PHP-Lücke „PHP2Shell“: Ist Ihre Website betroffen?

Am 21. Oktober 2026 hat das PHP-Projekt zwei schwere Sicherheitslücken geschlossen. Über sie können Angreifer ohne Passwort eigenen Code auf einem Webserver ausführen. PHP läuft hinter einem Großteil aller Websites, auch hinter jeder WordPress-Seite. Die kurze Antwort für Betriebe: Fragen Sie Ihren Hoster, ob PHP aktualisiert ist. Abgesichert sind die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 und alles danach.

Dieser Beitrag gibt den Stand vom 23. Oktober 2026 wieder.

Was ist passiert?

Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden unter dem Namen „PHP2Shell“ zusammengefasst. Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft. Ein einziger präparierter Aufruf genügt, um Code auf dem Server auszuführen, noch bevor die eigentliche Website überhaupt startet. Eine Anmeldung oder ein Klick des Opfers ist nicht nötig.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät, die Updates unverzüglich einzuspielen. Ein funktionierender Angriffscode ist bekannt, und Amazon hat bereits am 17. Oktober, vier Tage vor der Veröffentlichung, einen Angriffsversuch registriert. Eine erfolgreiche Ausnutzung in der Breite war dem BSI am 22. Oktober noch nicht bekannt.

Ist meine Website betroffen?

Betroffen ist jede Website, deren Server PHP ausführt. Dazu gehören WordPress, Joomla, TYPO3, Contao, Shopware und viele selbst programmierte Seiten. Es spielt keine Rolle, welche Plugins oder welches Theme Sie nutzen: Die Lücke steckt in PHP selbst.

Entscheidend ist deshalb, welche PHP-Version auf Ihrem Server läuft:

• PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer: abgesichert.
• Ältere Zwischenstände derselben Reihen, etwa 8.3.35: nicht abgesichert, hier fehlt das Update.
• PHP 8.1 oder älter: Das PHP-Projekt liefert für diese Versionen keine regulären Updates mehr. Manche Hoster und Linux-Distributionen haben die Korrektur trotzdem nachgerüstet. Ihre Seite sollte aber ohnehin auf eine aktuelle Version umziehen.

So prüfen Sie Ihre PHP-Version

• Mit WordPress: Im Dashboard unter Werkzeuge → Website-Zustand, Reiter Bericht, Abschnitt Server. Dort steht die PHP-Version.
• Im Kundenbereich Ihres Hosters: meist unter einem Punkt wie PHP-Einstellungen oder PHP-Version.
• Ohne Zugang: Fragen Sie Ihren Hoster oder die Agentur, die Ihre Seite betreut. Eine kurze Nachricht genügt.

Was Sie jetzt tun sollten

1. Hoster fragen oder Version prüfen. Viele große Hoster haben die Updates in den ersten Tagen eingespielt, teils auch für ältere Versionen. Läuft Ihre Seite auf einem eigenen Server, ist das Update Ihre Aufgabe oder die Ihres IT-Dienstleisters.
2. Ein WordPress-Update allein reicht nicht. WordPress, Plugins und Themes aktualisieren Sie wie gewohnt selbst, PHP liegt eine Ebene darunter, auf dem Server.
3. Alte Versionen umstellen lassen. Läuft noch PHP 8.1 oder älter, planen Sie den Umzug auf PHP 8.3 oder neuer. Auch PHP 8.2 bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates.
4. Nach dem Update kurz testen. Kontaktformular, Shop oder Terminbuchung einmal ausprobieren. Ein Versionswechsel kann ältere Plugins aus dem Tritt bringen.
5. Dranbleiben. Am 23. Oktober hat das PHP-Projekt eine weitere, deutlich engere Lücke gemeldet, die mit der nächsten regulären Version geschlossen wird. Bis dahin empfiehlt es eine Einstellung auf dem Server, die Ihr Hoster oder Dienstleister setzen kann.

Einstellungen, die in den ersten Tagen als Notlösung kursierten, ersetzen das Update nicht. Das PHP-Projekt sagt selbst: Nur das Update schließt die Lücken vollständig.

Auch Geräte im Büro können betroffen sein

PHP steckt nicht nur in Websites. Manche Netzwerkspeicher (NAS) und Firewalls nutzen es intern für ihre Bedienoberfläche. QNAP und Synology haben Sicherheitshinweise veröffentlicht, für die Firewalls pfSense und OPNsense gibt es Updates. Wenn Sie solche Geräte im Betrieb haben, lohnt ein Blick in die Update-Hinweise des Herstellers.

Sind Websites ohne PHP sicher?

Nicht automatisch. Wir bauen unsere Websites ohne PHP, doch das ist kein Schutzschild. Schwere Lücken gibt es in jeder Programmiersprache und in jedem System, auch in moderner Technik: Im Dezember 2025 wurde mit „React2Shell“ eine kritische Lücke in React bekannt, die auch das verbreitete Framework Next.js betraf. Wer Ihnen eine Technik als grundsätzlich sicher verkauft, verkauft Ihnen ein gutes Gefühl.

Sicher ist nicht, wer nie eine Lücke hat, sondern wer sie schnell schließt. Bei der Wahl eines Dienstleisters zählen deshalb andere Fragen:

• Gehören Updates zur Betreuung, oder müssen Sie selbst daran denken?
• Wie schnell wird gepatcht, wenn eine kritische Lücke bekannt wird?
• Wie viel Technik steckt in der Seite? Jedes zusätzliche Plugin ist eine weitere Stelle, die jemand aktuell halten muss.
• Gibt es Sicherungen, mit denen sich die Seite im Ernstfall wiederherstellen lässt?

Bei uns gehören Updates zur Betreuung: Die technische Aktualisierung ist Teil der monatlichen Servicegebühr, Sie müssen nicht wissen, was PHP ist.

Unsicher, wie es um Ihre Seite steht?

Schreiben Sie uns, auch wenn wir Ihre Website nicht gebaut haben. Schicken Sie den Link mit, dann sagen wir Ihnen, was sich von außen erkennen lässt und an wen Sie sich wenden sollten.

Quellen

• PHP-Projekt: Security advisory vom 21. Oktober 2026 und Nachtrag vom 23. Oktober
• BSI: Cybersicherheitswarnung zu PHP, Version 1.2 vom 22. Oktober 2026
• Help Net Security: PHP2Shell vulnerabilities patched (21. Oktober 2026)
• Borncity: PHP2Shell, Updates und Nachlese (22. Oktober 2026)
• Vercel: React2Shell, CVE-2025-55182 (3. Dezember 2025)