Betrifft die PHP-Sicherheitslücke mein Handy? Was PHP2Shell für iPhone und Android heißt

iPhoneAndroidAktualisiert

Der PHP-Sicherheitshinweis vom 21. Oktober 2026 nennt als gefährdet alle PHP-Installationen, die Webanfragen verarbeiten, und das ist Serversoftware. Handys, Tablets oder Browser erwähnt er nicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spricht von Webservern mit PHP-Anwendungen. Wenn du auf dem iPhone oder Android-Handy eine Website öffnest, läuft deren PHP nicht auf deinem Handy, auch wenn eine gehackte Seite auf andere Weise Ärger machen kann.

Kurze Antwort

PHP2Shell ist der Name für zwei kritische PHP-Lücken, CVE-2026-109618 und CVE-2026-109619. Laut PHP-Hinweis sind PHP-Installationen gefährdet, die Webanfragen verarbeiten, und laut PHP-Handbuch läuft PHP-Code auf dem Server. Dein Handy bekommt die fertige Seite. Halte iOS oder Android trotzdem aktuell, und sei bei Downloads und Anmeldungen auf unbekannten Seiten vorsichtig.

Was ist laut PHP-Hinweis betroffen?

Server, die mit PHP Webanfragen beantworten. Laut Hinweis schließen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 zwei kritische Lücken, die eine Codeausführung aus der Ferne ohne Anmeldung ermöglichen können. Als gefährdet nennt er alle PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht er bei mod_php.

Das sind Arten, PHP hinter einer Website zu betreiben. Das BSI richtet seine Warnung an IT-Sicherheitsverantwortliche und Betreiber: Sie sollen die PHP-Laufzeitumgebung patchen und sicherstellen, dass keine Kompromittierung stattgefunden hat. Die Lücken selbst und eine weitere, deutlich unwahrscheinlichere Lücke vom 23. Oktober beschreibt unsere Erklärung zur PHP-Sicherheitslücke.

Warum führt Surfen auf dem Handy kein PHP aus?

Wegen des Orts, an dem PHP arbeitet. Das PHP-Handbuch erklärt, PHP unterscheide sich von clientseitigen Sprachen wie Javascript dadurch, dass der Code auf dem Server ausgeführt wird und dort HTML erzeugt, das an den Client gesendet wird. Der Client erhält nur das Ergebnis.

Der Browser deines Handys ist dieser Client. Er bekommt das HTML, nicht das PHP, das es erzeugt hat. PHP2Shell zu beheben ist deshalb Sache des Betreibers der Website.

Der Hinweis erwähnt weder iOS noch Android, und dieser Ratgeber behauptet nichts darüber, welche Software in den beiden steckt. Was die Quellen hergeben, ist enger: Der Hinweis betrifft PHP, das Webanfragen verarbeitet, und ein Handy, das eine Seite liest, ist der Empfänger.

Kann eine gehackte Website trotzdem Probleme auf dem Handy machen?

Ja, auf andere Weise, und ein Punkt betrifft Handys besonders. Google schreibt in seinen Richtlinien für Websitebetreiber, Hacker könnten schädlichen Code einschleusen, der einige Nutzer zu schädlichen Seiten oder Spamseiten weiterleitet, und welche Weiterleitung erfolgt, könne vom Referrer, vom User-Agent oder vom Gerät abhängen. Eine gehackte Seite kann sich auf deinem Handy also anders verhalten als auf dem Laptop.

Was eine gehackte Seite tun kann, wie Browserwarnungen aussehen und was du tust, wenn du schon irgendwo ein Passwort eingegeben hast, steht in Kann eine gehackte Webseite dich beim Besuch hacken? Für deine Konten bei Diensten, die du nutzt, lies Persönliche Daten gehackt?

Wie aktualisiere ich mein iPhone?

Apple schreibt, eine der wichtigsten Maßnahmen für die Sicherheit deines Apple-Produkts sei, die Software auf dem neuesten Stand zu halten. Das ist keine Korrektur für PHP2Shell, sondern gute Praxis, die auch das BSI empfiehlt.

  1. Sichere dein iPhone mit iCloud oder deinem Computer.
  2. Schließ es an die Stromversorgung an und verbinde es mit dem WLAN.
  3. Öffne Einstellungen > Allgemein > Softwareupdate.
  4. Ist ein Update verfügbar, tipp auf „Laden und installieren“ und folge den Anweisungen.

Für automatische Updates geh zu Einstellungen > Allgemein > Softwareupdate > Automatische Updates und aktiviere die automatische Installation. Laut Apple lädt und installiert das iPhone Updates dann über Nacht, während es geladen wird und mit dem WLAN verbunden ist, und du erhältst vorher eine Mitteilung.

Wie aktualisiere ich ein Android-Handy?

Deine Version siehst du in den Einstellungen unter „Über das Telefon“ > „Android-Version“: Dort stehen Android-Version, Android-Sicherheitsupdate, Google Play-Systemupdate und Build-Nummer.

  1. Verbinde das Handy mit dem WLAN und lad es auf mindestens 75 %, denn Updates können groß sein.
  2. Öffne Einstellungen > System > Softwareupdates.
  3. Prüf dort den Status und folge der Anleitung auf dem Bildschirm.

Google schreibt, die Verfügbarkeit von Updates variiere je nach Gerät, Hersteller und Mobilfunkanbieter. Auf einem Handy, das kein Pixel ist, kann das Menü also anders heißen.

Woher sollte ich Apps beziehen?

Aus den offiziellen Stores, und auch Apps solltest du aktuell halten. Das BSI rät, auch die Programme auf dem Smartphone bei Updates im Blick zu behalten und Updates möglichst rasch zu installieren, sobald sie verfügbar sind.

Auf dem iPhone kommen Apps aus dem App Store, und laut Apple werden dort 100 % aller Apps automatisch auf Schadsoftware geprüft. Auf Android prüft Google Play Protect laut Google deine Apps und Geräte auf schädliches Verhalten. Ob es aktiv ist, siehst du im Play Store: Tipp rechts oben auf dein Profilsymbol, dann auf Play Protect und „Einstellungen“, und prüf, ob „Apps mit Play Protect scannen“ aktiviert ist.

Wo Failshot passt

Auf dem Mac ist Failshot eine zweite Sicherheitsebene. Dein Passwort ist die erste Ebene, Failshot ist die Ebene danach, für den Moment, in dem sich jemand an deinen Mac setzt und ihn entsperrt. Ist es eingeschaltet, fotografiert es die Person, die deinen Mac entsperrt, nimmt mit Pro danach ein 5-Sekunden-Video auf, und sein Fenster sagt der Person, dass die Entsperrung fotografiert wurde. Zum Ausschalten oder Beenden über sein Menü braucht es Touch ID oder deine Failshot-PIN und deine Antwort, nie dein Mac-Passwort.

Die Mac-App ist ein kostenloser Download von failshot.app, ab macOS 14. Kostenlos nutzbar. Pro fügt Video, E-Mail-Warnungen und den verschlüsselten Tresor hinzu. Teste Failshot Pro für den Mac 7 Tage kostenlos auf failshot.app. Deine Karte wird bei der Anmeldung hinterlegt und am 8. Tag belastet, wenn du nicht vorher kündigst. Die App ist auf Englisch. Versionen für iPhone, Android und Windows folgen bald.

Weitere Fragen

Gibt es ein PHP2Shell-Update für iPhone oder Android?

Der PHP-Hinweis erwähnt keins. Stand 23. Oktober 2026 besteht seine Korrektur aus neuen PHP-Versionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Handysoftware nennt er nicht. Installiere die Updates von Apple und Google trotzdem, sobald sie kommen, egal was sie abdecken.

Mein Handy bekommt keine Updates mehr. Muss ich mir wegen PHP2Shell Sorgen machen?

PHP2Shell betrifft Server, das ist also nicht der Grund. Der allgemeine Rat bleibt: Das BSI weist darauf hin, dass Anbieter Aktualisierungen oft nur für einen gewissen Zeitraum bereitstellen, und rät bei Produkten ohne Updates zu prüfen, ob du auf ein anderes wechseln kannst.

Betrifft PHP2Shell meinen Mac oder Laptop?

Das hängt davon ab, ob PHP darauf installiert ist, eine andere Frage als beim Handy. Betrifft die PHP-Sicherheitslücke meinen Mac? zeigt, wie du das im Terminal prüfst.

Sollte ich Websites meiden, bis das behoben ist?

Weder der PHP-Hinweis noch die BSI-Warnung fordern die Öffentlichkeit dazu auf. Ihr Rat richtet sich an alle, die PHP betreiben: aktualisieren. Als Besucher gilt die übliche Vorsicht, vor allem bei Downloads und Anmeldeseiten.

Quellen