PHP-Sicherheitslücke: Homeserver mit Nextcloud und Co. jetzt absichern

Die kritische PHP-Sicherheitslücke „PHP2Shell“ betrifft nicht nur Behörden und große Hoster. Auch wer zu Hause einen Homeserver betreibt, etwa mit Nextcloud für Fotos und Kalender der Familie oder mit einer eigenen WordPress-Seite für den Verein, sollte jetzt handeln. Wie ernst die Lage ist, zeigte sich auch in der Region: In Aschaffenburg waren wegen der Lücke mehrere städtische Webseiten vorübergehend offline.

Darum geht es bei der PHP-Sicherheitslücke

PHP ist eine Programmiersprache, die auf Servern läuft und dort Webseiten und Webanwendungen erzeugt. Viele beliebte Programme für den Heimgebrauch sind in PHP geschrieben, darunter Nextcloud, WordPress oder phpMyAdmin.

Konkret geht es um zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619, die Sicherheitsforscher „PHP2Shell“ getauft haben. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet sie mit 9,2 von 10 Punkten. Angreifer könnten darüber aus der Ferne und ohne Anmeldung Schadcode auf dem Server ausführen. Nach Angaben der PHP-Entwickler reicht bei Apache mit dem Modul mod_php eine einzige Anfrage, noch bevor die eigentliche Anwendung überhaupt startet.

Betroffen ist grundsätzlich jede PHP-Installation, die Webanfragen beantwortet, also PHP-FPM, Apache mit mod_php und php-cgi. Die PHP-Entwickler haben am 21. Oktober korrigierte Versionen veröffentlicht. Einen Angriffsversuch hat Amazon nach eigenen Angaben schon vier Tage vor der Veröffentlichung registriert. Dem BSI war nach seiner Cybersicherheitswarnung (Stand 22. Oktober) keine erfolgreiche Ausnutzung in der Breite bekannt. Es empfiehlt, die Updates unverzüglich einzuspielen.

Warum Homeserver besonders gefährdet sein können

Viele private Server sind über eine Portfreigabe im Router und eine DynDNS-Adresse aus dem Internet erreichbar, damit Familie und Freunde von unterwegs auf Fotos, Kontakte oder Dokumente zugreifen können. Genau solche Systeme lassen sich von außen ansprechen. Anders als beim Webhoster spielt dort niemand automatisch Updates ein, das liegt allein beim Betreiber.

Dazu kommt: Auf einem Homeserver liegen oft nicht nur die eigenen Daten, sondern auch die von Eltern, Kindern oder Freunden. Ein übernommener Server kann außerdem als Einstieg ins restliche Heimnetz dienen. Typische PHP-Anwendungen im Heimnetz sind:

• Nextcloud als private Cloud für Fotos, Kalender, Kontakte und Dateien
• WordPress für die eigene Seite oder die Vereinshomepage
• phpMyAdmin zur Verwaltung von Datenbanken
• ältere Pi-hole-Versionen, deren Weboberfläche noch PHP nutzt

Auch NAS-Systeme und andere Netzwerkgeräte können PHP enthalten. Laut BSI veröffentlichen zunehmend Hersteller von Netzwerkkomponenten eigene Hinweise. Wer ein NAS betreibt, sollte daher auf der Herstellerseite nach Firmware- und App-Updates schauen.

So prüfen und schließen Sie die PHP-Sicherheitslücke auf dem Homeserver

1. PHP-Version herausfinden

Auf der Kommandozeile zeigt php -v die installierte Version. In WordPress steht sie unter Werkzeuge, Website-Zustand, Bericht im Abschnitt Server. Die PHP-Entwickler haben die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als korrigierte Fassungen herausgegeben.

Wichtig: Debian, Ubuntu und andere Linux-Distributionen übernehmen solche Korrekturen oft in ihre eigenen Pakete, ohne die Versionsnummer anzuheben. Eine ältere Nummer heißt dort also nicht automatisch, dass das System ungeschützt ist. Ob ein Paket die Korrektur enthält, zeigt meist das Änderungsprotokoll, etwa mit apt changelog php8.2-common | grep CVE-2026-109618 (Paketname an die eigene Version anpassen). Die Distributionen haben die Korrekturen nach Angaben der PHP-Entwickler schon vor der Veröffentlichung erhalten.

2. Updates einspielen

• Debian und Ubuntu: sudo apt update && sudo apt full-upgrade, danach PHP-FPM bzw. Apache neu starten oder den Server neu booten.
• Proxmox und andere Virtualisierer: Jeder Container und jede virtuelle Maschine muss einzeln aktualisiert werden. Ein Update des Hosts reicht nicht.
• Docker: Mit docker compose pull und docker compose up -d neue Images holen. Vorher prüfen, ob die Anbieter der Images schon aktualisierte Versionen bereitgestellt haben.
• Snap-Installation von Nextcloud: Sie bringt ein eigenes PHP mit, das Update kommt über sudo snap refresh nextcloud.
• NAS: Firmware und Pakete über die Verwaltungsoberfläche bzw. das App-Center aktualisieren.

3. Veraltete PHP-Versionen

Für PHP 8.1 und ältere Versionen gibt es keine offiziellen Updates mehr. Die PHP-Entwickler haben für 7.4, 8.0 und 8.1 lediglich Quellcode-Korrekturen bereitgestellt, die sich nur an Fachleute richten, die PHP selbst übersetzen. Als Notbehelf wird empfohlen, in der php.ini session.upload_progress.enabled = Off zu setzen und den Webserver neu zu starten. Das ersetzt aber kein Update. Wer einen solchen Server nicht zeitnah auf eine aktuelle Version bringen kann, sollte ihn bis dahin vom Internet trennen. Die aktuellen Versionen listet die offizielle PHP-Übersicht der unterstützten Versionen.

Homeserver dauerhaft sicherer betreiben

• Nicht direkt ins Internet stellen: Statt Portfreigaben ist ein VPN die sicherere Lösung. Viele Router, etwa aktuelle FRITZ!Box-Modelle, bringen WireGuard bereits mit.
• Portfreigaben prüfen: Im Router nachsehen, welche Dienste überhaupt von außen erreichbar sind, und alles Unnötige schließen.
• Automatische Sicherheitsupdates: Unter Debian und Ubuntu erledigt das Paket unattended-upgrades das im Hintergrund.
• Datensicherung: Regelmäßige Backups, mindestens eines davon getrennt vom Server und vom Netz.
• Zugänge absichern: Starke Passwörter mit einem Passwortmanager und, wo möglich, Zwei-Faktor-Authentifizierung.

Wer den Verdacht hat, dass der eigene Server bereits angegriffen wurde, sollte ihn vom Netz nehmen und nach unbekannten Dateien im Webverzeichnis, neuen zeitgesteuerten Aufgaben (Cronjobs) und neuen Benutzerkonten suchen. Danach Passwörter ändern und alle informieren, deren Daten auf dem Server liegen.

Daten von Familie und Freunden: Was rechtlich gilt

Die Datenschutz-Grundverordnung gilt nicht für die Verarbeitung von Daten „zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“ (Artikel 2 DSGVO). Wer nur für die eigene Familie Fotos und Kalender bereitstellt, fällt in der Regel unter diese sogenannte Haushaltsausnahme. Anders sieht es aus, wenn der Server etwa für einen Verein oder ein Gewerbe genutzt wird. Dann gilt die DSGVO, und Betreiber müssen nach Artikel 32 für angemessene technische Schutzmaßnahmen sorgen, wozu auch zeitnahe Sicherheitsupdates gehören. Im Zweifel hilft eine Beratung durch Fachleute, dieser Beitrag ersetzt keine Rechtsberatung.

Unabhängig vom Gesetz gilt: Wer anderen Speicherplatz anbietet, trägt Verantwortung für deren Daten. Ein kurzer Hinweis an Familie und Freunde, dass der Server aktualisiert wurde, schafft Vertrauen.

Häufige Fragen zur PHP-Sicherheitslücke

Bin ich betroffen, wenn ich nur Webseiten besuche?

Nein. Die Lücke steckt in der Server-Software. Wer nur im Internet surft, muss am eigenen Computer oder Smartphone nichts tun.

Mein Homeserver ist nur im Heimnetz erreichbar. Muss ich trotzdem aktualisieren?

Ja. Das Risiko ist geringer, weil Angreifer den Server nicht direkt aus dem Internet erreichen. Ein anderes Gerät im Heimnetz könnte aber bereits kompromittiert sein. Das Update sollte deshalb trotzdem eingespielt werden.

Reicht es, Nextcloud oder WordPress zu aktualisieren?

Nein. Die Lücke steckt in PHP selbst, nicht in der Anwendung. Entscheidend ist, dass das PHP-Paket des Systems bzw. das Docker-Image aktualisiert wird.

Was ist mit Webseiten beim Webhoster?

Dort ist der Hoster für PHP zuständig. Viele Anbieter haben die Updates bereits eingespielt, manche haben Seiten vorübergehend abgeschaltet. Vereine und Betriebe aus dem Bachgau mit eigener Homepage können bei ihrem Hoster nachfragen, ob das Update erledigt ist.