell zeigt, was ohne Updates passiert.<\/p>\n<h3>Warum ist PHP 8.4 f\u00fcr die meisten die pragmatische Wahl?<a href=\"#warum-ist-php-84-f%C3%BCr-die-meisten-die-pragmatische-wahl\" class=\"heading-permalink\"><\/a><\/h3>\n<p>PHP 8.4 l\u00e4uft schon lange stabil. Viele Shop-Systeme und Plugins sind darauf getestet. PHP 8.5 bringt ein Jahr mehr Support, aber manche Erweiterungen hinken noch hinterher.<\/p>\n<h3>Wie pr\u00fcfst du Shop- und CMS-Kompatibilit\u00e4t vor dem Wechsel?<a href=\"#wie-pr%C3%BCfst-du-shop--und-cms-kompatibilit%C3%A4t-vor-dem-wechsel\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Der Shop gibt die Grenze vor. Aus den Herstellerangaben und unserer Projektpraxis ergibt sich folgendes Bild. Pr\u00fcf die aktuellen Anforderungen deiner Version trotzdem vor jedem Wechsel beim Hersteller.<\/p>\n<table>\n<thead>\n<tr>\n<th>System<\/th>\n<th>H\u00f6chste unterst\u00fctzte PHP-Version<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Shopware 5.7<\/td>\n<td>PHP 8.2<\/td>\n<\/tr>\n<tr>\n<td>Magento 2.4.6<\/td>\n<td>PHP 8.1\/8.2<\/td>\n<\/tr>\n<tr>\n<td>WooCommerce<\/td>\n<td>getestet bis PHP 8.4<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Daraus folgt: Manche Kunden brauchen ein Shop- oder CMS-Upgrade, nicht nur einen PHP-Wechsel.<\/p>\n<p>Unser empfohlener Pfad:<\/p>\n<ol>\n<li>Staging-Kopie anlegen.<\/li>\n<li>Auf PHP 8.4 testen.<\/li>\n<li>Plugins und Themes pr\u00fcfen.<\/li>\n<li>Live-Wechsel deutlich vor dem 31.12.2026.<\/li>\n<\/ol>\n<p>F\u00fcr Legacy-Individualsoftware planen wir eine eigene Roadmap. Mehr dazu unter <a href=\"https:\/\/www.milkycode.com\/de\/technologien\/zend-framework\/\">Legacy-Anwendungen mit Zend Framework modernisieren<\/a>.<\/p>\n<h2 id=\"was-kann-dir-kein-chatbot-sagen-so-gehen-wir-bei-milkycode-mit-php2shell-vor\">Was kann dir kein Chatbot sagen? So gehen wir bei milkycode mit PHP2Shell vor<a href=\"#was-kann-dir-kein-chatbot-sagen-so-gehen-wir-bei-milkycode-mit-php2shell-vor\" class=\"heading-permalink\"><\/a><\/h2>\n<figure class=\"ce-image\" style=\"margin:1.5rem 0;text-align:center\"><img decoding=\"async\" src=\"https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/img_6.webp\" alt=\"Ein erfahrener IT-Sicherheitsexperte oder Entwickler bei der professionellen Sicherheitsberatung.\" loading=\"lazy\" style=\"max-width:100%;height:auto;border-radius:10px\"><\/figure>\n<p>Ein Chatbot mit \u00e4lterem Wissensstand kennt den 21.10.2026 nicht. Im Jahr 2026 meldete Cloudflare laut Sansec (\u201ePHP2Shell: Critical PHP RCE\u201c) erste Angriffe um 07:43 UTC, also vor dem Release (<a href=\"https:\/\/sansec.io\/research\/php2shell\" rel=\"nofollow noopener\" target=\"_blank\">Sansec, 2026<\/a>). Hier zeigen wir dir, wie wir als K\u00f6lner Agentur und Hoster reagiert haben.<\/p>\n<h3 id=\"die-zeitleiste-des-patch-tags\">Die Zeitleiste des Patch-Tags<a href=\"#die-zeitleiste-des-patch-tags\" class=\"heading-permalink\"><\/a><\/h3>\n<ul>\n<li><strong>20.10.2026:<\/strong> Details zur L\u00fccke sickern durch (<a href=\"https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities\" rel=\"nofollow noopener\" target=\"_blank\">Huntress, 2026<\/a>).<\/li>\n<li><strong>21.10.2026, 07:43 UTC:<\/strong> erste Angriffe laut Cloudflare-Daten, zitiert von Sansec.<\/li>\n<li><strong>21.10.2026, 13:30 UTC:<\/strong> Release der Fixes laut CERT-EU \u201eSecurity Advisory 2026-018\u201c, also vor dem angek\u00fcndigten Termin um 14:00 UTC (<a href=\"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\" rel=\"nofollow noopener\" target=\"_blank\">CERT-EU, 2026<\/a>).<\/li>\n<li><strong>Danach:<\/strong> unser Rollout auf alle betreuten Systeme, soweit m\u00f6glich.<\/li>\n<\/ul>\n<h3 id=\"unsere-priorisierung\">Unsere Priorisierung<a href=\"#unsere-priorisierung\" class=\"heading-permalink\"><\/a><\/h3>\n<p>[PRACTICAL EXAMPLE] Wir sind nach Risiko vorgegangen, nicht nach Kundennummer:<\/p>\n<ol>\n<li>Systeme mit mod_php, weil der Exploit dort vor dem Anwendungscode greift.<\/li>\n<li>PHP-FPM-Systeme.<\/li>\n<li>Shops mit Kundendaten vor reinen Info-Websites.<\/li>\n<\/ol>\n<p>Die genaue Zahl gepatchter Systeme und die Dauer tragen wir nach Abschluss des Rollouts nach. Sch\u00e4tzungen ver\u00f6ffentlichen wir bewusst nicht.<\/p>\n<h3 id=\"wie-wir-dich-informieren\">Wie wir dich informieren<a href=\"#wie-wir-dich-informieren\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Du bekommst von uns eine Nachricht mit deiner PHP-Version und dem Status. Bei Gruppe C nennen wir dir eine Frist, bevor wir abschalten.<\/p>\n<p>Wir besprechen mit dir die Optionen: Upgrade, Extended Support oder vor\u00fcbergehende Trennung. Nach dem Upgrade schalten wir die Website gemeinsam mit dir wieder frei und pr\u00fcfen die Funktionen.<\/p>\n<h3 id=\"welche-pflichten-hast-du-in-deutschland\">Welche Pflichten hast du in Deutschland?<a href=\"#welche-pflichten-hast-du-in-deutschland\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Das BSI nennt die vor\u00fcbergehende Netztrennung ausdr\u00fccklich als Option. Wurde ein Shop mit Kundendaten kompromittiert, kann eine DSGVO-Meldepflicht entstehen. Die Frist daf\u00fcr liegt bei 72 Stunden nach Kenntnis.<\/p>\n<p>Die Verantwortung verteilt sich oft auf drei Rollen: Agentur, Hoster und Shopbetreiber. Wer was schuldet, h\u00e4ngt von deinen Vertr\u00e4gen ab. Hol dir daf\u00fcr bitte individuelle Rechtsberatung.<\/p>\n<h3>Kompromittierungspr\u00fcfung nach dem Patch<a href=\"#kompromittierungspr%C3%BCfung-nach-dem-patch\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Laut BSI gibt es noch keine verbindlichen Indicators of Compromise. Ein Patch schlie\u00dft die T\u00fcr, wirft aber keinen Eindringling hinaus. Unser Monitoring achtet deshalb auf:<\/p>\n<ul>\n<li>Webshells in Upload- und Cache-Ordnern<\/li>\n<li>neue Admin-Konten im CMS oder Shop<\/li>\n<li>ge\u00e4nderte Dateien seit dem 20.10.<\/li>\n<li>ungew\u00f6hnliche Abst\u00fcrze von PHP-Workern<\/li>\n<\/ul>\n<h3 id=\"unsere-entscheidungsmatrix\">Unsere Entscheidungsmatrix<a href=\"#unsere-entscheidungsmatrix\" class=\"heading-permalink\"><\/a><\/h3>\n<p>[UNIQUE INSIGHT] Die Versionsgruppe allein reicht f\u00fcr eine Entscheidung nicht. Erst zusammen mit dem Shop-Typ wird klar, was zu tun ist.<\/p>\n<table>\n<thead>\n<tr>\n<th>Versionsgruppe<\/th>\n<th>Info-Website<\/th>\n<th>Shop mit Kundendaten<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>A (8.2 bis 8.5)<\/td>\n<td>patchen, Upgrade auf 8.4 planen<\/td>\n<td>sofort patchen, Logs pr\u00fcfen<\/td>\n<\/tr>\n<tr>\n<td>B (7.4 bis 8.1)<\/td>\n<td>Backport oder LTS, Upgrade bis Jahresende<\/td>\n<td>Backport sofort, sonst Abschaltung erw\u00e4gen<\/td>\n<\/tr>\n<tr>\n<td>C (5.x bis 7.3)<\/td>\n<td>Abschaltung nach Frist, Upgrade<\/td>\n<td>Abschaltung zeitnah, Forensik pr\u00fcfen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Die PHP Sicherheitsl\u00fccke PHP2Shell trifft also nicht jeden gleich. Bei unserem <a href=\"https:\/\/www.milkycode.com\/de\/referenzen\/promotional-webshop\">Magento-SaaS-Projekt Promotional Webshop<\/a> und anderen <a href=\"https:\/\/www.milkycode.com\/de\/referenzen\">Referenzen und Case-Studies<\/a> siehst du, wie unterschiedlich PHP-Stacks sein k\u00f6nnen.<\/p>\n<h3 id=\"grenzen-alternativen--professionelle-beratung\">Grenzen, Alternativen &amp; professionelle Beratung<a href=\"#grenzen-alternativen--professionelle-beratung\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Die Lage ist dynamisch. Neue Exploit-Varianten oder Nachbesserungen am Patch sind m\u00f6glich. Unsere Matrix ist eine Orientierung, und die Ergebnisse k\u00f6nnen je nach System variieren.<\/p>\n<p>Es gibt Alternativen zur Abschaltung. Dazu z\u00e4hlen Extended Support, eine WAF als Br\u00fccke und die Backports deiner Distribution. Alle drei kaufen Zeit, ersetzen aber kein Upgrade.<\/p>\n<p>Hast du den Verdacht, dass dein System kompromittiert wurde? Dann zieh Forensik-Experten hinzu. Bei Kundendaten geh\u00f6rt auch dein Datenschutzbeauftragter fr\u00fch ins Boot. Wir unterst\u00fctzen dich technisch, ersetzen aber keine Rechtsberatung.<\/p>\n<p>Du willst wissen, wo dein System steht? Buch ein <a href=\"https:\/\/www.milkycode.com\/de\/projektanfrage\/#formular\">kostenloses Erstgespr\u00e4ch zum PHP-Upgrade<\/a> oder <a href=\"https:\/\/www.milkycode.com\/de\/kontakt\/\">sprich uns einfach an<\/a>. Neue Entwicklungen findest du in unseren <a href=\"https:\/\/www.milkycode.com\/de\/aktuelles\">weiteren Sicherheits-News von milkycode<\/a>.<\/p>\n<h2 id=\"faq\">FAQ<a href=\"#faq\" class=\"heading-permalink\"><\/a><\/h2>\n<h3>Was ist PHP2Shell und wie gef\u00e4hrlich ist die aktuelle PHP-Sicherheitsl\u00fccke?<a href=\"#was-ist-php2shell-und-wie-gef%C3%A4hrlich-ist-die-aktuelle-php-sicherheitsl%C3%BCcke\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Die PHP Sicherheitsl\u00fccke PHP2Shell umfasst CVE-2026-109618 und CVE-2026-109619. Angreifer k\u00f6nnen damit ohne Anmeldung Code auf deinem Server ausf\u00fchren. Das BSI bewertet beide in seiner Warnung von 2026 mit CVSS v4.0 9.2 und Kritikalit\u00e4t 3\/Orange. Erste Angriffe gab es laut Cloudflare-Daten schon vor dem Release. Handle also sofort und warte nicht auf den n\u00e4chsten Wartungstermin.<\/p>\n<h3 id=\"welche-php-versionen-sind-von-cve-2026-109618-und-cve-2026-109619-betroffen\">Welche PHP-Versionen sind von CVE-2026-109618 und CVE-2026-109619 betroffen?<a href=\"#welche-php-versionen-sind-von-cve-2026-109618-und-cve-2026-109619-betroffen\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Laut BSI-Warnung von 2026 sind alle PHP-Versionen bis mindestens PHP 5 verwundbar. Betroffen ist jede Installation, die Webanfragen bedient. Dazu geh\u00f6ren PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed. Bei mod_php ist das Risiko am h\u00f6chsten. Sicher sind nur die gepatchten Releases vom 21.10.2026 oder gepr\u00fcfte Backports.<\/p>\n<h3>Welche PHP-Version schlie\u00dft die L\u00fccke?<a href=\"#welche-php-version-schlie%C3%9Ft-die-l%C3%BCcke\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Laut php.net schlie\u00dfen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 die L\u00fccken. Diese Releases erschienen am 21.10.2026. Wichtig ist, dass die Web-SAPI diese Version nutzt, nicht nur die Kommandozeile. Starte PHP-FPM oder Apache nach dem Update neu. Bau Docker-Images komplett neu.<\/p>\n<h3>Gibt es einen Patch f\u00fcr PHP 7.4, 8.0 oder 8.1?<a href=\"#gibt-es-einen-patch-f%C3%BCr-php-74-80-oder-81\" class=\"heading-permalink\"><\/a><\/h3>\n<p>Teilweise. Das PHP-Sicherheitsteam hat minimale Quell-Backports f\u00fcr diese drei Zweige bereitgestellt. Offizielle Releases gibt es aber nicht. Du kannst selbst kompilieren oder Fixes von Distributionen und LTS-Anbietern wie Freexian, maxcluster oder IONOS nutzen. Ein Weiterbetrieb ist nur mit gepr\u00fcftem Fix sinnvoll. Plane trotzdem das Upgrade.<\/p>\n<h3 id=\"warum-schaltet-mein-hoster-oder-meine-agentur-meine-website-ab\">Warum schaltet mein Hoster oder meine Agentur meine Website ab?<a href=\"#warum-schaltet-mein-hoster-oder-meine-agentur-meine-website-ab\" class=\"heading-permalink\"><\/a><\/h3>\n<p>F\u00fcr PHP 5.x und 7.0 bis 7.3 gibt es keine Fixes. Eine solche Website bleibt offen f\u00fcr Angriffe. Das BSI nennt die vor\u00fcbergehende Trennung vom Internet ausdr\u00fccklich als Option. Bei milkycode schalten wir nur ab, wenn weder Patch noch Backport verf\u00fcgbar ist. Wir informieren dich vorher und nennen dir eine Frist.<\/p>\n<h3 id=\"wo-sehe-ich-welche-php-version-meine-website-nutzt\">Wo sehe ich, welche PHP-Version meine Website nutzt?<a href=\"#wo-sehe-ich-welche-php-version-meine-website-nutzt\" class=\"heading-permalink\"><\/a><\/h3>\n<p>In WordPress findest du die Version unter Werkzeuge und Website-Zustand. In Shopware und Magento zeigt die Systeminfo im Backend die Version. Alternativ hilft eine <code>phpinfo()<\/code>-Seite, die du danach wieder l\u00f6schst. Verlass dich nicht auf <code>php -v<\/code>. Die Kommandozeile nutzt oft ein anderes Binary als deine Website.<\/p>\n<h3 id=\"auf-welche-php-version-sollte-ich-upgraden-83-84-oder-85\">Auf welche PHP-Version sollte ich upgraden: 8.3, 8.4 oder 8.5?<a href=\"#auf-welche-php-version-sollte-ich-upgraden-83-84-oder-85\" class=\"heading-permalink\"><\/a><\/h3>\n<p>F\u00fcr die meisten ist PHP 8.4 die pragmatische Wahl. Laut php.net-Seite \u201eSupported Versions\u201c (Stand 2026) bekommt es Sicherheitsupdates bis Ende 2028. PHP 8.5 l\u00e4uft bis Ende 2029, aber nicht jedes Plugin ist schon bereit. PHP 8.3 ist m\u00f6glich, bringt aber weniger Puffer. Teste dein System vorher auf einer Staging-Kopie.<\/p>\n<h2 id=\"referenzen\">Referenzen<a href=\"#referenzen\" class=\"heading-permalink\"><\/a><\/h2>\n<ol>\n<li>Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI): \u201ePHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit (BITS-H 2026-297981-1032)\u201c, 2026. Beh\u00f6rdliche Cybersicherheitswarnung, abgerufen am 21.10.2026. <a href=\"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-297981-1032.pdf?__blob=publicationFile&amp;v=3\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-297981-1032.pdf?__blob=publicationFile&amp;v=3<\/a><\/li>\n<li>The PHP Group (php.net): \u201ePHP News Archive 2026, Security advisory: Critical RCE vulnerabilities\u201c, 2026. Offizielles Hersteller-Advisory, abgerufen am 21.10.2026. <a href=\"https:\/\/www.php.net\/archive\/2026.php\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/www.php.net\/archive\/2026.php<\/a><\/li>\n<li>The PHP Group (php.net): \u201ePHP: Supported Versions\u201c, 2026. Offizielle Support-Zeitleiste, Stand Oktober 2026. <a href=\"https:\/\/www.php.net\/supported-versions.php\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/www.php.net\/supported-versions.php<\/a><\/li>\n<li>CERT-EU: \u201eSecurity Advisory 2026-018: Critical Vulnerabilities in PHP\u201c, 2026. Sicherheitshinweis der EU-Institutionen, abgerufen am 21.10.2026. <a href=\"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018<\/a><\/li>\n<li>Sansec: \u201ePHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619)\u201c, 2026. Kommerzielle Sicherheitsforschung mit Cloudflare-Telemetrie, abgerufen am 21.10.2026. <a href=\"https:\/\/sansec.io\/research\/php2shell\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/sansec.io\/research\/php2shell<\/a><\/li>\n<li>Huntress: \u201eRapid Response: php2shell, Leaked Critical PHP Vulnerabilities\u201c, 2026. Analyse zur Leak-Vorgeschichte, abgerufen am 21.10.2026. <a href=\"https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities<\/a><\/li>\n<li>Winning Solutions: \u201ePHP 8.4 Update (IONOS-Preise f\u00fcr Extended Support)\u201c, 2026. Sekund\u00e4rquelle zur IONOS-Preisliste, abgerufen im Oktober 2026. <a href=\"https:\/\/www.winning-solutions.de\/php-update\/\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/www.winning-solutions.de\/php-update\/<\/a><\/li>\n<li>HeroDevs: \u201ePHP End-of-Life Dates: Support Timeline for Every Version (2026)\u201c, 2026. Kommerzieller Blog mit W3Techs-Daten, Eigeninteresse beachten, abgerufen im Oktober 2026. <a href=\"https:\/\/www.herodevs.com\/blog-posts\/php-end-of-life-dates-support-timeline-for-every-version-2026\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/www.herodevs.com\/blog-posts\/php-end-of-life-dates-support-timeline-for-every-version-2026<\/a><\/li>\n<li>University of Reading, Department of Languages and Cultures: \u201eResearch in German studies\u201c, 2026. Akademische Hintergrundquelle zur deutschsprachigen Fachkommunikation, kein Beleg f\u00fcr technische Zahlen, abgerufen im Oktober 2026. <a href=\"https:\/\/www.reading.ac.uk\/languages-cultures\/research\/german-studies\" rel=\"nofollow noopener\" target=\"_blank\">https:\/\/www.reading.ac.uk\/languages-cultures\/research\/german-studies<\/a><\/li>\n<\/ol>\n<p>Mehr \u00fcber unsere Arbeit mit PHP findest du unter <a href=\"https:\/\/www.milkycode.com\/de\/technologien\/php\">PHP-Entwicklung und Projekte von milkycode<\/a> und auf unserer Seite <a href=\"https:\/\/www.milkycode.com\/de\/internet-agentur\/\">\u00fcber uns<\/a>.<\/p>\n<p><script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.milkycode.com#organization\",\"name\":\"milkycode\",\"url\":\"https:\/\/www.milkycode.com\",\"logo\":{\"@type\":\"ImageObject\",\"url\":\"https:\/\/rankello.ai\/storage\/favicons\/019f4e5e-ee81-72ca-94fb-a20fcf6ad4f5.png\"}},{\"@type\":\"BlogPosting\",\"@id\":\"https:\/\/www.milkycode.com\/php2shell-6-fehler-sicherheitsluecke-2026#article\",\"headline\":\"PHP2Shell: 6 Fehler bei der CVE 2026 Sicherheitsl\u00fccke\",\"description\":\"PHP2Shell (CVE-2026-109618\/109619) erm\u00f6glicht Codeausf\u00fchrung ohne Anmeldung. CVSS 9.2. Wir zeigen 6 h\u00e4ufige Fehler beim Patch und warum alte PHP-Versionen ab...\",\"datePublished\":\"2026-10-21T15:31:59+00:00\",\"dateModified\":\"2026-10-21T15:44:16+00:00\",\"inLanguage\":\"de\",\"mainEntityOfPage\":{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.milkycode.com\/php2shell-6-fehler-sicherheitsluecke-2026\"},\"publisher\":{\"@id\":\"https:\/\/www.milkycode.com#organization\"},\"url\":\"https:\/\/www.milkycode.com\/php2shell-6-fehler-sicherheitsluecke-2026\",\"keywords\":[\"PHP Sicherheitsl\u00fccke PHP2Shell\",\"php 8.2 end of life\"],\"author\":{\"@id\":\"https:\/\/www.milkycode.com#author-1\"},\"image\":{\"@id\":\"https:\/\/www.milkycode.com\/php2shell-6-fehler-sicherheitsluecke-2026#primaryimage\"},\"wordCount\":2658},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.milkycode.com#author-1\",\"name\":\"milkycode Editorial Team\",\"description\":\"Die Inhalte werden vom milkycode-Team rund um Gesch\u00e4ftsf\u00fchrer Christian Hinz erstellt, das auf \u00fcber 20 Jahre Praxiserfahrung in Web- und Softwareentwicklung zur\u00fcckgreift. Ratgeber und Blogbeitr\u00e4ge basieren auf realen Projekten in E-Commerce, WordPress, Magento und individueller Softwareentwicklung.\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.milkycode.com\/php2shell-6-fehler-sicherheitsluecke-2026#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/www.milkycode.com\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Blog\",\"item\":\"https:\/\/www.milkycode.com\/blog\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"PHP2Shell: 6 Fehler bei der PHP-Sicherheitsl\u00fccke vom 21.10.2026 und warum wir alte PHP-Versionen ggf. abschalten m\u00fcssen\",\"item\":\"https:\/\/www.milkycode.com\/php2shell-6-fehler-sicherheitsluecke-2026\"}]},{\"@type\":\"ImageObject\",\"@id\":\"https:\/\/www.milkycode.com\/php2shell-6-fehler-sicherheitsluecke-2026#primaryimage\",\"url\":\"https:\/\/rankello.ai\/storage\/content-engine\/01a15f17-3715-71a6-a65c-ee9954a640db\/cover.webp\",\"width\":1920,\"height\":1080,\"caption\":\"Ein Entwickler \u00fcberwacht auf mehreren Monitoren die PHP-Versionsupdate gegen die PHP2Shell Sicherheitsl\u00fccke mit Echtzeit-Sicherheitswarnungen.\"},{\"@type\":\"FAQPage\",\"@id\":\"https:\/\/www.milkycode.com\/php2shell-6-fehler-sicherheitsluecke-2026#faq\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Was ist PHP2Shell und wie gef\u00e4hrlich ist die aktuelle PHP-Sicherheitsl\u00fccke?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Die PHP Sicherheitsl\u00fccke PHP2Shell umfasst CVE-2026-109618 und CVE-2026-109619. Angreifer k\u00f6nnen damit ohne Anmeldung Code auf deinem Server ausf\u00fchren. Das BSI bewertet beide mit CVSS v4.0 9.2 und Kritikalit\u00e4t Orange. Erste Angriffe gab es schon vor dem Release am 21.10.2026. Handle sofort und warte nicht auf den n\u00e4chsten Wartungstermin.\"}},{\"@type\":\"Question\",\"name\":\"Welche PHP-Versionen sind von CVE-2026-109618 und CVE-2026-109619 betroffen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Laut BSI-Warnung sind alle PHP-Versionen bis mindestens PHP 5 verwundbar. Betroffen ist jede Installation, die Webanfragen bedient: PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed. Bei mod_php ist das Risiko am h\u00f6chsten. Sicher sind nur die gepatchten Releases vom 21.10.2026 oder gepr\u00fcfte Backports.\"}},{\"@type\":\"Question\",\"name\":\"Welche PHP-Version schlie\u00dft die L\u00fccke?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Laut php.net schlie\u00dfen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 die L\u00fccken. Diese Releases erschienen am 21.10.2026. Wichtig: Die Web-SAPI muss diese Version nutzen, nicht nur die Kommandozeile. Starte PHP-FPM oder Apache nach dem Update neu. Bau Docker-Images komplett neu.\"}},{\"@type\":\"Question\",\"name\":\"Gibt es einen Patch f\u00fcr PHP 7.4, 8.0 oder 8.1?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Teilweise. Das PHP-Sicherheitsteam hat minimale Quell-Backports f\u00fcr diese drei Zweige bereitgestellt. Offizielle Releases gibt es aber nicht. Du kannst selbst kompilieren oder Fixes von Distributionen und LTS-Anbietern wie Freexian nutzen. Ein Weiterbetrieb ist nur mit gepr\u00fcftem Fix sinnvoll.\"}},{\"@type\":\"Question\",\"name\":\"Warum schaltet mein Hoster meine Website ab?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"F\u00fcr PHP 5.x und 7.0 bis 7.3 gibt es keine Fixes. Eine solche Website bleibt offen f\u00fcr Angriffe. Das BSI nennt die vor\u00fcbergehende Trennung vom Internet als Option. Wir schalten nur ab, wenn weder Patch noch Backport verf\u00fcgbar ist, und informieren dich vorher mit einer Frist.\"}},{\"@type\":\"Question\",\"name\":\"Wo sehe ich, welche PHP-Version meine Website nutzt?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"In WordPress findest du die Version unter Werkzeuge und Website-Zustand. In Shopware und Magento zeigt die Systeminfo im Backend die Version. Alternativ hilft eine `phpinfo()`-Seite, die du danach wieder l\u00f6schst. Verlass dich nicht auf `php -v`; die Kommandozeile nutzt oft ein anderes Binary.\"}},{\"@type\":\"Question\",\"name\":\"Auf welche PHP-Version sollte ich upgraden: 8.3, 8.4 oder 8.5?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"F\u00fcr die meisten ist PHP 8.4 die pragmatische Wahl. Es bekommt Sicherheitsupdates bis Ende 2028. PHP 8.5 l\u00e4uft bis Ende 2029, aber nicht jedes Plugin ist bereit. PHP 8.3 ist m\u00f6glich, bringt aber weniger Puffer. Teste dein System auf einer Staging-Kopie vor dem Live-Wechsel.\"}},{\"@type\":\"Question\",\"name\":\"Reicht Extended Support statt eines Upgrades?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Kurzfristig ja, langfristig selten. Extended Support kostet 7\u201316 \u20ac monatlich bei IONOS, sch\u00fctzt aber nur die PHP-Ebene. CMS und Shop bleiben ohne Updates. Extended Support ist eine Br\u00fccke von wenigen Monaten mit festem Upgrade-Termin, kein Dauerzustand.\"}}]}]}<\/script><\/p>\n","protected":false},"excerpt":{"rendered":"<p>PHP2Shell (CVE-2026-109618\/109619) allows code execution without authentication. CVSS 9.2. We highlight 6 common mistakes made when applying the patch and explain why older PHP versions must be disabled.<\/p>","protected":false},"author":1,"featured_media":1767,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[49],"tags":[111,110,59,35],"class_list":["post-1774","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-development","tag-cve","tag-php","tag-security","tag-sicherheit"],"featured_image_src":{"landsacpe":["https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/php2shell-6-fehler-sicherheitsluecke-2026-1140x445.webp",1140,445,true],"list":["https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/php2shell-6-fehler-sicherheitsluecke-2026-463x348.webp",463,348,true],"medium":["https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/php2shell-6-fehler-sicherheitsluecke-2026-300x169.webp",300,169,true],"full":["https:\/\/www.milkycode.com\/wp-content\/uploads\/2026\/10\/php2shell-6-fehler-sicherheitsluecke-2026.webp",1920,1080,false]},"_links":{"self":[{"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/posts\/1774","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/comments?post=1774"}],"version-history":[{"count":1,"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/posts\/1774\/revisions"}],"predecessor-version":[{"id":1775,"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/posts\/1774\/revisions\/1775"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/media\/1767"}],"wp:attachment":[{"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/media?parent=1774"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/categories?post=1774"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.milkycode.com\/en\/wp-json\/wp\/v2\/tags?post=1774"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}