PHP-Lücke „PHP2Shell“: Ist meine Website betroffen und was muss ich jetzt tun?
⚠ Sicherheitswarnung
Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP selbst geschlossen, der Programmiersprache, auf der WordPress, Shopware, Joomla und die meisten Shops laufen. Angreifer können damit ohne Passwort Schadcode auf dem Server ausführen. Sicher bist du erst mit PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Läuft deine Seite noch auf PHP 8.1 oder älter, musst du jetzt handeln.
Was ist passiert?
Das PHP-Team hat zwei Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 veröffentlicht, in Fachkreisen „PHP2Shell“ genannt. Sie stecken nicht in einem Plugin oder Theme, sondern in PHP selbst. Deshalb ist fast jede Website betroffen, die auf einem Server mit PHP läuft, egal wie gut das CMS gepflegt ist.
Das BSI bewertet die Lücken mit 9,2 von 10 Punkten. Ein Angreifer braucht weder ein Konto noch einen Klick des Betreibers. Ein einziger präparierter Aufruf der Website kann reichen, um eigene Programme auf dem Server zu starten. Laut PHP-Team gibt es dafür bereits einen funktionierenden Nachweis, und Details waren schon vor dem Update im Umlauf.
Welche Websites sind betroffen?
Betroffen ist jede Installation, die Webseiten über PHP ausliefert. Das PHP-Team nennt ausdrücklich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed, also praktisch jedes übliche Hosting. Das höchste Risiko sieht es bei mod_php.
| Stand | |
|---|---|
| Typisch betroffen | WordPress, WooCommerce, Shopware, Joomla, TYPO3, Contao, Magento, Nextcloud |
| Sicher ab | PHP 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 |
| Kein offizielles Update mehr | PHP 8.1, 8.0, 7.4 und älter |
| Bewertung | CVSS 9,2 von 10 (BSI), Angriff ohne Login möglich |
| Nicht betroffen | Statische Websites ohne PHP auf dem Server |
Auch Geräte mit Weboberfläche können betroffen sein, zum Beispiel manche NAS-Systeme oder Firewalls, die intern PHP nutzen. Hier hilft nur das Update des Herstellers.
So prüfst du in fünf Minuten, ob deine Seite sicher ist
- ✓WordPress: Im Admin-Bereich unter Werkzeuge → Website-Zustand → Bericht → Server steht die PHP-Version.
- ✓Shopware: In der Administration unter Einstellungen → System → Systeminformationen.
- ✓Hosting-Kundenbereich: Bei IONOS, Strato, All-Inkl, Hetzner & Co. steht die PHP-Version meist in der Domain- oder Webspace-Verwaltung.
- ✓Vergleiche die Versionsnummer mit der Tabelle oben. Wichtig ist die letzte Zahl: 8.3.35 ist noch unsicher, 8.3.36 ist sicher.
Bei Shared Hosting spielt meist der Anbieter das Update ein. Viele haben das am 21. und 22. Oktober bereits erledigt, einige haben zur Vorsicht Upload-Funktionen oder Verwaltungsoberflächen kurz abgeschaltet. Verlass dich aber nicht darauf: Wenn im Kundenbereich eine alte Version eingestellt ist, bleibt sie oft genau so stehen.
Meine Seite läuft noch auf PHP 8.1 oder älter. Was jetzt?
Für diese Versionen veröffentlicht das PHP-Projekt keine fertigen Updates mehr. Manche Hoster und Linux-Distributionen liefern zwar nachgebesserte Pakete, ob deine Seite davon profitiert, weißt du aber nur nach Rückfrage. Der sichere Weg ist der Umstieg auf PHP 8.3 oder 8.4.
- ✓Vorher ein vollständiges Backup von Dateien und Datenbank anlegen.
- ✓CMS, Theme und Plugins aktualisieren. Alte Plugins sind der häufigste Grund, warum eine neue PHP-Version die Seite stört.
- ✓Im Hosting-Kundenbereich die PHP-Version umstellen und die Seite gründlich durchklicken: Startseite, Formulare, Warenkorb, Login.
- ✓Falls etwas klemmt: Version zurückstellen, Fehlermeldung notieren, Plugin tauschen oder Hilfe holen.
Achtung bei PHP 8.2: Diese Version erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wer jetzt umstellt, sollte direkt auf 8.3 oder 8.4 gehen.
Reicht eine Firewall oder ein Sicherheits-Plugin?
Nein. Firewalls wie die von Cloudflare und Sicherheits-Plugins können bekannte Angriffsmuster abfangen und verschaffen Zeit. Das PHP-Team betont aber ausdrücklich: Nur das Update schließt die Lücke vollständig. Die veröffentlichten Konfigurations-Tricks verringern das Risiko nur für einzelne Angriffswege.
Wenn deine Seite mehrere Tage ungepatcht online war, prüfe zusätzlich, ob sich etwas verändert hat: unbekannte Admin-Konten, neue PHP-Dateien im Upload-Ordner, merkwürdige Weiterleitungen oder plötzlich langsamer Server. Angreifer hinterlassen oft eine Hintertür, die auch nach dem Update weiter funktioniert.
Wie vermeide ich solche Notfälle in Zukunft?
Lücken in PHP, WordPress und Plugins kommen regelmäßig. Entscheidend ist, wie schnell jemand reagiert. Zwei Wege funktionieren dauerhaft:
- ✓Wartung mit festen Zuständigkeiten: Jemand prüft Updates zeitnah, spielt sie ein und testet danach die Seite.
- ✓Weniger Angriffsfläche: Eine statische, handcodierte Website führt beim Besuch gar kein PHP aus. Solche Lücken laufen dort ins Leere.
Wir prüfen PHP-Version, Updates und Spuren eines Angriffs und sagen dir ehrlich, was zu tun ist.
Häufige Fragen
Ist meine WordPress-Seite automatisch sicher, wenn WordPress aktuell ist?
Nein. Die Lücke steckt in PHP, nicht in WordPress. Auch eine komplett aktuelle WordPress-Installation ist angreifbar, solange der Server eine alte PHP-Version nutzt.
Muss ich selbst etwas tun, wenn mein Hoster PHP aktualisiert?
Prüfe die angezeigte Version im Kundenbereich. Hoster aktualisieren meist nur die unterstützten Versionen. Ist bei dir eine alte Version wie 7.4 oder 8.1 eingestellt, musst du selbst umstellen.
Wie erkenne ich, ob meine Seite schon angegriffen wurde?
Typische Anzeichen sind unbekannte Admin-Konten, neue oder veränderte PHP-Dateien, ungewollte Weiterleitungen und Spam-Seiten bei Google. Im Zweifel hilft ein Blick in die Server-Logs oder ein professioneller Check.
Betrifft das auch meinen Onlineshop?
Ja, wenn er mit PHP läuft, zum Beispiel WooCommerce, Shopware, Magento oder PrestaShop. Bei gehosteten Shop-Systemen wie Shopify kümmert sich der Anbieter um die Server.