Kritische PHP-Sicherheitslücke PHP2Shell

Hand­lungs­be­darf und Umset­zung prü­fen und Daten­schutz­pflich­ten beach­ten!

Sehr geehrte Damen und Herren,

am 21.10.2026 wur­den zwei kri­ti­sche Sicher­heits­lü­cken im PHP-Kern ver­öf­fent­licht, die unter der Bezeich­nung„PHP2Shell“ (CVE-2026–109618 und CVE-2026–109619) bekannt gewor­den sind.
Die Schwach­stel­len ermög­li­chen unter bestimm­ten Vor­aus­set­zun­gen eine nicht authen­ti­fi­zier­te Remo­te-Code-Aus­füh­rung (Remo­te Code Exe­cu­ti­on, RCE) auf betrof­fe­nen Sys­te­men und wer­den mit einem CVSS-Wert von 9,2 als sehr kri­tisch ein­ge­stuft. [hel​pnet​secu​ri​ty​.com], [born​ci​ty​.com]

Betrof­fen sind PHP-Instal­la­tio­nen, die Web­an­fra­gen ver­ar­bei­ten, dar­un­ter zahl­rei­che Web­an­wen­dun­gen und Platt­for­men wie Con­tent-Manage­ment-Sys­te­me, Kun­den­por­ta­le, Web­shops und wei­te­re PHP-basier­te Anwen­dun­gen. Die PHP-Ent­wick­ler haben bereits Sicher­heits­up­dates ver­öf­fent­licht und emp­feh­len eine umge­hen­de Aktua­li­sie­rung. [hel​pnet​secu​ri​ty​.com], [blog​.qua​lys​.com]

Da vie­le Hos­ting-Anbie­ter und Rechen­zen­trums­be­trei­ber bereits reagiert haben oder ent­spre­chen­de Updates kurz­fris­tig bereit­stel­len, gehen wir davon aus, dass die meis­ten betrof­fe­nen Sys­te­me inzwi­schen abge­si­chert wur­den. Den­noch emp­feh­len wir allen Ver­ant­wort­li­chen, die Aktua­li­sie­rung der ein­ge­setz­ten Sys­te­me aktiv zu über­prü­fen und zu doku­men­tie­ren.

Auch unse­re RO-BUST CAMPUS Schu­lungs­sys­te­me wur­den natür­lich sofort nach Ver­füg­bar­keit der Patches upge­da­ted.

Aus Sicht der Daten­schutz-Grund­ver­ord­nung (DSGVO) ist ins­be­son­de­re zu beach­ten, dass eine Aus­nut­zung der Schwach­stel­le poten­zi­ell den unbe­fug­ten Zugriff auf per­so­nen­be­zo­ge­ne Daten ermög­li­chen könn­te. Sofern per­so­nen­be­zo­ge­ne Daten ver­ar­bei­tet wer­den und eine tat­säch­li­che oder ver­mu­te­te Kom­pro­mit­tie­rung nicht aus­ge­schlos­sen wer­den kann, sind die Vor­ga­ben der Art. 33 und Art. 34 DSGVO zu berück­sich­ti­gen.

Datenschutzrechtliche Bewertung

Unab­hän­gig davon, ob eine Daten­schutz­ver­let­zung fest­ge­stellt wur­de, emp­feh­len wir fol­gen­de Maß­nah­men:

• • Über­prü­fung der ein­ge­setz­ten PHP-Ver­sio­nen und der durch­ge­führ­ten Sicher­heits­up­dates

• • Doku­men­ta­ti­on der Prü­fung und der ergrif­fe­nen Maß­nah­men

• • Prü­fung von Server‑, Web- und Sicher­heits­pro­to­kol­len auf auf­fäl­li­ge Akti­vi­tä­ten

• • Bewer­tung mög­li­cher Aus­wir­kun­gen auf per­so­nen­be­zo­ge­ne Daten

• • Doku­men­ta­ti­on der Risi­ko­be­wer­tung im Rah­men des Ver­zeich­nis­ses tech­ni­scher und orga­ni­sa­to­ri­scher Maß­nah­men (TOM) bzw. des Infor­ma­ti­ons­si­cher­heits­ma­nage­ments

Gera­de bei ISO 27001‑, TISAX- oder DSGVO-rele­van­ten Sys­te­men kann der Nach­weis einer zeit­na­hen Bewer­tung und Bear­bei­tung der Schwach­stel­le im Rah­men von Audits oder behörd­li­chen Prü­fun­gen von Bedeu­tung sein.

Unser Unterstützungsangebot

Die RO-BUST GmbH unter­stützt Sie ger­ne bei:

• • der daten­schutz­recht­li­chen und infor­ma­ti­ons­si­cher­heits­be­zo­ge­nen Bewer­tung der Schwach­stel­le,

• • der Doku­men­ta­ti­on der durch­ge­führ­ten Prü­fun­gen und Maß­nah­men,

• • der Ana­ly­se mög­li­cher Mel­de­pflich­ten nach DSGVO,

• • der Bewer­tung von Risi­ken für betrof­fe­ne per­so­nen­be­zo­ge­ne Daten,

• • sowie der revi­si­ons­si­che­ren Nach­weis­füh­rung gegen­über Audi­to­ren, Kun­den und Auf­sichts­be­hör­den.

Bei Fra­gen oder Unter­stüt­zungs­be­darf ste­hen wir Ihnen ger­ne zur Ver­fü­gung.

Hin­weis: Die­se Ad Hoc Infor­ma­ti­on stellt kei­ne Aus­sa­ge dar­über dar, dass in Ihrem Unter­neh­men eine Betrof­fen­heit oder Kom­pro­mit­tie­rung vor­liegt. Er dient der Sen­si­bi­li­sie­rung für Prüf- und Doku­men­ta­ti­ons­pflich­ten im Zusam­men­hang mit der aktu­ell ver­öf­fent­lich­ten Sicher­heits­lü­cke PHP2Shell.

 

Mit bes­ten Grü­ßen

Ihr RO-BUST Team

RO-BUST GmbH
Goe­the­stra­ße 37
83024 Rosen­heim
+49 (0)8031–3916726
www​.ro​-bust​.de