Am 21. Oktober 2026 wurden zwei kritische Schwachstellen im PHP-Kern veröffentlicht, zusammengefasst unter dem Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). Beide werden mit CVSS 9,2 bewertet und erlauben es Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen. Betroffen sind PHP-Installationen, die Webanfragen verarbeiten – also praktisch jede TYPO3-Seite. Das BSI hat die Warnstufe Orange ausgerufen. Wir unterstützen Sie beim Prüfen, Absichern und Aufräumen.

Was genau passiert ist

Die Ursache liegt nicht in TYPO3, sondern in der Programmiersprache selbst. Bei CVE-2026-109618 gerät PHP beim Aufräumen einer Anfrage in einen fehlerhaften Speicherzustand (Out-of-Memory), bei CVE-2026-109619 werden Reste einer früheren Anfrage im selben Arbeitsprozess von einer späteren Anfrage weiterverwendet. Beides lässt sich ausnutzen, um Befehle einzuschleusen oder Speicherinhalte auszulesen – und darin können Zugangsdaten, Session-Tokens oder API-Schlüssel anderer Anfragen stecken.

Die betroffenen Versionen reichen weit zurück, mindestens bis PHP 5.4. Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es kein offizielles Release mehr; hier helfen nur Backports der Distribution oder des Hosters.

Warum ein TYPO3-Update nicht reicht

Der Angriff findet statt, bevor TYPO3 überhaupt geladen wird. Ein Update im Backend, ein Sicherheits-Plugin oder der Wartungsmodus ändern daran nichts – die Anfrage wird bereits auf Ebene von PHP verarbeitet. Besonders exponiert sind Installationen mit Apache und mod_php, weil dort jede Anfrage im selben Prozesskontext läuft. Nach dem Update müssen Apache beziehungsweise PHP-FPM und alle Worker tatsächlich neu gestartet werden, nicht nur neu geladen. Ein reiner Reload lässt alte Prozesse weiterlaufen.

Der Blick auf die vollständige Versionsnummer

Entscheidend ist nicht „8.3“, sondern die komplette Nummer: 8.3.6 ist unsicher, 8.3.36 ist es nicht. In Hosting-Panels und in der TYPO3-Systeminformation steht häufig nur der Versionszweig. Eine belastbare Aussage bekommt man erst, wenn der Hoster den eingespielten Stand schriftlich bestätigt – oder wenn man selbst nachsieht, was tatsächlich installiert ist. Wir prüfen das auf Wunsch direkt auf dem Server, inklusive der Frage, ob Distributionspakete mit älterer Nummer den Fix bereits enthalten.

Die Falle bei älteren TYPO3-Versionen

TYPO3 10 und älter laufen nur bis PHP 7.4. Ein Update auf eine gepatchte PHP-Version ist dort nicht möglich, ohne die Installation zu beschädigen – und für PHP 7.4 liefert das PHP-Projekt keine offiziellen Pakete mehr. In diesem Fall gibt es keinen schnellen Klick: Es braucht ein Upgrade der Installation oder einen Relaunch. Je nach Erweiterungen ist das ein überschaubares Projekt oder eine größere Migration. Wir sagen Ihnen offen, was in Ihrem Fall realistisch ist.

Was wir übernehmen

• Sofort-Check: Welche PHP-Version läuft tatsächlich, an welcher Stelle, mit welchem SAPI – und ist der Fix aktiv?
• Update und Neustart: Einspielen der Patches, sauberer Neustart von PHP-FPM, Apache und Workern, Test der Seite inklusive Formulare und Backend-Login.
• Kompromittierungsprüfung: Analyse von Logs und Dateisystem auf Spuren. Typische Fundstellen sind fremde PHP-Dateien in fileadmin und typo3temp, unbekannte Backend-Benutzer, veränderte Templates und neue Cronjobs.
• Absicherung danach: Rotation von Zugangsdaten, Schlüsseln und Sessions, Härtung der Konfiguration, Monitoring für Auffälligkeiten.
• Upgrade oder Relaunch: Für Installationen, die auf einem gepatchten PHP nicht lauffähig sind – mit Plan, Testumgebung und terminierbarer Umsetzung.
• Im Ernstfall: Offline-Nahme auf Server-Ebene, Sicherung der Logs, Wiederherstellung aus einem sauberen Backup und Unterstützung bei der Frage, ob eine Meldepflicht nach DSGVO besteht.

Warum wir

Wir entwickeln und betreuen seit über 25 Jahren digitale Projekte und seit ebenso langer Zeit TYPO3-Installationen – für Konzerne, Kliniken und öffentliche Einrichtungen. Unsere Systeme und Prozesse sind TISAX-zertifiziert. Wir arbeiten mit klaren Aussagen statt mit Alarmismus: Wenn Ihre Seite nicht betroffen ist, sagen wir das. Wenn sie betroffen ist, sagen wir, was zu tun ist – und bis wann.

Sprechen Sie uns an. Ob Sie einen Patch-Stand bestätigt brauchen, eine zweite Meinung zur Kompromittierungsprüfung oder eine Perspektive für eine alte Installation, sprechen Sie uns an:

Kontakt aufnehmen.

Stand: 26. Oktober 2026. Die Lage entwickelt sich; wir aktualisieren diese Seite bei Bedarf.