PHP2Shell: ZAjONiC ist nicht betroffen — wir setzen kein PHP ein

Was passiert ist

Am 20. Oktober 2026 kündigte das PHP-Team ein dringendes Sicherheitsupdate an — und noch vor dem geplanten Termin sickerten Einzelheiten durch. Am 21. Oktober folgten die Patches. Es geht um zwei Schwachstellen im Kern von PHP, CVE-2026-109618 und CVE-2026-109619, die wegen ihrer Tragweite in Anlehnung an Log4Shell „PHP2Shell“ genannt werden. Beide erreichen einen CVSS-Wert von 9,2 von 10: Ein Angreifer kann aus der Ferne, ohne Anmeldung und ohne Zutun eines Nutzers eigenen Code auf dem Webserver ausführen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat gewarnt und rät, den Patch unverzüglich einzuspielen. Weil PHP einen großen Teil aller Webseiten antreibt — von WordPress über Joomla bis zu Online-Shops —, haben zahlreiche Hoster ihre Server am 21. Oktober vorsorglich vom Netz genommen. Auch Webseiten von Kommunen und Behörden waren zeitweise nicht erreichbar. Berichten zufolge wird die Lücke bereits ausgenutzt.

Warum bei uns kein PHP läuft

Die Entscheidung ist keine Reaktion auf diese Woche, sondern liegt in der Bauweise. ZAjONiC ist eine moderne Web-Anwendung, deren Oberfläche im Browser läuft und deren Dienste in TypeScript und anderen Sprachen geschrieben sind, die ohne PHP auskommen. Die Daten liegen in einer PostgreSQL-Datenbank. Auch unsere Webseiten zajonic.ai und kichat.zajonic.ai sind statische Seiten: Sie werden vorab fertig gebaut und vom Webserver nur noch ausgeliefert. Es gibt dort kein Redaktionssystem, das bei jedem Aufruf Programmcode ausführt — und damit auch keine Angriffsfläche dieser Art.

Weniger Bausteine heißen weniger Stellen, an denen etwas schiefgehen kann. Wie ZAjONiC darüber hinaus Ihre Daten schützt, beschreiben wir auf der Seite Sicherheit und in der Architektur-Übersicht.

Was Sie jetzt trotzdem prüfen sollten

Dass ZAjONiC nicht betroffen ist, heißt nicht, dass Ihr Haus nicht betroffen ist. Viele Betriebe, Kanzleien und Verwaltungen betreiben eine eigene Webseite, ein Intranet oder ein Ticketsystem auf PHP-Basis. Dafür gilt:

• PHP aktualisieren, nicht nur das Redaktionssystem. Die Lücke liegt in PHP selbst. Ein WordPress-Update allein schließt sie nicht. Sicher sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
• Beim Hoster nachfragen. Liegt die Webseite bei einem Dienstleister, lassen Sie sich bestätigen, dass das Update eingespielt ist.
• Alte Versionen ablösen. PHP 8.1 und älter erhalten keine offiziellen Updates mehr. Wer solche Versionen noch betreibt, sollte jetzt umsteigen.
• Auf Spuren achten. Weil die Lücke schon vor dem Patch ausgenutzt wurde, lohnt ein Blick auf unbekannte Dateien im Webverzeichnis und ungewöhnliche Zugriffe der letzten Tage.

Häufige Fragen

Ist ZAjONiC von der PHP-Lücke PHP2Shell betroffen?

Nein. ZAjONiC enthält keine Zeile PHP und bringt auch keinen PHP-Interpreter mit. Das gilt für die Cloud-Variante, für Installationen im eigenen Betrieb und für unsere Webseiten zajonic.ai und kichat.zajonic.ai. Wir haben das am 22. Oktober 2026 im Quellcode und auf allen Servern nachgeprüft.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Schwachstellen im Kern der Programmiersprache PHP, CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-4.0-Wert von 9,2. Über sie können Angreifer aus der Ferne und ohne Anmeldung Code auf Webservern ausführen, auf denen PHP-Anwendungen laufen, etwa WordPress, Joomla oder Shopware. Das BSI hat am 21. Oktober 2026 gewarnt.

Welche PHP-Versionen schließen die Lücke?

Das PHP-Team hat am 21. Oktober 2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr; dort bleiben nur Korrekturen der Linux-Distributionen oder der Umstieg auf eine unterstützte Version.

Reicht es, WordPress zu aktualisieren?

Nein. Die Lücke liegt in PHP selbst, nicht im Redaktionssystem. Aktualisiert werden muss die PHP-Version auf dem Server. Wer seine Webseite bei einem Hoster betreibt, sollte dort nachfragen, ob das Update eingespielt ist.