PHP2Shell: Was die PHP-Sicherheitslücke für Ihre Website bedeutet und was jetzt zu tun ist

Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Sicherheitsupdates für zwei kritische Lücken in PHP selbst veröffentlicht. Sicherheitsforscher und Presse nennen die beiden Lücken „PHP2Shell“. PHP ist die Programmiersprache hinter WordPress, WooCommerce, Laravel und einem großen Teil aller Firmenwebsites. Läuft Ihre Website mit PHP und wurde der Server nicht aktualisiert, kann ein Angreifer unter Umständen die Kontrolle darüber übernehmen, ohne sich anzumelden.

Die Lösung gibt es bereits, und das Update ist meist schnell eingespielt. Jetzt kommt es darauf an, dass jemand es tatsächlich auf dem Server installiert, auf dem Ihre Website läuft. Dieser Beitrag erklärt, worum es geht, wer für das Update zuständig ist, wie Sie Ihre Website prüfen und was als Nächstes zu tun ist.

Worum es bei der Sicherheitslücke geht

Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind auf der Schweregrad-Skala CVSS 4.0 mit 9,2 von 10 bewertet. Laut PHP-Projekt und CERT.at kann ein Angreifer speziell präparierte Anfragen an eine Website schicken und eigenen Code auf dem Server ausführen. Ein Passwort oder Benutzerkonto braucht er dafür nicht. Der Code läuft dann mit den Rechten des Webservers. Das bedeutet in der Regel Zugriff auf Ihre Website-Dateien und oft auch auf die Datenbank dahinter.

Technisch gesprochen kann PHP seinen Arbeitsspeicher in einem fehlerhaften Zustand hinterlassen, wenn eine Anfrage auf ungewöhnliche Weise endet. Eine spätere Anfrage kann diesen Zustand dann ausnutzen. Wichtig ist vor allem, wo das Problem liegt.

Stellen Sie sich Ihre Website als Haus vor. WordPress, Ihr Theme und Ihre Plugins sind die Räume und die Einrichtung. PHP ist das Fundament, auf dem alles steht. Die Lücke steckt im Fundament. Deshalb behebt ein Update von WordPress oder einem Plugin das Problem nicht. Cloudflare schreibt das ausdrücklich: Ein Update von Website-Code oder Plugins allein schließt diese Lücken nicht. Die PHP-Software auf dem Server muss aktualisiert werden.

Laut PHP-Projekt ist jede PHP-Installation betroffen, die Webanfragen beantwortet. Dazu gehören die gängigen Server-Konfigurationen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten schätzt das PHP-Projekt das Risiko bei Apache mit mod_php ein. Dort hat es einen Angriff vorgeführt, der greift, bevor überhaupt Code der Website läuft.

Vollständige Umgehungslösungen gibt es laut PHP-Projekt nicht. Manche Einstellungen verringern das Risiko auf bestimmten Angriffswegen. Sicher ist aber nur das Update.

Die Warnungen der Behörden fallen ungewöhnlich deutlich aus. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Bedrohung mit Warnstufe 3 (orange) eingestuft, die es als extrem hoch beschreibt. Laut ZDFheute riet das BSI Betreibern, Server im Zweifel vom Netz zu nehmen. Cloudflare berichtete, schon vor der offiziellen Veröffentlichung Angriffe auf Kunden beobachtet zu haben, nachdem Details vorzeitig durchgesickert waren.

Wer für das Update zuständig ist

Das hängt davon ab, wie Ihre Website gehostet ist. Meist spielen Sie das Update nicht selbst ein. Sie sollten aber wissen, wer es tut.

• Shared Hosting oder Managed WordPress Hosting: Ihr Hosting-Anbieter betreibt PHP für Sie und ist für die Installation der korrigierten Version verantwortlich. Bei vielen Anbietern wählen Sie die PHP-Version im Kundenmenü selbst aus. Prüfen Sie, ob die gewählte Version noch unterstützt wird.
• Website, die eine Agentur betreut: Verwaltet eine Agentur Ihren Server oder Ihr Hosting im Rahmen eines Wartungsvertrags, ist das Update ihre Aufgabe. Lassen Sie sich bestätigen, dass es erledigt ist.
• Eigener Server oder Cloud-Server: Zuständig ist, wer den Server betreibt. Das kann Ihre IT-Abteilung sein, ein externer IT-Dienstleister oder ein Freelancer, der den Server vor Jahren eingerichtet hat. Ist niemand eindeutig zuständig, klären Sie das als Erstes.
• Website-Baukästen und Shopsysteme wie Shopify oder Wix: Der Anbieter betreibt die gesamte Plattform samt Server-Software. Sie können das Update nicht selbst einspielen und müssen es auch nicht.

Cloudflare rät bei gehosteten Websites ebenso: Wenn Ihr Hosting-Anbieter PHP verwaltet, bitten Sie ihn, das Update einzuspielen.

So prüfen Sie Ihre PHP-Version

Läuft Ihre Website mit WordPress, sehen Sie die PHP-Version ohne technische Hilfsmittel im Adminbereich:

1. Melden Sie sich im WordPress-Dashboard an.
2. Gehen Sie zu Werkzeuge → Website-Zustand (englisch: Tools → Site Health).
3. Öffnen Sie den Reiter Bericht (Info).
4. Klappen Sie den Abschnitt Server auf und suchen Sie die Zeile „PHP-Version“.

Viele Hosting-Kundenmenüs zeigen die PHP-Version auch direkt auf der Übersichtsseite Ihres Tarifs.

Das PHP-Projekt hat korrigierte Versionen für die vier noch unterstützten Versionszweige veröffentlicht. Vor diesen beiden Lücken ist Ihre Version sicher, wenn sie der unten genannten Version entspricht oder innerhalb desselben Zweigs neuer ist:

PHP-Zweig	Erste korrigierte Version
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

Eine Einschränkung: Linux-Distributionen und manche Hosting-Anbieter spielen Sicherheitskorrekturen in ihre eigenen Builds ein, ohne die Hauptversionsnummer zu ändern. Ist Ihre Version niedriger als in der Tabelle, fragen Sie Ihren Anbieter, bevor Sie vom Schlimmsten ausgehen. Er kann Ihnen sagen, ob sein Build die Korrektur enthält.

PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine Updates mehr. Manche Distributionen und Anbieter von Langzeit-Support liefern für diese Versionen Korrekturen. Das PHP-Projekt hat außerdem minimale Korrekturen für 7.4, 8.0 und 8.1 veröffentlicht, für alle, die PHP selbst kompilieren. Es empfiehlt trotzdem den Umstieg auf eine unterstützte Version. Beachten Sie auch: Die Unterstützung für PHP 8.2 endet am 31. Dezember 2026.

Was Sie jetzt tun sollten

1. Prüfen Sie heute Ihre PHP-Version. Gehen Sie wie oben beschrieben vor und vergleichen Sie das Ergebnis mit der Tabelle.
2. Lassen Sie sich das Update von Hosting-Anbieter oder Agentur schriftlich bestätigen. Stellen Sie eine einfache Frage: „Wurde das PHP-Update vom 21. Oktober 2026 auf dem Server installiert, auf dem unsere Website läuft?“ Läuft Ihre Website mit PHP 8.1 oder älter, verlangen Sie gleich einen Plan für den Umstieg auf eine unterstützte Version. Am besten 8.3 oder neuer, damit Sie nicht in wenigen Wochen vor dem Support-Ende von 8.2 stehen.
3. Lassen Sie Ihren Onlineshop prüfen. Ein Shop verarbeitet Kundendaten und Zahlungen, es steht also mehr auf dem Spiel. Blieb Ihr Server nach dem 21. Oktober längere Zeit ohne Update, lassen Sie Hosting-Anbieter oder Agentur die Website-Dateien auf Änderungen prüfen, die niemand vorgenommen hat. Lassen Sie auch den Bestellvorgang testen, samt Zahlungsseite und aller Skripte, die sie lädt.
4. Ändern Sie Passwörter, wenn der Server lange ungeschützt war. Wurde das Update spät eingespielt oder lässt sich nicht feststellen, wann, ändern Sie die Passwörter für die WordPress-Administratorkonten, das Hosting-Kundenmenü, den FTP- oder SFTP-Zugang und die Datenbank. Dasselbe gilt für API-Schlüssel, die auf dem Server gespeichert sind, etwa für Zahlungsanbieter oder Newsletter-Tools.

Inzwischen hat das PHP-Projekt eine weitere, eigene Sicherheitsmeldung zu einem engeren Problem veröffentlicht, das nur ungewöhnliche Konfigurationen betrifft. Ihr Hosting-Anbieter oder Ihre Agentur sollte die offiziellen PHP-Meldungen weiter verfolgen, denn ein weiteres reguläres Update wird erwartet.

Was wir getan haben

Als das PHP-Update erschien, haben wir es auf allen Servern installiert, die wir für unsere Kunden betreuen.

Bei jeder Website, die wir warten, gehört die PHP-Version zur laufenden Wartung. Wir halten sie auf einem unterstützten Zweig, spielen Sicherheitsupdates ein und planen den Umstieg, bevor ein Zweig sein Support-Ende erreicht. Kunden mit Wartungsvertrag müssen für dieses Update nichts unternehmen.

Wissen Sie nicht genau, wer Ihren Server betreut, oder hat Ihr Hosting-Anbieter nicht geantwortet? Dann sehen wir uns das an. Fordern Sie einen kostenlosen Website-Check an oder schreiben Sie uns über das Kontaktformular. Wir prüfen, mit welcher PHP-Version Ihre Website läuft, sagen Ihnen klar, ob sie betroffen ist, und was als Nächstes zu tun ist. Wir antworten innerhalb eines Werktags.

Quellen

• PHP Group (php.net): Security advisory: Critical remote code execution vulnerabilities, update now, 21. Oktober 2026
• PHP Group (php.net): Upcoming Critical PHP Security Release, 20. Oktober 2026
• PHP Group (php.net): PHP 8.5.12 Released! (am selben Tag auch 8.4.27, 8.3.36 und 8.2.35), 21. Oktober 2026
• PHP Group (php.net): Informational advisory: Session upload progress, 23. Oktober 2026
• CERT.at: Kritische Sicherheitslücken in PHP - Updates verfügbar, 21. Oktober 2026
• CERT.at: Bevorstehendes kritisches PHP-Sicherheitsupdate, 20. Oktober 2026
• Cloudflare Blog: Cloudflare deploys protections against php2shell vulnerability, 21. Oktober 2026 (aktualisiert am 23. Oktober 2026)
• BleepingComputer (Sergiu Gatlan): PHP ships emergency patches for critical PHP2Shell flaws, 21. Oktober 2026
• ZDFheute: Sicherheitslücke bei PHP: Millionen Webseiten bedroht, 21. Oktober 2026