Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Schwachstellen bekannt gegeben und korrigierte Versionen veröffentlicht. Eine einzige präparierte Anfrage eines nicht angemeldeten Angreifers kann genügen, um Code auf dem Server auszuführen. In der Presse heißen die beiden Lücken inzwischen „PHP2Shell“.

PHP ist die Grundlage von WordPress und einem großen Teil der Websites kleiner Unternehmen, außerdem vieler selbst betriebener Newsletter-Tools. Hier lesen Sie, was das bedeutet, wenn Sie einen Newsletter versenden, und was Sie heute prüfen sollten.

Was ist PHP2Shell (CVE-2026-109618 und CVE-2026-109619)?

Laut der offiziellen Sicherheitsmeldung von PHP:
Schwachstellen CVE-2026-109618 (Speicherbeschädigung bei der Behandlung von Speichermangel) und CVE-2026-109619 (interner Zustand, der nach der Freigabe des Speichers bestehen bleibt)
Schweregrad Beide mit 9,2 (kritisch) nach CVSS v4.0 bewertet
Auswirkung Ausführung von Code aus der Ferne ohne Anmeldung, mit den Rechten des Webserver-Benutzers
Betroffen Jede PHP-Installation, die Webanfragen verarbeitet. Apache mit mod_php gilt als am stärksten gefährdet
Korrigierte Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (veröffentlicht am 21. Oktober)
Ältere Versionen PHP 8.1 und älter werden offiziell nicht mehr unterstützt; für 7.4, 8.0 und 8.1 wurden minimale Rückportierungen veröffentlicht

PHP betont: Nur das Update behebt das Problem vollständig. Änderungen an der Konfiguration verringern das Risiko lediglich.

Laut Sicherheitsforschern und Presseberichten gab es schon vor der öffentlichen Bekanntgabe Angriffsversuche, und Exploit-Code ist im Umlauf.

Wie PHP2Shell Ihren Newsletter betrifft

Wer einen Newsletter versendet, hat es mit zwei getrennten Risiken zu tun.

1. Ihre Website wird übernommen

Übernehmen Angreifer Ihre WordPress- oder andere PHP-Website, können sie gefälschte Meldungen oder Links zu schädlichen Seiten in Ihren News- und Blogbeiträgen unterbringen.

Bauen Sie aus diesen Beiträgen dann Ihren Newsletter, schickt Ihr eigener Newsletter die Leser auf eine gefährliche Seite. Sie verlieren das Vertrauen Ihrer Leser, und Spam-Beschwerden erschweren die Zustellung künftiger E-Mails.

2. Ihr Versandsystem wird übernommen

Wenn Sie ein PHP-basiertes Newsletter-Tool oder ein WordPress-Newsletter-Plugin auf Ihrem eigenen Server betreiben, könnten Angreifer:

  • Ihre Abonnentenliste (E-Mail-Adressen und Namen) stehlen
  • Über Ihren Server massenhaft Spam oder Phishing versenden
  • Den Ruf Ihrer Domain beschädigen, sodass selbst Ihre legitimen E-Mails nicht mehr im Posteingang ankommen

Wenn Sie WordPress oder ein Newsletter-Plugin nutzen

WordPress und seine Newsletter-Plugins laufen auf PHP. Ein Update von WordPress und Plugins schließt diese Lücke nicht, solange PHP selbst veraltet ist. Ihre PHP-Version finden Sie im Kundenbereich Ihres Hosting-Anbieters oder in dessen Mitteilungen.

Checkliste für heute

Was zu tun ist So prüfen Sie es
PHP-Version prüfen Im Kundenbereich oder in den Mitteilungen Ihres Hosting-Anbieters. Ist es keine der oben genannten korrigierten Versionen, bitten Sie Ihren Anbieter oder Administrator um ein Update
Wenn ein Update nicht sofort möglich ist Besprechen Sie die vorläufigen Einstellungen von PHP mit Ihrem Administrator (sie verringern das Risiko, beseitigen es aber nicht). Lässt sich das System nicht zeitnah absichern, nehmen Sie es vorübergehend vom Netz
WordPress und Plugins aktualisieren Keine Lösung für diese Lücke, schließt aber andere Einfallstore
Neue Inhalte der Website prüfen Achten Sie auf Beiträge oder Links, die Sie nicht kennen
Versandmengen beobachten Achten Sie auf Aussendungen, die Sie nicht geplant haben, oder plötzliche Spitzen
Spam-Beschwerden und Bounces beobachten Ein plötzlicher Anstieg kann auf eine Kompromittierung hindeuten
DMARC-Berichte lesen Prüfen Sie, ob unbekannte Server E-Mails im Namen Ihrer Domain versenden

Wenn Ihre Abonnentenliste abgeflossen sein könnte

E-Mail-Adressen und Namen Ihrer Abonnenten sind personenbezogene Daten im Sinne der DSGVO. Bei einer Verletzung des Schutzes dieser Daten gilt:

  • Meldung an die Aufsichtsbehörde (Art. 33 DSGVO): unverzüglich und möglichst binnen 72 Stunden, nachdem Ihnen die Verletzung bekannt wurde. Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Betroffenen führt. Wer später meldet, muss die Verzögerung begründen. Jede Verletzung ist außerdem intern zu dokumentieren, auch wenn sie nicht gemeldet wird.
  • Benachrichtigung der Betroffenen (Art. 34 DSGVO): wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat, ebenfalls unverzüglich.

In Deutschland ist für die meisten Unternehmen, Vereine und Selbstständigen die Datenschutzaufsichtsbehörde des Bundeslandes zuständig, in dem sie ihren Sitz haben. Die Liste aller Landesbehörden finden Sie beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI). Der BfDI selbst ist unter anderem für öffentliche Stellen des Bundes zuständig sowie für Telekommunikations- und Postdienstleister, soweit es um die Daten für diese Dienste geht.

Wenn Sie vermuten, dass Abonnentendaten abgeflossen sind, holen Sie frühzeitig Rat ein, etwa bei Ihrer oder Ihrem Datenschutzbeauftragten.

Das Versandsystem nicht selbst betreiben

Wer sein Newsletter-System auf dem eigenen Server betreibt, muss sich auch selbst um Sicherheitsupdates wie dieses kümmern. Bei einem gehosteten Newsletter-Dienst ist der Anbieter dafür verantwortlich, die Versandinfrastruktur aktuell zu halten.

Newsletter Ready verwendet kein PHP und ist von dieser Schwachstelle daher nicht betroffen. Für die Sicherheit der Website, aus der Ihr Newsletter seine Inhalte bezieht, bleiben Sie selbst verantwortlich. Prüfen Sie deshalb auch dort die PHP-Version.

Quellen

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung.