„Läuft noch, da geben wir kein Geld aus“ ist kein Schutzkonzept

 

PHP-Sicherheitslücke „PHP2Shell“: Warum aktuelle Contao- und PHP-Versionen jetzt wichtiger sind denn je

Viele Websitebetreiberinnen und Websitebetreiber haben in den letzten Tagen eine unruhige Nachricht gehabt: Eine schwerwiegende Sicherheitslücke in PHP sorgt weltweit für Aufsehen, abgeschaltete Webseiten und dringende Updates. Doch was bedeutet das konkret für Ihre Website, Ihre Daten und Ihre Besucherinnen und Besucher? Und warum ist jetzt der richtige Zeitpunkt, um Contao und PHP auf einen aktuellen Stand zu bringen?

 

Die kurze Antwort lautet: Eine aktuelle PHP-Version ist keine technische Kür, sondern eine grundlegende Sicherheitsmaßnahme. Auch ein aktuelles Contao, z.B. die LTS Version 5.7.xx trägt wesentlich dazu bei, dass Ihre Website stabil, wartbar und langfristig sicher bleibt.

 

Was ist passiert?

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt. Sie tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619 und werden unter dem Namen „PHP2Shell“ diskutiert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Lage als kritisch ein und empfiehlt unverzügliches Handeln.

 

PHP ist die Programmiersprache, auf der sehr viele Websites laufen – darunter WordPress, TYPO3, Joomla, Drupal, Shopware und natürlich Contao. Die Schwachstelle betrifft nicht primär ein bestimmtes CMS, sondern die PHP-Laufzeitumgebung auf dem Server. Das bedeutet: Auch eine technisch sauber gepflegte Website kann betroffen sein, wenn das zugrunde liegende PHP nicht sicher ist.

 

Wie gefährlich ist die Lücke?

Die Lücken ermöglichen es Angreifenden im ungünstigsten Fall, ohne Passwort oder Login eigenen Code auf einem Webserver auszuführen. Fachleute sprechen von einer sogenannten Remote Code Execution, kurz RCE.

 

Das klingt abstrakt, kann aber sehr praktische Folgen haben: Angreifende könnten Dateien verändern, Schadcode hinterlegen, Spam versenden, Besucherinnen und Besucher auf fremde Seiten umleiten oder versuchen, an Datenbanken und Kundendaten zu gelangen. Das BSI weist darauf hin, dass eine kurzfristige, automatisierte Ausnutzung verwundbarer Systeme wahrscheinlich ist – gerade weil die technischen Details inzwischen öffentlich sind.

 

Wichtig zur Einordnung: Die Gefahr betrifft in erster Linie den Server, auf dem die Website läuft – nicht direkt das Smartphone oder den Computer Ihrer Besucherinnen und Besucher. Wird jedoch ein Server kompromittiert, können darüber unter Umständen auch Daten der Website oder eines Onlineshops gefährdet sein.

 

Welche PHP-Versionen sind betroffen?

Laut BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen. Das PHP-Team hat Patches für die aktuellen Versionen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht. Zusätzlich wurden Backport-Patches für PHP 7.4, 8.0 und 8.1 bereitgestellt.

 

Genau hier entsteht für viele Websitebetreibende ein Problem: PHP 8.0, 8.1 und ältere Versionen haben ihr reguläres Supportende bereits erreicht. Das PHP-Projekt liefert für diese Versionen normalerweise keine Sicherheitsupdates mehr. Manche Hosting-Anbieter bieten zwar erweiterte Sicherheitspflege an, doch das ist kein Ersatz für eine zeitgemäße PHP-Version.

 

Deshalb gilt: Wer heute noch mit PHP 7.x, 8.0 oder 8.1 arbeitet, sollte den Wechsel auf eine unterstützte Version so bald wie möglich planen. Aktuell sind PHP 8.3 und 8.4 gute Zielversionen für viele moderne Contao-Projekte. Welche Version im Einzelfall passt, hängt von der eingesetzten Contao-Version, den Erweiterungen und dem Hosting ab.

 

Warum ist Contao wichtig?

Das Content Management System (kurz CMS) Contao ist ein solides und sicherheitsbewusst entwickeltes Content-Management-System. Aber auch das beste CMS kann nur so sicher sein wie die technische Umgebung, in der es läuft. Die aktuelle PHP-Lücke zeigt das deutlich: Ein Contao-Update allein reicht nicht, wenn der Server weiterhin eine veraltete oder ungepatchte PHP-Version verwendet.

 

Umgekehrt macht ein aktuelles PHP allein eine Website nicht vollständig sicher, wenn Contao, Erweiterungen oder Zugangsdaten veraltet sind. Sicherheit entsteht aus dem Zusammenspiel mehrerer Ebenen:

• Aktuelle PHP-Version auf dem Server
• Aktuelle Contao-Version inklusive aller Sicherheitsupdates
• Gepflegte Erweiterungen statt alter, nicht mehr gewarteter Bundles
• Regelmäßige Backups, die im Notfall tatsächlich wiederherstellbar sind
• Sichere Zugänge mit individuellen Passwörtern und Zwei-Faktor-Authentifizierung
• Monitoring und Logs, um Auffälligkeiten früh zu erkennen

 

Was bedeutet das für Redakteurinnen und Redakteure?

Als Redakteurin oder Redakteur müssen Sie keine Serverkonfiguration verstehen oder PHP selbst aktualisieren. Dennoch spielen Sie eine wichtige Rolle: Sie arbeiten täglich mit der Website und erkennen Veränderungen oft früher als andere.

 

Achten Sie auf ungewöhnlich langsame Ladezeiten, Fehlermeldungen, neue Benutzerkonten im Backend, Inhalte oder Weiterleitungen, die Sie nicht angelegt haben, sowie unbekannte Dateien im Dateimanager. Melden Sie Auffälligkeiten bitte umgehend an Ihre Agentur oder technische Betreuung. Besser eine Rückfrage zu viel als ein Sicherheitsvorfall, der spät entdeckt wird. Serverhäuser bei denen ihre gehosteten Server laufen oder gebucht sind empfehlen Betreibenden nach solchen Vorfällen insbesondere, auf unbekannte Dateien, neue Administratoren und verdächtige Weiterleitungen zu achten.

 

Was sollten Sie jetzt tun?

Die wichtigste Frage lautet nicht: „Habe ich ein Problem?“, sondern: „Weiß ich, welche PHP- und Contao-Version meine Website verwendet?“

1. PHP-Version prüfen lassen. Sie sollte auf einer unterstützten und gepatchten Version laufen. Bei manchen Hostern bleibt die angezeigte Versionsnummer trotz Sicherheitspatch gleich, weil die Korrektur direkt ins bestehende Paket eingebaut wird. Entscheidend ist die Bestätigung des Hosters.
2. Contao-Version prüfen. Verwenden Sie eine unterstützte Contao-Version und installieren Sie Sicherheitsupdates zeitnah.
3. Erweiterungen prüfen. Alte Module und individuelle Programmierungen sollten auf Kompatibilität und Wartbarkeit geprüft werden.
4. Backups kontrollieren. Ein Backup nützt nur, wenn es vollständig ist, regelmäßig erstellt wird und wiederhergestellt werden kann.
5. Upgrade planen statt abwarten. Bei älteren Versionen lohnt sich eine strukturierte Migration: Analyse, Testumgebung, Update und abschließende Kontrolle.

 

Reicht eine Firewall?

Eine Web Application Firewall kann bekannte Angriffsversuche blockieren oder erschweren. Das BSI nennt sie als ergänzende Schutzmaßnahme. Ein vollständiger Schutz ist damit jedoch nicht möglich – entscheidend bleiben die PHP-Sicherheitsupdates oder, wenn das kurzfristig nicht möglich ist, die vorübergehende Trennung vom Internet.

 

Unser Fazit

Die aktuelle PHP-Sicherheitslücke ist ein deutlicher Weckruf. Veraltete PHP-Versionen sind nicht nur „technisch unschön“, sondern ein reales Risiko für Verfügbarkeit, Daten und Vertrauen. Das BSI empfiehlt ausdrücklich, von PHP-Versionen vor 8.2 auf eine unterstützte Version zu migrieren.

 

Für Contao-Websites gilt daher: Contao aktuell halten, PHP aktuell halten, Erweiterungen im Blick behalten und Updates nicht auf die lange Bank schieben. Wer heute in eine moderne Umgebung investiert, vermeidet Sicherheitsrisiken, Ausfallzeiten und teure Notfallmaßnahmen. Denn: „Läuft noch, da geben wir kein Geld aus“ ist kein Schutzkonzept.

 

Wenn Sie nicht sicher sind, welche PHP- oder Contao-Version Ihre Website nutzt, sprechen Sie uns gern an. Wir prüfen Ihren Stand, bewerten das Upgrade-Risiko und entwickeln einen realistischen Fahrplan für einen sicheren Wechsel.

 

Bild: KI-generierte Illustration