PHP-Sicherheitslücke: Hosting bei Mittwald ist gepatcht

Unter dem Namen „PHP2Shell“ wurden zwei Schwachstellen bekannt (CVE-2026-109618 und CVE-2026-109619). Beide ermöglichen es Angreifern, aus der Ferne eigenen Programmcode auf einem Webserver auszuführen („Remote Code Execution“), und beide sind mit 9,2 von 10 Punkten als kritisch eingestuft. Das PHP-Projekt hat am 21. Oktober Sicherheitsupdates veröffentlicht (PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35). Das BSI hielt eine großflächige Ausnutzung kurz nach Erscheinen der Updates für wahrscheinlich.

Der Fehler steckt in PHP selbst, also in der Sprache und nicht in einer bestimmten Anwendung. Es spielt keine Rolle, womit eine Webseite gebaut wurde: Ob Weblication^® CMS, WordPress, ein Onlineshop oder eine Eigenentwicklung – betroffen ist jede Seite, die auf einem ungepatchten PHP läuft.

Mittwald hat gestern im Laufe des Nachmittags vorsorglich alle Webseiten offline genommen, PHP auf den Servern gepatcht und die Seiten in der Nacht wieder online gestellt, nachdem das Problem behoben war. Das war eine konsequente Entscheidung. Ein kurzer geplanter Ausfall ist deutlich besser als ein offenes Einfallstor.

• Hosting über mich: Alle Kunden mit Hosting über mich sind soweit sicher. Es ist nichts weiter zu tun.
• Hosting bei anderen Providern: Hier liegt die Verantwortung beim jeweiligen Anbieter. Dort sollte direkt nachgefragt werden, ob PHP bereits gepatcht wurde. Besondere Vorsicht ist bei sehr alten PHP-Versionen geboten: Für PHP 8.1 und älter gibt es vom PHP-Projekt keine offiziellen Updates mehr.

Die Lücke zeigt, wie wichtig ein Hostingpartner ist, der bei solchen Meldungen schnell und konsequent handelt. Ich bin froh, mit Mittwald einen Partner zu haben, der gestern genau das getan hat. Für alle bei mir gehosteten Webseiten ist die Sache damit erledigt, bei anderen Anbietern lohnt sich eine kurze Nachfrage.