Sicherheitswarnung · PHP2Shell · Stand 21.10.2026
Das Update hilft nur Shops, die bereits auf aktuellem PHP laufen. Für alle anderen gibt es einen schnellen Ausweg: den Express-Relaunch in 2 bis 4 Wochen.
Am 21. Oktober 2026 sind mit PHP2Shell zwei kritische Lücken im Kern von PHP bekannt geworden. Auf PHP laufen Magento, Shopware, WooCommerce, TYPO3 und viele eigene Bestellportale. Offizielle Updates gibt es nur für PHP 8.2 bis 8.5. REEA prüft, wie stark Ihr Shop betroffen ist, und setzt ältere Webshops mit Produktdaten, Kundenkonten und ERP-Anbindung neu auf.
Lage
PHP2Shell ist der Name für zwei kritische Lücken in der Programmiersprache PHP. Angreifer können darüber ohne Login eigenen Code auf dem Webserver ausführen, samt Zugriff auf die Shop-Datenbank. Betroffen ist jeder Server mit ungepatchter PHP-Version, unabhängig vom Shopsystem.
Calif und Wiz Research entdecken die Fehler unabhängig voneinander. Quelle: Wiz Research
Das PHP-Team zieht die Veröffentlichung der Updates vor. Quelle: php.net
Vorsorglich offline gehen unter anderem Universitäten und Landesbehörden. Quelle: ORF, Handelsblatt
Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und älter gibt es kein offizielles Release. Quelle: php.net
Sicherheitsfirmen melden erste Angriffsversuche und rechnen mit automatisierten Massenscans. Quelle: Cloudflare, SecurityWeek
Offizielle Warnungen: BACS · BSI · CERT-EU · php.net
Webshops
Ein Shop speichert Kundenkonten, nimmt Zahlungen entgegen und ist mit ERP, PIM und Zahlungsanbietern verbunden. Gelingt ein Angriff, geht es nicht um eine veränderte Startseite, sondern um Kundendaten, Umsatz und den Zugang zu Ihren Kernsystemen.
Viele Shops auf älteren Magento-2- oder Shopware-6-Versionen und WooCommerce mit alten Erweiterungen laufen auf PHP 8.1 oder älter. Magento 1 und Shopware 5 erhalten schon länger keine Herstellerupdates mehr.
Zahlungsmodule, Konfiguratoren und Schnittstellen laufen auf neuem PHP oft nicht mehr. Das Update wird so zum Projekt.
Wer Code auf dem Server ausführt, kann den Bezahlschritt verändern und Kartendaten abgreifen, ohne dass der Shop auffällt.
Zugangsdaten zu SAP, Microsoft Dynamics oder dem PIM liegen auf dem Shop-Server. Ein kompromittierter Shop wird zum Einstieg ins Firmennetz.
Anders als bei einer Infoseite kostet jeder Tag Abschaltung direkt Bestellungen, im B2B auch Vertrauen bei Stammkunden.
Schutzregeln von Hostern oder Cloudflare senken das Risiko. Cloudflare selbst nennt sie eine Übergangslösung, die das PHP-Update nicht ersetzt.
Enterprise
Neben dem Shop laufen Kundenportale, mehrsprachige TYPO3-Websites, Kampagnenseiten und interne Bestellportale. Jede Installation braucht ein eigenes Update, oft bei einem anderen Dienstleister.
Welche Systeme laufen auf PHP, auf welcher Version, und wer ist zuständig? Ohne diese Liste bleibt die vergessene Microsite offen.
Seit dem 30. April 2026 erhält TYPO3 v12 keinen freien Support mehr, v11 schon länger nicht. Ältere Installationen laufen häufig auch auf älterem PHP.
Betreiber kritischer Infrastrukturen melden Cyberangriffe seit dem 1. April 2025 innert 24 Stunden dem BACS. Sind Personendaten betroffen, kann eine Meldung an den EDÖB nötig sein.
Geschäftskunden, Versicherer und Revisionsstellen wollen wissen, ob Sie reagiert haben. Ein dokumentierter Plan beantwortet diese Fragen.
Selbstcheck
Beantworten Sie sechs kurze Fragen. Das Ergebnis zeigt eine Einschätzung von niedrig bis kritisch und die nächsten Schritte. Es wird nichts gesendet und nichts gespeichert.
Ihre Einschätzung
Hier erscheint Ihre Einschätzung, sobald Sie die Fragen beantwortet haben.
Risiko
Die Einschätzung beruht auf Ihren Angaben. Ob Ihr Shop wirklich betroffen ist, lässt sich nur mit Zugriff auf Server oder Hosting verlässlich prüfen.
Sofortmassnahmen
Die wichtigste Massnahme ist das Update auf eine gepatchte PHP-Version. So empfehlen es das PHP-Team und die Behörden. Diese fünf Schritte helfen, das Risiko heute zu klären und zu senken.
Notfall-Brücke
Dann sichern wir ihn übergangsweise ab und planen parallel den Express-Relaunch. Der Shop verkauft weiter, bis der neue online ist.
Notfall-Brücke anfragenEntscheidung
Nicht jeder betroffene Shop braucht einen Relaunch. Bei älteren Shops behebt das Update aber nur das akute Problem, und die nächste Lücke trifft dieselbe veraltete Technik. Trifft mehr als ein Punkt rechts zu, kostet das Weiterflicken meist mehr als ein neuer Shop.
Express-Relaunch
Im Express-Relaunch übernimmt REEA Produktdaten, Kundenkonten, Bestellhistorie und alle Adressen aus dem alten Shop und baut ihn auf einer aktuellen, unterstützten Plattform neu auf. Schnittstellen zu ERP, PIM und Zahlungsanbietern werden übernommen oder neu angebunden. Nach jedem Schritt geben Sie frei.
Version, PHP, Erweiterungen und Schnittstellen prüfen. Sie erhalten Umfang, Zielplattform und Festpreis.
Übergangsschutz für den alten Shop, Export von Produkten, Kunden, Bestellungen, Inhalten und Adressen.
Startseite, Produktseite, Warenkorb und Kundenkonto als klickbarer Entwurf, mit Daten aus Ihrem ERP.
Neuer Shop auf Ihrer Domain, mit Weiterleitungsplan, Zahlungsarten und getesteter ERP-Anbindung.
Security-Updates, Backups und Monitoring fest geregelt, Hosting in der Schweiz oder der EU.
Rund 90 Fachleute im eigenen Entwicklungszentrum der REEA-Gruppe arbeiten parallel an Datenübernahme, Design und Schnittstellen. Bewährte Bausteine für Shopware und Magento verkürzen den Neubau. Das Tempo hängt davon ab, wie schnell Inhalte und Freigaben vorliegen. Sehr grosse Sortimente, viele Sprachen oder eine neue ERP-Anbindung brauchen länger, das sagen wir Ihnen vor dem Start.
Belege aus der Schweiz
Beide Shops sind an SAP angebunden und entstanden zusammen mit Schweizer SAP-Beratungshäusern. Die Berater verantworteten das ERP, wir Shop und Schnittstelle.
AISymfony-Shop mit SAP-Anbindung
Müller + Krempel AG bietet Primärverpackungen für Pharma, Food und Kosmetik an. Geschäftskunden sollten online bestellen, mit Daten direkt aus SAP.
Ein Onlineshop auf Basis von Symfony, angebunden an SAP.
Geschäftskunden bestellen online. REEA betreut den Shop laufend in der Wartung.
AI2Kundengruppen in einem Shop: Geschäfts- und Privatkunden
ALBIRO AG bietet Arbeits-, Schutz- und Sicherheitsbekleidung an. Ein Shop sollte Geschäfts- und Privatkunden bedienen, angebunden an das SAP-Backend.
Shop auf Magento mit Symfony und einer Web-App, angebunden an SAP.
Beide Kundengruppen kaufen im selben Shop. REEA wartet ihn laufend und betreut inzwischen auch eine Schwesterfirma der Gruppe.
Warum REEA
Ein Express-Relaunch ist nur so gut wie der Betrieb danach. Diese Zahlen stehen dahinter.
Kosten
Der Shop-Sicherheitscheck ist kostenlos. Den Festpreis für Ihren Express-Relaunch nennen wir Ihnen direkt danach, abhängig von Shopsystem, Sortiment und Schnittstellen.
Einstieg
kostenlos
Express-Relaunch
Festpreis
Betrieb
monatlich
Alle Preise in CHF, exkl. MWST.
FAQ
Betroffen ist nicht das Shopsystem, sondern die PHP-Version auf dem Server. Läuft PHP 8.1 oder älter oder fehlt das Update auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, ist der Shop gefährdet.
Den Shop selbst aktualisiert Shopify. Eigene Apps, Middleware oder Kampagnenseiten auf PHP-Servern sollten Sie trotzdem prüfen.
Sie senkt das Risiko bis zum Update, ersetzt es aber nicht. Das sagen auch Anbieter wie Cloudflare, die solche Schutzregeln bereitstellen.
Für Shops mit übersichtlichem Sortiment und bestehender ERP-Schnittstelle ja. Sehr grosse Sortimente, viele Sprachen oder eine neue ERP-Anbindung brauchen länger. Den Zeitplan nennen wir Ihnen nach dem Shop-Sicherheitscheck verbindlich.
Kundenkonten und Bestellhistorie übernehmen wir. Ob Passwörter übernommen werden können, hängt von Alt- und Zielsystem ab. Sonst erhalten Ihre Kunden eine Einladung, ein neues Passwort zu setzen.
Jede alte Adresse bekommt ein Ziel im neuen Shop. So bleibt erhalten, was Sie bei Google erarbeitet haben.
Ja, abgesichert durch Übergangsschutz und eingeschränkten Admin-Zugriff. Bestellungen bis zum Umschalten übernehmen wir in den neuen Shop.
Sind Personendaten betroffen und besteht ein hohes Risiko für die Betroffenen, verlangt Art. 24 des Datenschutzgesetzes eine Meldung an den EDÖB so rasch als möglich. Betreiber kritischer Infrastrukturen melden Cyberangriffe zusätzlich innert 24 Stunden dem BACS. Diese Antwort ist eine allgemeine Information und keine Rechtsberatung.
Wer Kartenzahlungen annimmt, muss die Vorgaben des PCI DSS einhalten, die Ihr Zahlungsanbieter vertraglich verlangt. Eine bekannte, nicht behobene Lücke auf dem Shop-Server kann diese Pflichten verletzen.
Das hängt von den Vertragsbedingungen ab. Viele Policen verlangen, dass Sicherheitsupdates zeitnah eingespielt werden. Prüfen Sie Ihre Pflichten im Vertrag.
Nächster Schritt
Im Shop-Sicherheitscheck sehen wir uns Shop, Server und Schnittstellen gemeinsam an. Sie erhalten eine ehrliche Einschätzung, ob ein PHP-Update reicht oder ob ein Express-Relaunch in 2 bis 4 Wochen der bessere Weg ist.
Kostenlos und unverbindlich. Antwort in der Regel am selben Werktag.
