PHP2Shell: Was die PHP-Sicherheitslücke für den Datenschutz bedeutet

Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei Schwachstellen veröffentlicht, die es mit 9,2 von 10 Punkten nach CVSS 4.0 bewertet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am selben Tag eine Warnung der Stufe 3 „Orange“ herausgegeben. Das bedeutet: Maßnahmen müssen unverzüglich ergriffen werden. Laut BSI sind Proof-of-Concept-Exploits öffentlich, und das Amt rechnet mit einer kurzfristigen Ausnutzung auf verwundbaren Systemen. Einige Betreiber haben ihre Server vorsorglich vom Netz genommen.

Die meisten Unternehmen sehen das zu Recht zuerst als IT-Problem. Auf den betroffenen Servern liegen aber Kontaktanfragen, Kundenkonten, Bestellungen, Bewerbungen und Newsletter-Listen. Damit ist PHP2Shell auch ein Datenschutzthema, und zwar eines mit Fristen.

Was hinter PHP2Shell steckt

PHP ist die Programmiersprache hinter einem großen Teil des Webs. Das BSI nennt als Beispiele WordPress, Drupal, TYPO3, Joomla, Magento und Nextcloud. Die beiden Lücken stecken nicht in einem Plugin oder Theme, sondern in der PHP-Laufzeitumgebung auf dem Server:

• CVE-2026-109618 betrifft die Behandlung von Speicherfehlern. Läuft PHP während einer Anfrage in einen Speicherfehler, können interne Daten in einem halbfertigen Zustand bleiben und später als gültig behandelt werden.
• CVE-2026-109619 betrifft Zustände, die eine Anfrage überdauern. Eine spätere Anfrage im selben Arbeitsprozess kann auf bereits freigegebenen Speicher zugreifen.

Für beide Wege braucht ein Angreifer weder ein Benutzerkonto noch eine Aktion eines Nutzers. Gefährdet ist jede PHP-Installation, die Webanfragen verarbeitet, egal ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Das größte Risiko sieht das PHP-Sicherheitsteam bei mod_php, weil der Angriff dort schon ausgelöst werden kann, bevor die eigentliche Anwendung überhaupt startet.

Wichtig für die Praxis: Ein Update von WordPress, Plugins oder Ihrer Shop-Software schließt die Lücke nicht. Das BSI weist ausdrücklich darauf hin, dass die PHP-Laufzeitumgebung selbst aktualisiert werden muss.

Warum eine Server-Lücke Ihre Datenschutzpflicht ist

Nach Art. 32 DSGVO müssen Sie Ihre Verarbeitung durch technische und organisatorische Maßnahmen absichern, die den Stand der Technik berücksichtigen. Sicherheitsupdates zeitnah einzuspielen, gehört seit Langem zum Kern dieser Maßnahmen. Eine öffentlich bekannte Lücke mit verfügbarem Patch und Warnstufe Orange offen zu lassen, wäre im Ernstfall kaum zu rechtfertigen.

Diese Pflicht bleibt bei Ihnen, auch wenn eine Agentur die Website betreut oder ein Hoster den Server betreibt. Verantwortlicher im Sinne der DSGVO ist Ihr Unternehmen. Dienstleister, die dabei Zugriff auf personenbezogene Daten haben, sind in der Regel Auftragsverarbeiter und müssen Sie nach Art. 28 Abs. 3 lit. f DSGVO bei der Sicherheit der Verarbeitung und bei Datenpannen unterstützen. Daraus folgt ein konkretes Recht: Sie dürfen nachfragen und eine verbindliche Antwort verlangen.

Diese Fragen sollten Sie Ihrem Hoster oder Ihrer Agentur heute stellen

1. Welche PHP-Version läuft auf unseren Websites und Anwendungen, und ist sie gegen CVE-2026-109618 und CVE-2026-109619 gepatcht?
2. Wann wurde das Update eingespielt, und wurden alle PHP-Prozesse danach neu gestartet?
3. Laufen bei uns noch Anwendungen mit PHP 8.1 oder älter? Wenn ja, wie werden sie geschützt?
4. Gibt es in den Protokollen seit dem 20. Oktober Auffälligkeiten, etwa gehäufte Speicherfehler oder abstürzende PHP-Prozesse?
5. Wer informiert uns, wenn sich der Verdacht auf einen Angriff ergibt, und wie schnell?

Halten Sie die Antworten schriftlich fest. Bleibt eine Antwort aus oder ist sie vage, ist das ein Warnsignal, und zwar auch für die Prüfung Ihres Auftragsverarbeitungsvertrags.

Verwundbar oder schon betroffen? Wann eine Meldepflicht besteht

Dass eine Website verwundbar war, ist noch keine Datenpanne. Eine Meldepflicht nach Art. 33 DSGVO entsteht erst, wenn es tatsächlich zu einer Verletzung des Schutzes personenbezogener Daten gekommen ist. Bei PHP2Shell ist die Grenze aber schnell erreicht: Wer auf dem Server eigenen Code ausführen kann, kommt in aller Regel auch an die Datenbank, an Formulareingaben und an hochgeladene Dateien. Gibt es konkrete Hinweise auf eine erfolgreiche Ausnutzung, sollten Sie deshalb davon ausgehen, dass Unbefugte Zugriff auf die Daten hatten.

Auch wenn Sie am Ende nicht melden müssen, verlangt Art. 33 Abs. 5 DSGVO, dass Sie Datenschutzverletzungen mit Fakten, Auswirkungen und ergriffenen Maßnahmen dokumentieren. Für die Prüfung selbst empfehlen wir eine kurze Aktennotiz: was geprüft wurde, von wem, mit welchem Ergebnis. Wie eine Meldung abläuft und was hineingehört, beschreibt unser Beitrag Datenpanne melden.

Sechs Schritte für die nächsten Tage

Wenn ein Update nicht sofort möglich ist

Das PHP-Projekt nennt Einstellungen, die einzelne Angriffswege erschweren, etwa ein niedrigeres post_max_size oder das Abschalten von session.upload_progress. Es betont aber selbst, dass diese Maßnahmen eine Installation nicht sicher machen. Auch Regeln in einer Web Application Firewall, wie sie Cloudflare und andere Anbieter bereitgestellt haben, blockieren nur bekannte Angriffsmuster. Vollständigen Schutz bieten nach Einschätzung des BSI nur das Update oder die vorübergehende Trennung vom Internet. Wenn Sie eine Übergangslösung wählen, halten Sie fest, warum, welche Maßnahmen gelten und bis wann das Update erfolgt. Das ist Teil Ihrer technischen und organisatorischen Maßnahmen.

Die technischen Details, also Versionsprüfung, Übergangskonfiguration und Spurensuche, beschreibt unser Informationssicherheits-Team im Notfallplan zu PHP2Shell. Wie wir veraltete Anwendungen auf eine aktuelle PHP-Version bringen, zeigt unser Entwicklerteam im Beitrag PHP2Shell: PHP-Update und Absicherung.

Die Rolle des Datenschutzbeauftragten

Der Datenschutzbeauftragte patcht keine Server. Er sorgt aber dafür, dass die Frage nach Datenpannen gestellt, sauber beantwortet und dokumentiert wird, und er ist nach Art. 38 Abs. 1 DSGVO frühzeitig einzubinden. Bei einer Lücke dieser Größenordnung heißt das: Er erfährt am selben Tag davon, prüft mit der IT, ob Systeme mit personenbezogenen Daten betroffen sind, und bewertet einen Verdacht innerhalb der Frist. Wer keinen eigenen Datenschutzbeauftragten hat oder dessen Erreichbarkeit nicht sicher ist, merkt in solchen Wochen, wie viel ein fester Ansprechpartner wert ist.

Häufige Fragen

Muss ich PHP2Shell der Datenschutzbehörde melden?

Nur wenn es zu einer Datenschutzverletzung gekommen ist. Eine bloß verwundbare, inzwischen gepatchte Website ohne Hinweise auf einen Angriff ist nicht meldepflichtig. Gibt es Hinweise auf eine erfolgreiche Ausnutzung, ist in der Regel innerhalb von 72 Stunden zu melden, weil Angreifer dann meist Zugriff auf die Daten hatten.

Reicht es, WordPress und alle Plugins zu aktualisieren?

Nein. Die Lücken stecken in PHP selbst, also in der Software auf dem Server, die WordPress ausführt. Geschützt sind Sie erst mit PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder einem gepatchten Paket Ihrer Linux-Distribution.

Mein Hoster kümmert sich um den Server. Muss ich trotzdem etwas tun?

Ja. Verantwortlich nach DSGVO bleibt Ihr Unternehmen. Fragen Sie beim Hoster nach, ob und wann gepatcht wurde, und legen Sie die Antwort ab. Nutzen Sie im Hosting-Paket eine ältere PHP-Version, stellen Sie auf eine gepatchte Version um oder lassen Sie Ihre Anwendung dafür anpassen.

Wie erkenne ich, ob meine Website angegriffen wurde?

Verbindliche Angriffsmerkmale hat das BSI bisher nicht veröffentlicht. Hinweise können gehäufte Speicherfehler oder abstürzende PHP-Prozesse in den Protokollen, unbekannte Dateien im Upload-Verzeichnis, neue Administratorkonten oder neue Cronjobs sein. Bei einem Verdacht sollte eine Fachkraft den Server prüfen, bevor Spuren durch Aufräumen verloren gehen.

Gilt die Lücke auch für ältere PHP-Versionen wie 7.4?

Ja, nach Angaben des BSI sind alle bekannten Versionen bis mindestens PHP 5 verwundbar. Für PHP 8.1 und älter gibt es vom PHP-Projekt keine regulären Updates mehr, nur Quellcode-Korrekturen für 7.4, 8.0 und 8.1 sowie Pakete einzelner Distributionen. Solche Anwendungen sollten auf eine unterstützte Version migriert werden.

Sie möchten wissen, ob Ihre Websites betroffen sind, oder brauchen eine schnelle Einschätzung zur Meldepflicht? Als externer Datenschutzbeauftragter bewerten wir den Vorfall, übernehmen bei Bedarf die Meldung an die Aufsichtsbehörde und dokumentieren alles für Ihre Unterlagen. Das technische Update und die Anpassung Ihrer Anwendungen erledigt unser Entwicklerteam, in Dresden, Sachsen und bundesweit. Erreichbar unter 0351 79 59 35 13 oder über unser Kontaktformular. Wie Sie uns dauerhaft als Datenschutzbeauftragten benennen, steht unter Datenschutzbeauftragten bestellen.

Quellen: PHP-Projekt, Security Advisory zu CVE-2026-109618 und CVE-2026-109619, 21. Oktober 2026 · BSI-IT-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“, Version 1.1 vom 21. Oktober 2026 · DSGVO, EUR-Lex