PHP2Shell: Kritische PHP-Sicherheitslücke – was Website-Betreiber jetzt tun sollten

In der Programmiersprache PHP sind zwei kritische Sicherheitslücken bekannt geworden: CVE-2026-109618 und CVE-2026-109619, zusammengefasst unter dem Namen „PHP2Shell“. Über sie können Angreifer unter Umständen ohne Zugangsdaten eigenen Code auf einem Webserver ausführen. Die Lücke steckt in PHP selbst und betrifft damit potenziell jede PHP-basierte Website, ganz gleich, ob WordPress, Joomla, TYPO3, ein Onlineshop oder eine selbst entwickelte Anwendung dahintersteht. Wir erklären, was bekannt ist und was Website-Betreiber jetzt tun sollten.

Stand: 21. Oktober 2026. Wir aktualisieren diesen Beitrag, sobald es neue Informationen gibt.

Was ist PHP2Shell?

PHP ist die Software auf dem Webserver, die die Programme einer Website ausführt. Rund drei Viertel aller Websites weltweit laufen damit, darunter jede WordPress-Seite. Die beiden Lücken liegen in der Speicherverwaltung von PHP. Mit speziell präparierten Anfragen, etwa über ein manipuliertes Datei-Upload-Formular, lässt sich PHP so aus dem Tritt bringen, dass Angreifer eigene Befehle auf dem Server ausführen können. Man spricht von Remote Code Execution (RCE).

Das PHP-Sicherheitsteam bewertet beide Lücken mit 9,2 von 10 Punkten auf der CVSS-Skala, also als kritisch. Im schlimmsten Fall können Angreifer Kundendaten abgreifen, Websites manipulieren, Schadsoftware ablegen oder den ganzen Server übernehmen. Der Name ist eine Anspielung auf Log4Shell, die große Java-Lücke aus dem Jahr 2021.

Warum ein WordPress-Update hier nicht hilft

Die Lücke greift, bevor WordPress oder ein anderes CMS überhaupt startet. Updates für WordPress, Plugins oder Themes, eine Sicherheits-Erweiterung oder ein starkes Passwort schützen deshalb nicht. Helfen kann nur ein Update der PHP-Version auf dem Server selbst. Das spielt in der Regel nicht der Website-Betreiber ein, sondern der Hosting-Anbieter oder wer den Server verwaltet.

Welche PHP-Versionen sind betroffen?

Nach bisherigem Stand sind alle PHP-Versionen seit PHP 5 verwundbar, egal ob PHP über Apache, PHP-FPM oder LiteSpeed läuft. Das PHP-Projekt hat am 21. Oktober 2026 außerplanmäßig Sicherheitsupdates veröffentlicht, aber nur für die Versionen, die noch gepflegt werden:

• PHP 8.5: behoben ab Version 8.5.12
• PHP 8.4: behoben ab Version 8.4.27
• PHP 8.3: behoben ab Version 8.3.36
• PHP 8.2: behoben ab Version 8.2.35 (Support endet am 31. Dezember 2026)
• PHP 8.1, 8.0, 7.x und älter: kein offizielles Update mehr

Gerade der letzte Punkt ist wichtig: Viele ältere Websites laufen noch auf PHP 7.4 oder 8.1, weil ein Plugin oder ein Theme mit neueren Versionen nicht zurechtkam. Diese Seiten bleiben dauerhaft angreifbar, bis sie auf eine aktuelle PHP-Version umgestellt sind.

Was Website-Betreiber jetzt tun sollten

• PHP-Version herausfinden: In WordPress steht sie unter Werkzeuge → Website-Zustand → Bericht → Server, ansonsten im Kundenbereich Ihres Hosters.
• Beim Hoster nachfragen: Lassen Sie sich bestätigen, dass die korrigierte PHP-Version auf Ihrem Webspace aktiv ist. Hoster mit Verwaltungsoberflächen wie Plesk oder cPanel erhalten die Updates teils etwas später als die offizielle Veröffentlichung.
• Veraltete PHP-Versionen umstellen: Läuft Ihre Website auf PHP 8.1 oder älter, planen Sie den Wechsel auf PHP 8.3 oder neuer. Testen Sie die Umstellung vorher, damit Plugins und Themes kompatibel sind.
• Eigene Server sofort aktualisieren: Betreiben Sie einen eigenen Server oder VPS, spielen Sie die PHP-Updates jetzt ein, starten Sie PHP-FPM bzw. den Webserver neu und prüfen Sie, dass die neue Version tatsächlich ausgeliefert wird. Docker-Images mit PHP müssen neu gebaut werden.
• Auffälligkeiten prüfen: Werfen Sie nach dem Update einen Blick auf die Server-Logs und auf neue oder veränderte PHP-Dateien im Webverzeichnis. Ein aktuelles Backup sollte ohnehin vorhanden sein.

Websites in unserem Webhosting

Für die Websites, die wir für unsere Kunden hosten und betreuen, kümmern wir uns um die PHP-Updates und prüfen, ob noch veraltete PHP-Versionen im Einsatz sind. Wo das der Fall ist, melden wir uns bei Ihnen und stimmen die Umstellung auf eine aktuelle Version mit Ihnen ab. Sie müssen in diesem Fall nichts weiter unternehmen. Mehr zu unserem Hosting lesen Sie auf der Seite Webhosting.

Ihre Website läuft woanders?

Sie sind sich nicht sicher, welche PHP-Version Ihre Website nutzt, ob Ihr Hoster schon reagiert hat oder ob ein Wechsel auf eine neuere Version Ihre Seite beeinträchtigt? Wir prüfen das gerne für Sie und übernehmen bei Bedarf die Umstellung. Sprechen Sie uns an oder rufen Sie uns an unter 08124 5266096. Weitere Informationen finden Sie auf unserer Kontaktseite.

Quellen: Sicherheitshinweise des PHP-Projekts, Bundesamt für Sicherheit in der Informationstechnik (BSI) und heise online.