Stand: 22.10.2026
Seit dem 21.10.2026 ist sie in den Nachrichten: eine kritische Sicherheitslücke in PHP, bekannt als „PHP2Shell“. Wenn Sie Log+Key nutzen, fragen Sie sich gerade vielleicht, ob Ihre Schlüsseldaten in Gefahr sind. Oder Ihre IT fragt Sie.
Die kurze Antwort: Nein. Log+Key ist nicht betroffen, und Sie müssen nichts tun.
Die etwas längere Antwort lesen Sie hier, dazu eine kleine Checkliste für die Systeme in Ihrem Haus, die vielleicht doch betroffen sind.
Was hinter PHP2Shell steckt
PHP ist eine Programmiersprache, auf der ein großer Teil des Internets läuft: viele Websites und Content-Management-Systeme wie WordPress, TYPO3 oder Craft CMS, Online-Shops und Werkzeuge wie Nextcloud.
Am 21.10.2026 hat das PHP-Projekt zwei Lücken geschlossen (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer unter bestimmten Bedingungen aus der Ferne Schadcode auf einem Server ausführen, ohne sich vorher anmelden zu müssen. Das PHP-Sicherheitsteam bewertet beide mit 9,2 von 10 möglichen Punkten. Erste Angriffsversuche wurden bereits beobachtet.
Gefährdet ist jeder Server, auf dem PHP Anfragen aus dem Internet beantwortet und noch nicht aktualisiert wurde. Geschlossen ist die Lücke erst mit einer aktualisierten PHP-Version.
Warum Log+Key nicht betroffen ist
Die Lücke steckt in PHP selbst. Log+Key verwendet kein PHP:
- Die Software: Log+Key ist in TypeScript geschrieben und läuft auf Node.js. Das ist eine eigene Laufzeitumgebung, die mit PHP nichts zu tun hat. Die Lücke kann dort nicht auftreten.
- Terminals, Smartphones und Computer: Log+Key läuft auf allen Geräten im Browser. Es ist nichts installiert, was Sie aktualisieren müssten.
- NFC-Tags: Die Tags tragen nur eine Kennung und eine Adresse. Software enthalten sie nicht.
- Unsere Website log-key.de: Sie besteht aus statischen Seiten, kommt ohne PHP aus und ist technisch vollständig von Log+Key getrennt.
Für Sie heißt das: keine Updates, keine geänderten Einstellungen, keine Unterbrechung. Log+Key läuft wie gewohnt weiter, auf Servern in Deutschland.
Ausnahmsweise eine Sicherheitsmeldung, die sich kurz fassen lässt.
Was Sie jetzt in Ihrem Haus prüfen sollten
Log+Key ist nicht betroffen. Andere Systeme, mit denen Ihr Team arbeitet, womöglich schon. Typische Kandidaten:
- Ihre Website, vor allem wenn sie mit WordPress, TYPO3, Contao, Joomla, Drupal oder Craft CMS läuft
- Intranet, Nextcloud, Online-Shop, Buchungs- oder Ticketsysteme
- eigene Server, auf denen PHP-Anwendungen laufen
Fragen Sie Ihre IT, Ihren Hoster oder Ihre Agentur, ob PHP dort auf eine korrigierte Version aktualisiert wurde. Das PHP-Projekt nennt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere PHP-Versionen bekommen vom PHP-Projekt keine regulären Updates mehr. Hier helfen ein Update über den Anbieter der Linux-Distribution oder ein Upgrade auf eine unterstützte Version.
Gut zu wissen: Bei Managed Hosting haben viele Anbieter das Update bereits selbst eingespielt. Bei eigenen Servern, ob dediziert oder in der Cloud, ist der Betreiber selbst dafür verantwortlich. Lässt sich ein System nicht sofort aktualisieren, raten Sicherheitsbehörden, es bis dahin vom Netz zu nehmen.
Wir bleiben dran
Wir beobachten die Lage weiter. Sollte sich an unserer Einschätzung etwas ändern, informieren wir Sie umgehend.
Fragen dazu beantworten wir gern unter hallo@log-key.de. Wie wir Ihre Daten grundsätzlich schützen, lesen Sie unter Sicherheit bei Log+Key.
