Startseite › PHP-Sicherheitslücke

PHP-Sicherheitslücke „PHP2Shell“: Ist Ihre Website betroffen?

René Albrecht · Stand: 22. Oktober 2026

Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für zwei als kritisch eingestufte Schwachstellen veröffentlicht. PHP ist die technische Grundlage vieler Firmen-Websites, etwa mit WordPress, Joomla oder Shopware. Diese Seite fasst die offiziellen Angaben zusammen und zeigt, was Unternehmen jetzt prüfen sollten.

Zusammenfassung

Hintergrund

Am 20. Oktober 2026 hat das PHP-Projekt zwei Schwachstellen angekündigt, am 21. Oktober um 16 Uhr deutscher Zeit folgten die Updates. Die Schwachstellen haben die Kennungen CVE-2026-109618 und CVE-2026-109619 (Sicherheitshinweise des PHP-Projekts) und werden auch als „PHP2Shell“ bezeichnet. Beide sind nach CVSS 4.0 mit 9,2 von 10 Punkten als kritisch eingestuft. Das BSI hat eine Cybersicherheitswarnung herausgegeben, das britische NCSC empfiehlt ebenfalls, umgehend zu handeln.

Vereinfacht gesagt: Eine präparierte Anfrage kann PHP dazu bringen, mit Speicher zu arbeiten, der nicht mehr gültig ist. Darüber lässt sich unter Umständen eigener Code ausführen. Das geschieht, bevor die eigentliche Website-Software läuft. Login-Schutz oder Sicherheits-Plugins in WordPress greifen an dieser Stelle deshalb nicht.

Stand der Ausnutzung: Dem BSI lagen zum Zeitpunkt seiner Warnung (Version 1.1 vom 21.10.2026) keine bestätigten Ausnutzungen vor. Sicherheitsunternehmen, darunter Amazon Threat Intelligence und Cloudflare, berichten seitdem von Angriffsversuchen, laut Amazon erstmals am 17. Oktober (Übersicht bei Tenable). Solche Angriffe laufen in der Regel automatisiert. Kleine Websites sind daher ebenso betroffen wie große.

Wer ist betroffen?

Jede Website oder Anwendung, die mit PHP Anfragen aus dem Internet beantwortet. Typische Beispiele:

Egal ob die Website bei einem Webhoster liegt, auf einem eigenen Server oder bei einer Agentur. Technisch betroffen sind alle üblichen Varianten, PHP zu betreiben (PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed). Am höchsten ist das Risiko laut PHP-Projekt bei Apache mit mod_php.

Welche PHP-Version ist sicher?

Betroffene und sichere PHP-Versionen
PHP-VersionStandSicher ab
8.5unterstützt8.5.12
8.4unterstützt8.4.27
8.3unterstützt8.3.36
8.2nur noch bis 31.12.20268.2.35
7.4 bis 8.1veraltetkein offizielles Update, nur Quellcode-Korrekturen
5.4 bis 7.3veraltetkeine Korrektur, Wechsel nötig

Linux-Distributionen wie Debian, Ubuntu oder Red Hat liefern oft eigene Pakete, in denen der Fehler behoben ist, ohne dass sich die Versionsnummer passend ändert. Dort zählt der Sicherheitshinweis des Herstellers.

Was Sie jetzt tun sollten

Website liegt bei einem Webhoster

  1. PHP-Version nachsehenIm Kundenmenü Ihres Hosters, meist unter „PHP-Einstellungen“ oder „PHP-Version“. In WordPress steht sie unter Werkzeuge › Website-Zustand › Bericht › Server.
  2. Auf eine aktuelle Version stellenAm besten PHP 8.4 oder 8.3. Steht noch 7.x, 8.0 oder 8.1 drin, vorher prüfen, ob Website und Plugins damit laufen, sonst ist die Seite nach der Umstellung weg.
  3. Beim Hoster nachfragenOb der Server bereits den Sicherheitsstand vom 21. Oktober hat. Eine kurze E-Mail genügt, die Antwort heben Sie auf.

Eigener Server oder VPS

  1. Alle PHP-Installationen findenAuch die in Docker-Containern. Achtung: Die Version auf der Kommandozeile (php -v) kann eine andere sein als die, die der Webserver nutzt.
  2. Aktualisieren und neu startenPakete der Distribution einspielen bzw. Container-Images neu bauen, danach alle PHP-Prozesse neu starten. Ohne Neustart läuft der alte Stand weiter.
  3. Logs ab dem 17. Oktober prüfenDa die Lücke schon vor dem Update angegriffen wurde, reicht Patchen allein nicht. Hinweise auf einen Einbruch: siehe unten.

Wenn das Update nicht sofort geht

Das PHP-Projekt nennt in seinen Sicherheitshinweisen Einstellungen, die das Risiko senken, aber ausdrücklich keinen vollständigen Schutz bieten. Sie überbrücken nur die Zeit bis zum Update:

Woran erkennt man einen Angriff?

Ein erfolgreicher Angriff fällt nicht unbedingt auf, die Website kann normal weiterlaufen. Mögliche Anzeichen nach der Analyse von Datadog Security Labs:

Einzelne dieser Meldungen beweisen noch keinen Einbruch. Bei Verdacht gilt aber: Server als kompromittiert behandeln, Zugangsdaten ändern (auch die Datenbank) und im Zweifel aus einer Sicherung von vor dem 17. Oktober neu aufsetzen. Voraussetzung dafür ist eine funktionierende Sicherung, mehr dazu unter Datensicherung, die im Ernstfall funktioniert.

Veraltete PHP-Versionen

Besonders kritisch ist die Lage dort, wo Websites seit Jahren nicht gepflegt wurden. Viele Firmen-Websites laufen noch auf PHP 7 oder 8.0, weil die Seite einmal gebaut wurde und dann einfach weiterlief. Für diese Versionen gibt es jetzt kein reguläres Update mehr. Und am 31. Dezember 2026 endet auch die Unterstützung für PHP 8.2.

Für viele kleine Firmen gibt es außerdem eine einfachere Lösung: eine Website ganz ohne PHP. Diese Seite hier besteht nur aus fertigen HTML-Dateien, ohne Datenbank und ohne Plugins. PHP2Shell betrifft sie nicht, und regelmäßige CMS-Updates entfallen. Wenn Ihre Website hauptsächlich informiert und keinen Shop braucht, ist das oft die sicherere und günstigere Wahl.

So helfe ich Ihnen

Sie wissen nicht, welche PHP-Version Ihre Website nutzt, oder haben keine Zeit, sich darum zu kümmern? Dann übernehme ich das, per Fernwartung oder mit Zugang zu Ihrem Hosting:

  1. PrüfenWelche PHP-Version läuft, ist der Sicherheitsstand vom 21. Oktober drauf, und wo läuft sonst noch PHP (Shop, Portal, Intranet)?
  2. AbsichernUpdate einspielen oder beim Hoster umstellen. Wo das nicht sofort geht, setze ich die Übergangs-Einstellungen.
  3. Spuren suchenBei eigenen Servern sehe ich mir die Protokolle seit dem 17. Oktober an, bei WordPress die Benutzer und auffällige Dateien.
  4. Schriftlich festhaltenSie bekommen eine kurze Zusammenfassung: was geprüft wurde, was ich geändert habe, und was als Nächstes ansteht, etwa der Umstieg von einer veralteten PHP-Version.

Bestehende Website auf den aktuellen Stand bringen

Läuft Ihre Website noch auf PHP 7 oder 8.0, hilft das Sicherheitsupdate allein nicht. Dann muss die Website auf eine aktuelle PHP-Version umziehen, und dabei stolpern gerne alte Plugins, Themes oder selbst geschriebene Erweiterungen. Ich bringe Ihre bestehende Website auf den aktuellen Stand, ohne sie neu bauen zu müssen:

Beratung, wenn es hakt

Ihre Website hat eine Agentur gebaut, die nicht mehr erreichbar ist? Der Hoster schickt Warnungen, die keiner versteht? Oder Sie wollen eine zweite Meinung zu einem Angebot? Ich erkläre Ihnen verständlich, wo Ihre Website steht, was wirklich nötig ist und was es kostet. Mit Ihrem Hoster oder Ihrer Agentur spreche ich auf Wunsch auch direkt.

Kosten: 85 € pro Stunde im 15-Minuten-Takt, ohne Umsatzsteuer (Kleinunternehmer). Ich sage Ihnen vorher, womit Sie rechnen müssen. Größere Arbeiten wie ein Versionswechsel oder eine neue Website gibt es zum Festpreis nach Angebot. Das gilt genauso für das Aktualisieren einer bestehenden Website. Mein Angebot richtet sich an Unternehmen und Selbstständige.

Häufige Fragen

Meine Website liegt bei einem Webhoster. Muss ich trotzdem etwas tun?

Große Hoster spielen Sicherheitsupdates meist selbst ein. Verlassen sollten Sie sich darauf nicht: Prüfen Sie im Kundenmenü, welche PHP-Version Ihre Website nutzt, und stellen Sie auf eine aktuelle Version um. Läuft dort noch PHP 8.1 oder älter, ist jetzt der richtige Zeitpunkt für den Wechsel.

Reicht es, WordPress und alle Plugins zu aktualisieren?

Nein. Die Lücke steckt in PHP selbst, nicht in WordPress. Updates für WordPress, Joomla oder Shopware sind trotzdem sinnvoll, schließen diese Lücke aber nicht. Entscheidend ist die PHP-Version auf dem Server.

Welche PHP-Versionen sind sicher?

Laut PHP-Projekt sind die Lücken ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Linux-Distributionen liefern teils eigene Pakete mit anderer Versionsnummer, dort zählt der Sicherheitsstand des Herstellers. PHP 8.1 und älter bekommt vom PHP-Projekt kein offizielles Update mehr.

Hilft eine Web Application Firewall oder Cloudflare?

Cloudflare hat Regeln gegen bekannte Angriffsmuster bereitgestellt, bezeichnet sie selbst aber als Übergangslösung. Sie greifen außerdem nur, wenn Ihre Website tatsächlich über Cloudflare läuft. Das Update ersetzen sie nicht.

Was, wenn tatsächlich eingebrochen wurde?

Dann geht es ums Aufräumen: Server neu aufsetzen oder aus einer sauberen Sicherung wiederherstellen, Zugangsdaten ändern, Ursache schließen. Sind dabei personenbezogene Daten betroffen, etwa Kundendaten aus einem Shop oder Kontaktformular, kann eine Meldepflicht nach der DSGVO bestehen. Das klären Sie bitte mit Ihrem Datenschutzbeauftragten oder einem Anwalt, ich kümmere mich um die Technik.

Unsere Website ist alt. Müssen wir jetzt neu bauen lassen?

Meistens nicht. In vielen Fällen lässt sich eine bestehende Website aktualisieren und auf eine aktuelle PHP-Version umstellen. Ich sehe mir Ihre Seite an und sage Ihnen ehrlich, ob sich das Aktualisieren lohnt oder ob ein Neubau günstiger ist.

Ist diese Website auch betroffen?

Nein. digitalbrecht.de besteht aus fertigen HTML-Dateien und läuft ganz ohne PHP und ohne Datenbank. Für viele Firmen-Websites reicht genau das, und Schwachstellen in PHP spielen dann keine Rolle.

Quellen

Offizielle Stellen

Technische Analysen

Maßgeblich sind die Angaben des PHP-Projekts und des BSI. Die Lage kann sich weiterentwickeln; diese Seite wird bei wesentlichen Änderungen aktualisiert.