Die Software-Manipulationsmöglichkeiten aus den Lücken CVE-2026-109618 und CVE-2026-109619, bekannt als PHP2Shell, sollten unverzüglich beseitigt werden. U.a. so stellt man fest, ob der Hoster bereits diesbezüglich gehandelt hat:
In WordPress kann die PHP-Version festgestellt werden:
Im WordPress-Dashboard folgendes Menü wählen: Werkzeuge→Website-Zustand→Info→Server: Dort ist die PHP-Version vermerkt.
Für die Verantwortlichen von betroffenen Unternehmen, insbesondere für Geschäftsführer und Vorstände, bedeutet die Veröffentlichung des BSI mit der Aufforderung, sofort patchend tätig zu werden, dass bei nicht unverzüglichem Handeln Schadensersatzansprüche wegen Organhaftung drohen, wenn die Lücke ausgenutzt wird. Verantwortliche in Unternehmen haben zu prüfen, ob die Systeme von Dritten oder inhouse gemanaged werden. Je nachdem müssen Weisungen intern oder an die beauftragten Unternehmen (Hoster etc.) eindeutig und mit Hinweis auf die Dringlichkeit gegeben werden um persönliche Haftung nicht entstehen zu lassen.
Durch den Einsatz von KI bei der Schwachstellen-Suche durch mögliche Angreifer wird die Thematik des Patchens und die Organhaftung dafür in nächster Zeit voraussichtlich sehr aktuell bleiben.