Zwei kritische PHP-Lücken (CVE-2026-109618 und CVE-2026-109619) werden seit dem 21. Oktober 2026 aktiv ausgenutzt. Dieser Ratgeber zeigt, wie Sie in wenigen Stunden klären, ob Ihre Website oder Ihr Server betroffen ist, ab wann eine Datenpanne nach Art. 33 DSGVO vorliegt und wer bis wann was melden muss.
Stand: 21. Oktober 2026. Die Lage ändert sich stündlich. Dieser Artikel wird fortlaufend ergänzt. Prüfen Sie vor Ihrer Meldung, ob es neuere Hinweise des Herstellers, Ihres Hosters oder des BSI gibt.
PHP2Shell bezeichnet zwei zusammenhängende Sicherheitslücken in der Skriptsprache PHP, die am 21. Oktober 2026 mit Updates geschlossen wurden:
Beide Lücken werden mit einem CVSS-Wert von 9,2 (v4.0) als kritisch eingestuft. Ein Angreifer braucht kein Benutzerkonto. Es genügt, dass der Webserver erreichbar ist. Technische Details waren bereits vor dem Patch-Release öffentlich geworden, und es gibt Berichte über erste Angriffsversuche am Tag der Veröffentlichung. Ein öffentliches Exploit-Werkzeug ist im Umlauf, damit steigt die Wahrscheinlichkeit automatisierter Massenangriffe.
Besonders unangenehm: Die Speicherlücke kann Inhalte aus anderen Anfragen preisgeben, etwa Sitzungs-Token, Passwörter oder API-Schlüssel. Das passiert unabhängig davon, ob Ihre Anwendung selbst Sitzungen nutzt.
Betroffen sind laut den bisherigen Meldungen PHP-Versionen ab 5.4 über alle Betriebsarten hinweg (PHP-FPM, Apache mod_php, CGI, LiteSpeed, FrankenPHP). Das höchste Risiko wird bei mod_php gesehen.
So finden Sie Ihre PHP-Version heraus:
php -v auf der Kommandozeile. Achtung: Die Version für die Kommandozeile kann von der Version des Webservers abweichen. Maßgeblich ist die Webserver-Version (zum Beispiel über phpinfo(), danach die Datei wieder löschen).Diese Versionen enthalten laut php.net den Fix:
| PHP-Zweig | Gepatchte Version | Hinweis |
|---|---|---|
| 8.5 | 8.5.12 | aktuell unterstützt |
| 8.4 | 8.4.27 | aktuell unterstützt |
| 8.3 | 8.3.36 | aktuell unterstützt |
| 8.2 | 8.2.35 | Sicherheitsunterstützung endet zum 31. Dezember 2026 |
| 8.1 und älter | kein offizielles Update | Distributions-Backports prüfen, Wechsel auf unterstützte Version planen |
Läuft bei Ihnen PHP 8.1 oder älter, ist das nicht nur ein Datenschutzproblem, sondern ein Organisationsmangel. Fragen Sie Ihren Hoster oder Ihre IT-Betreuung schriftlich, ob ein Backport eingespielt wurde, und lassen Sie sich die konkrete Paketversion nennen.
Hier liegt der häufigste Denkfehler. Nach Art. 4 Nr. 12 DSGVO ist eine Datenschutzverletzung eine Verletzung der Sicherheit, die zu Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung von personenbezogenen Daten führt oder zum unbefugten Zugang dazu. Eine bloße Verwundbarkeit erfüllt das nicht. Sie ist aber ein Warnsignal, das eine Prüfung auslöst.
Praktisch heißt das:
Rechnen Sie ab dem Zeitpunkt, an dem Sie Kenntnis von einem möglichen Vorfall haben. Notieren Sie diese Uhrzeit sofort. Sie ist Ihr Startpunkt für alle Fristen.
session.upload_progress.enabled=0), Absenken von post_max_size oder zeitweises Sperren von multipart/form-data-Anfragen am Webserver. Das sind Notlösungen, kein Ersatz für das Update. Bei hohem Risiko kann ein vorübergehender Nur-Lesen-Modus oder die Abschaltung des Dienstes die vernünftigere Entscheidung sein.Ein Abschlussbericht, eine Ursachenanalyse und Maßnahmen gegen eine Wiederholung. Bei NIS-2 ist der Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung fällig.
Es gibt keine abschließende Liste, aber diese Hinweise sollten Sie prüfen oder von Ihrem Hoster bzw. Ihrer IT prüfen lassen:
Wichtig: Fehlende Spuren sind kein Beweis dafür, dass nichts passiert ist, denn ein Speicher-Auslesen muss nicht in Dateien sichtbar werden. Halten Sie deshalb auch fest, wie lange Ihr System ungepatcht erreichbar war.
Bei einem begründeten Verdacht auf Schadcode gilt: nicht einfach Dateien löschen. Besser ist eine saubere Wiederherstellung aus einem Backup, das vor dem möglichen Angriff erstellt wurde, nach vorherigem Update von PHP und CMS.
Art. 33 Abs. 3 DSGVO verlangt mindestens:
Die LDI NRW stellt dafür ein Online-Formular bereit. Es führt durch die Angaben und lässt sich als PDF exportieren. Nach den Angaben der Behörde soll die Meldung unverzüglich und möglichst binnen 72 Stunden erfolgen. Wird die Frist überschritten, ist die Verzögerung nachvollziehbar zu begründen. Speichern Sie das PDF in Ihrer Dokumentation.
Zum Formular: LDI NRW – Meldepflicht für Verantwortliche
Sitzt Ihr Unternehmen in einem anderen Bundesland, ist die dortige Landesdatenschutzbehörde zuständig.
Ja, wenn die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt (Art. 34 DSGVO). Typische Fälle: Zahlungsdaten, Passwörter im Klartext oder schwach gesichert, Gesundheitsdaten, Ausweisdaten.
Die Information muss klar und verständlich sein und mindestens enthalten, was passiert ist, welche Folgen zu erwarten sind, was Sie unternommen haben und wen die Betroffenen kontaktieren können. Empfehlen Sie konkret, was Betroffene jetzt tun sollten, zum Beispiel Passwörter ändern oder bei Phishing-Mails aufmerksam sein.
Wenn Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung unter das BSI-Gesetz (BSIG) fällt, gelten zusätzlich eigene Meldefristen für erhebliche Sicherheitsvorfälle (§ 32 BSIG). Sie laufen parallel zur DSGVO-Frist:
| Frist | Pflicht |
|---|---|
| Unverzüglich, spätestens 24 Stunden nach Kenntnis | Frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK |
| Spätestens 72 Stunden | Meldung mit erster Bewertung des Vorfalls, soweit möglich mit Kompromittierungsindikatoren |
| Spätestens 1 Monat nach der 72-Stunden-Meldung | Abschlussmeldung, bei laufendem Vorfall ein Fortschrittsbericht |
Ob ein Vorfall „erheblich“ ist, hängt von den Auswirkungen auf Ihre Dienste ab, etwa einem schwerwiegenden Betriebsausfall oder erheblichen Schäden. Nicht jedes Unternehmen ist überhaupt betroffen. Ob Sie unter NIS-2 fallen, klärt eine Erstbewertung. Die Geschäftsleitung haftet für die Umsetzung der Pflichten (§ 38 BSIG).
Bei Shared Hosting können Sie PHP oft nicht selbst patchen. Dann zählt Ihr Auskunftsanspruch gegenüber dem Anbieter umso mehr. Wenn Sie den Anbieter wechseln wollen oder müssen, bewahren Sie zuvor die Logs auf.
Art. 33 Abs. 5 DSGVO verlangt, jede Verletzung zu dokumentieren: Sachverhalt, Auswirkungen und ergriffene Maßnahmen. Das gilt auch, wenn Sie am Ende nicht melden. Dann gehört die Begründung hinein, warum kein Risiko für die Betroffenen besteht.
Halten Sie mindestens fest:
Wer diese Unterlagen nicht vorlegen kann, hat bei einer Nachfrage der Aufsichtsbehörde ein Problem, selbst wenn technisch alles in Ordnung war. Verstöße gegen die Meldepflicht können mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO).
Nein, wenn es keine Anhaltspunkte für einen Angriff oder Datenabfluss gibt, liegt keine Datenschutzverletzung vor und damit keine Meldepflicht nach Art. 33 DSGVO. Dokumentieren Sie trotzdem, was Sie geprüft haben und wann Sie gepatcht haben.
Die Meldung an die Aufsichtsbehörde soll unverzüglich und möglichst binnen 72 Stunden nach Kenntnis der Datenpanne erfolgen. Die Frist beginnt nicht mit der Veröffentlichung der Sicherheitslücke, sondern wenn Sie hinreichend sicher wissen, dass personenbezogene Daten betroffen sind.
Auf Hinweise wie neue PHP-Dateien in Upload-Ordnern, unbekannte Admin-Konten, veränderte Seiten, ungewöhnliche POST-Anfragen und Abstürze in den Logs. Eine Garantie gibt es nicht, weil das Auslesen von Speicher kaum Spuren hinterlassen muss.
Alle Systeme, die auf PHP laufen, sind potenziell betroffen, weil die Lücke in PHP selbst liegt. Entscheidend ist die PHP-Version auf Ihrem Server, nicht allein die CMS-Version. Prüfen Sie zusätzlich, ob für Ihr CMS Sicherheitsupdates erschienen sind.
Das Patchen ist Sache des Hosters, die rechtliche Verantwortung für Meldung und Dokumentation bleibt bei Ihnen. Lassen Sie sich Patch-Zeitpunkt und Prüfergebnis schriftlich bestätigen.
Die Meldung an die Aufsichtsbehörde ist Pflicht des Verantwortlichen, also Ihres Unternehmens. Hoster und Agenturen müssen Sie als Auftragsverarbeiter unverzüglich über Verletzungen informieren.
Dann sollten Sie trotzdem melden und die Verspätung begründen. Eine späte Meldung ist besser als keine. Verstöße können mit einem Bußgeld verbunden sein, das im Einzelfall von Art und Schwere abhängt.
Nur, wenn Ihr Unternehmen zu den besonders wichtigen oder wichtigen Einrichtungen gehört und der Vorfall erheblich ist. Dann gelten eine Frühmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht spätestens einen Monat danach.
Wenn Sie nicht sicher sind, ob bei Ihnen eine meldepflichtige Datenpanne vorliegt, besprechen wir das gemeinsam, bevor die Frist abläuft. Rufen Sie an: 02162 5472815. Akute Vorfälle haben Vorrang.
Notfall besprechen – kostenloses Erstgespräch
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.