Seit dieser Woche ist „PHP2Shell“ in aller Munde. Hinter dem Namen stecken zwei kritische Sicherheitslücken im PHP-Interpreter selbst – also nicht in einem einzelnen Plugin, sondern in der Grundlage, auf der ein großer Teil aller Websites läuft. Entsprechend groß ist die Verunsicherung. Viele unserer Gesprächspartner fragen uns gerade: Ist unser Odoo betroffen?
Die kurze Antwort: Nein. Die längere Antwort lohnt sich trotzdem, denn kaum ein Unternehmen betreibt Odoo ganz allein.
Was ist PHP2Shell?
Nach einer Vorankündigung am 20. Oktober hat das PHP-Projekt am 21. Oktober 2026 Details und Updates zu zwei Schwachstellen veröffentlicht:
- CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-Wert von 9,2 (kritisch).
- Ein Angreifer kann damit unter bestimmten Bedingungen ohne Anmeldung Code auf dem Server ausführen – noch bevor die eigentliche Website-Anwendung überhaupt startet.
- Betroffen sind alle gängigen Betriebsarten, mit denen PHP Webanfragen verarbeitet (u. a. PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed).
- Angriffsversuche werden bereits beobachtet; das BSI hat eine Warnung herausgegeben.
Korrigierte Versionen: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und älter liefert das PHP-Projekt keine Updates mehr.
Weil PHP die Basis von WordPress, WooCommerce, Shopware, Magento, TYPO3, Joomla, Nextcloud und vielen weiteren Systemen ist, betrifft die Lücke einen sehr großen Teil des Internets.
Warum Odoo nicht betroffen ist
Odoo ist technisch ganz anders aufgebaut: Das System basiert auf Python, die Daten liegen in PostgreSQL, die Oberfläche entsteht mit JavaScript und den Odoo-eigenen QWeb-Vorlagen. Ein PHP-Interpreter kommt schlicht nicht vor – und wo kein PHP läuft, gibt es auch keine Angriffsfläche für PHP2Shell.
Das gilt durchgängig:
- für Odoo Community und Enterprise,
- für alle Versionen,
- für Odoo Online, Odoo.sh und eigene Server (On-Premise),
- und auch für individuell entwickelte Odoo-Module – diese werden ebenfalls in Python geschrieben.
Bei Odoo Online und Odoo.sh kommt dazu: Betrieb, Updates und Absicherung der Infrastruktur übernimmt Odoo selbst. Sie müssen sich hier nicht um Interpreter-Versionen auf Servern kümmern.
Für uns ist das ein gutes Beispiel dafür, warum eine schlanke, einheitliche Plattform auch ein Sicherheitsthema ist: Je weniger unterschiedliche Technologien zusammenspielen, desto kleiner die Angriffsfläche – und desto übersichtlicher die Wartung.
Wo Sie trotzdem hinschauen sollten
Odoo ist sicher – aber Odoo steht selten allein. In vielen Unternehmen hängen andere Systeme daran, und die laufen oft auf PHP:
- ein Webshop (z. B. WooCommerce, Shopware oder Magento), der Artikel und Lagerstände aus Odoo liest und Bestellungen zurückschreibt,
- die Firmenwebsite auf WordPress oder TYPO3,
- Nextcloud, Matomo oder Newsletter-Werkzeuge auf dem eigenen Server,
- Verwaltungsoberflächen wie Plesk, aber auch Firewalls oder NAS-Systeme mit Weboberfläche.
Wichtig dabei: Läuft so ein System auf demselben Server wie ein selbst betriebenes Odoo, ist der Server angreifbar – auch wenn Odoo selbst keine Lücke hat. Und hat ein angebundener Shop Zugangsdaten für Odoo gespeichert, könnte ein Angreifer diese im schlimmsten Fall mitnehmen.
Unsere Empfehlung in fünf Schritten
- Bestandsaufnahme: Welche Systeme rund um Odoo sind aus dem Internet erreichbar, und welche davon laufen auf PHP?
- PHP-Version prüfen: Sicher sind 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer. Bei gehosteten Systemen fragen Sie am besten direkt beim Hoster nach – die meisten haben bereits aktualisiert.
- Aktualisieren oder abschotten: Was sich nicht zeitnah aktualisieren lässt (z. B. alte PHP-7-Installationen), sollte vom Netz oder hinter eine Firewall.
- Schnittstellen absichern: Prüfen Sie in Odoo, welche Integrationsbenutzer und API-Schlüssel externe Systeme verwenden. Rechte auf das Nötigste beschränken – das ist ohnehin gute Praxis.
- Bei Verdacht handeln: Gibt es Hinweise auf einen Angriff auf ein angebundenes System, vergeben Sie die API-Schlüssel dieses Systems in Odoo neu und kontrollieren Sie die Zugriffe.
Fazit
PHP2Shell ist eine ernste Lücke – für Odoo-Anwender aber vor allem ein Anlass, das Umfeld ihres Systems anzusehen. Odoo selbst ist von dieser Lücke nicht betroffen. Wer Shop, Website und Schnittstellen im Blick hat, ist auf der sicheren Seite.
Sie sind unsicher, welche Systeme bei Ihnen mit Odoo verbunden sind oder ob Ihre Schnittstellen sauber abgesichert sind? Wir schauen uns das gerne gemeinsam mit Ihnen an – rufen Sie uns an unter +43 732 237227-0 oder schreiben Sie uns.
Hinweis: Dieser Beitrag gibt den Kenntnisstand vom 22. Oktober 2026 wieder und ersetzt keine individuelle Sicherheitsberatung. Maßgeblich sind die offiziellen Hinweise des PHP-Projekts (php.net) und des BSI.
Quellen:
- PHP-Projekt: Security advisory: Critical remote code execution vulnerabilities, update now sowie Release-Meldungen zu PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 (21.10.2026)
- Odoo-Dokumentation: Installation aus dem Quellcode (Odoo 19)
- Borns IT- und Windows-Blog: php2shell: PHP-Updates und Nachlese (22.10.2026)