:quality(60))
Unsere Storyblok-Kunden sind von php2shell nicht betroffen. Für die Websites, die wir bei Werbeberg auf Storyblok umsetzen und betreuen, besteht kein Handlungsbedarf. Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für die zwei kritischen Lücken veröffentlicht (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer ohne Login eigenen Code auf Webservern mit PHP ausführen.
Laut ORF.at haben zahlreiche Institutionen ihre Websites vorsorglich vom Netz genommen, darunter Regierungsseiten und Universitäten. Handeln müssen die Betreiber von Websites, wer nur im Internet surft, muss nichts tun.
In vielen Unternehmen fragt die Geschäftsführung heute nach, ob man selbst auch betroffen ist. Wer seine Website mit uns auf Storyblok betreibt, kann mit Nein antworten. (Stand: 21. Oktober 2026, abends)
Das Wichtigste in Kürze
- //Unsere Storyblok-Kunden sind von php2shell nicht betroffen und müssen nichts tun.
- //php2shell sind zwei kritische Lücken im Kern von PHP, behoben in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
- //Wer ein klassisches PHP-CMS betreibt, prüft noch heute die PHP-Version und spielt das Update ein.
// 1
Die Lücke
Zwei kritische Fehler im Kern von PHP
Die beiden Lücken sitzen in PHP selbst, also eine Ebene unter WordPress, Drupal oder jedem Plugin. Das PHP-Projekt bewertet sie mit 9,2 von 10 Punkten (CVSS v4.0). Mit mod_php im Apache-Webserver genügt für einen Angriff eine einzige Anfrage, betroffen sind aber auch PHP-FPM und andere gängige Betriebsarten.
Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, für 7.4, 8.0 und 8.1 gibt es nur noch minimale Backports. Das deutsche BSI rät, sofort zu patchen. Webserver ohne Update sollen vorübergehend vom Netz.
// 2
Und unsere Kunden?
Warum unsere Storyblok-Kunden heute nichts tun müssen
Eine eigene Stellungnahme von Storyblok zu php2shell ist uns nicht bekannt. Nach öffentlich verfügbaren Informationen ist PHP dort aber nicht im Einsatz. In Stellenanzeigen für die Backend-Entwicklung nennt der Hersteller Ruby on Rails, laut eigener Security-Seite läuft die Plattform bei Amazon Web Services. Als SaaS-CMS hält Storyblok Server, Datenbank und Abhängigkeiten selbst aktuell, Ihre IT muss dort nichts anfassen.
Das Frontend, das die Inhalte als Website ausliefert, entwickeln und betreuen wir selbst. Auch dort sind unsere Kunden nicht betroffen. Headless allein schützt allerdings nicht: Ein Frontend auf PHP-Basis, etwa mit Symfony oder Laravel, muss genauso gepatcht werden wie jede andere PHP-Anwendung.
Bei einem klassischen PHP-CMS wie WordPress oder TYPO3 liegen Admin-Login, Datenbank und Erweiterungen auf demselben Server wie die Website, und dort verarbeitet PHP jede Anfrage aus dem Internet. Eine Lücke wie php2shell trifft dann alles auf einmal, auch wenn das System gut gepflegt ist.
Unsere Storyblok-Kunden können diese Sicherheitswarnung entspannt lesen.
Wo die Angriffsfläche kleiner wird
Was Headless hier anders macht
:quality(60))
Getrennte Systeme
Redaktionssystem und öffentliche Website laufen auf verschiedenen Systemen. Auf dem Webserver liegen weder Admin-Login noch die Datenbank des Redaktionssystems.
:quality(60))
Updates beim Hersteller
Server, Datenbank und Abhängigkeiten des CMS hält Storyblok selbst aktuell. Einen Plugin-Bestand, den Ihre IT pflegen muss, gibt es nicht.
:quality(60))
Frontend aus unserer Entwicklung
Das Frontend entwickeln und betreuen wir selbst. Ihr Team pflegt die Inhalte davon unabhängig in Storyblok und muss sich um die Technik dahinter nicht kümmern.
Wer WordPress, TYPO3, Joomla oder ein anderes PHP-System betreibt, sollte heute noch handeln. Die PHP-Version steht im Hosting-Panel oder im Systembericht des CMS. Liegt sie unter den gepatchten Versionen, ist ein Update fällig, bei Managed Hosting über den Hoster. Bis dahin überbrücken Filterregeln einer Web Application Firewall, vollständig schützt laut PHP-Projekt nur das Update.
Danach darf man sich ruhig fragen, ob die nächste PHP-Warnung wieder IT und Hoster auf Trab halten soll. Bei einer Headless-DXP von Werbeberg pflegt Storyblok die Plattform, um das Frontend kümmern wir uns.
// 3
Zum Weiterleiten
Die Kurzfassung für Ihre Kollegen
Für IT und Geschäftsführung, Stand 21. Oktober 2026:
Unsere Storyblok-Website ist von php2shell nicht betroffen. Werbeberg hat sie umgesetzt und betreut sie, wir müssen nichts tun.
php2shell (CVE-2026-109618, CVE-2026-109619) sind zwei kritische PHP-Lücken, über die Angreifer ohne Login Code auf Webservern ausführen können. Das BSI rät zum sofortigen Patchen.
Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Andere PHP-Systeme im Haus wie Shop, Intranet oder Kundenportal kommen heute auf die Prüfliste.
Ein Blatt für IT und Geschäftsführung
Checkliste PHP-Lücke: Was Betreiber jetzt prüfen
Mit der Checkliste ermitteln Sie Ihre PHP-Version, gleichen sie mit den gepatchten Versionen ab und klären mit Hoster oder Distributor, wann das Update kommt und wie Sie bis dahin überbrücken. Dazu gibt es eine Liste typischer PHP-Systeme, die neben der Website gern übersehen werden.
Die DXP von Werbeberg
Ruhiger schlafen mit Headless
Ihr Team pflegt die Inhalte in Storyblok, Frontend und Betreuung kommen von uns. Wie das im Alltag zusammenspielt, zeigen wir auf unserer DXP-Seite.
Kostenloses Erstgespräch
Noch auf einem klassischen PHP-CMS?
Läuft Ihre Website auf WordPress, TYPO3 oder einem anderen klassischen PHP-CMS, reden wir gern über den Umstieg auf eine Headless-DXP, am besten bevor die nächste Sicherheitswarnung kommt. Im kostenlosen Erstgespräch sehen wir uns an, worauf Ihre Website heute läuft und wie ein Wechsel zu Storyblok bei Ihnen aussehen könnte.
Werbeberg ist seit 2017 Storyblok Certified Partner. Kommunikation, Film und Software sitzen bei uns unter einem Dach, das Frontend entwickeln wir selbst.
Läuft Ihre Website auf WordPress, TYPO3 oder einem anderen klassischen PHP-CMS, reden wir gern über den Umstieg auf eine Headless-DXP, am besten bevor die nächste Sicherheitswarnung kommt. Im kostenlosen Erstgespräch sehen wir uns an, worauf Ihre Website heute läuft und wie ein Wechsel zu Storyblok bei Ihnen aussehen könnte.
Werbeberg ist seit 2017 Storyblok Certified Partner. Kommunikation, Film und Software sitzen bei uns unter einem Dach, das Frontend entwickeln wir selbst.
:quality(60))
:quality(60))
:quality(60))