php2shell: Kritische PHP-Lücke – sind Sie betroffen?

Was ist passiert?

Am 20. Oktober 2026 kündigte das PHP-Projekt eine kritische Sicherheitsveröffentlichung an, am 21. Oktober folgten die Details und die reparierten Versionen. Beide Lücken stecken nicht in einem Plugin oder CMS, sondern in PHP selbst – der Programmiersprache, auf der ein großer Teil aller Websites läuft. Beide sind mit 9,2 von 10 Punkten (CVSS v4.0) als kritisch eingestuft.

• CVE-2026-109618: Wenn PHP der Arbeitsspeicher ausgeht, kann die Verarbeitung einer Anfrage mitten in der Vorbereitung abbrechen. Beim Aufräumen werden halb angelegte Daten dann als gültig behandelt.
• CVE-2026-109619: Interne Daten einer Anfrage können übrig bleiben, nachdem ihr Speicher schon freigegeben wurde. Eine spätere Anfrage an denselben PHP-Prozess greift dann auf diese veralteten Daten zu.

Beides lässt sich so ausnutzen, dass ein Angreifer eigenen Code auf dem Server ausführt. Laut Help Net Security genügt dafür eine einzige Anfrage ohne Anmeldung, und der Angriff greift, bevor überhaupt der Code Ihrer Website ausgeführt wird. Ein sicheres Passwort oder ein gut gepflegtes WordPress schützt in diesem Fall also nicht.

Bin ich betroffen?

Nach der Sicherheitsmeldung von php.net ist jede PHP-Installation gefährdet, die Webanfragen beantwortet – unabhängig davon, wie PHP eingebunden ist: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Am höchsten ist das Risiko bei mod_php.

Das BSI nennt als Beispiele für betroffene Produkte unter anderem WordPress, Drupal, TYPO3, Joomla, Magento und Nextcloud. Entscheidend ist aber nicht das System, sondern die PHP-Version auf dem Server. So finden Sie sie heraus:

• In WordPress: Werkzeuge › Website-Zustand › Reiter „Bericht” › Abschnitt „Server”.
• Im Kundenmenü Ihres Hosters: meist unter Einstellungen, PHP-Version oder Domain-Verwaltung.
• Auf dem eigenen Server: mit php -v auf der Kommandozeile. Achten Sie darauf, dass die Version des Webservers gemeint ist, nicht nur die der Kommandozeile.

Welche PHP-Versionen sind sicher?

PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates.

Für PHP 7.4, 8.0 und 8.1 hat das PHP-Projekt zwar minimale Korrekturen im Quellcode veröffentlicht, aber keine fertigen Versionen. Linux-Distributionen und Anbieter mit Langzeit-Support liefern teilweise eigene, abgesicherte Pakete. Wer noch auf PHP 7.x oder 8.0/8.1 unterwegs ist, sollte die Lücke als Anlass nehmen, umzusteigen – spätestens jetzt ist eine veraltete PHP-Version ein echtes Sicherheitsrisiko.

Wird die Lücke schon ausgenutzt?

Ja. Laut Help Net Security hat ein Köder-System von Amazon bereits am 17. Oktober 2026 einen Angriffsversuch registriert – vier Tage vor der Veröffentlichung. Cloudflare beobachtet ebenfalls Angriffsversuche und hat Schutzregeln in seiner Web Application Firewall freigeschaltet, nach eigener Aussage für alle Kunden, auch im kostenlosen Tarif. Das BSI hat am 21. Oktober zum sofortigen Update geraten, das britische NCSC empfiehlt, Systeme vom Netz zu nehmen, die sich nicht sofort aktualisieren lassen.

Am 22. Oktober kursierten zudem Hinweise, dass sich auch PHP 8.5.12 umgehen lassen könnte. Bestätigt ist das bislang nicht (Borns IT-Blog). Behalten Sie die Meldungen von php.net in den nächsten Tagen im Blick.

Umsetzungsplan: diese Maßnahmen jetzt ergreifen

Arbeiten Sie die Punkte in dieser Reihenfolge ab. Die Details zu jedem Schritt stehen im Abschnitt darunter.

Sofort

1. PHP-Version jeder Website feststellen – in WordPress unter Werkzeuge › Website-Zustand › Bericht › Server oder im Kundenmenü des Hosters.
2. Bei Webhosting: auf der Statusseite des Hosters prüfen, ob die Server aktualisiert sind. Bei eigenem Server: PHP-Pakete aktualisieren und alle PHP-Prozesse neu starten.
3. Lässt sich nicht sofort aktualisieren: die Übergangseinstellungen von php.net setzen (siehe unten) oder die Website vorübergehend vom Netz nehmen, wie es das britische NCSC empfiehlt.

Heute

4. Prüfen, ob die neue Version wirklich aktiv ist: Versionsnummer erneut abrufen, bei eigenen Servern auch Verwaltungsoberflächen wie Plesk.
5. Website nach dem Update testen: Startseite, Formulare, Warenkorb, Login.

In den nächsten Tagen

6. Auf Spuren eines Angriffs prüfen: unbekannte Administratorkonten, fremde PHP-Dateien im Upload-Ordner, unerwartet geänderte Dateien, Weiterleitungen.
7. Die Meldungen auf php.net verfolgen, falls weitere Korrekturen nötig werden.

Bis Jahresende

8. Websites auf PHP 8.1 oder älter auf eine aktuelle Version umstellen. PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Updates – auch hier den Wechsel einplanen.

Dauerhaft

9. Updates für PHP, CMS, Plugins und Themes regelmäßig einspielen und die Website überwachen lassen, damit die nächste Lücke nicht erst Tage später auffällt.

Die Maßnahmen im Detail

Wenn Ihre Website bei einem Webhoster liegt

Bei normalem Webhosting (Shared Hosting, Managed Hosting) aktualisiert der Hoster PHP. Laut Borns IT-Blog hatten mehrere große Anbieter am Morgen des 22. Oktober bereits aktualisiert oder waren dabei. Ihre Aufgaben:

1. PHP-Version Ihrer Seite prüfen – wie oben beschrieben.
2. Statusseite oder Kundeninformationen Ihres Hosters lesen. Dort steht, ob und wann die Server aktualisiert wurden.
3. Bei PHP 8.1 oder älter nachfragen, ob der Hoster diese Versionen abgesichert hat, und den Umstieg auf eine aktuelle Version einplanen. Testen Sie vorher, ob Ihre Plugins und Ihr Theme damit laufen.

Wenn Sie einen eigenen Server betreiben

1. PHP-Pakete Ihrer Distribution aktualisieren. Die Distributionen haben die Korrekturen vorab erhalten. Wer das Paketarchiv rpms.remirepo.net nutzt, sollte laut Help Net Security auf die Pakete der Distribution wechseln oder selbst kompilieren, weil es dort am Veröffentlichungstag keine Updates gab.
2. Alle PHP-Prozesse neu starten – PHP-FPM, Apache oder den jeweiligen Anwendungsserver. Ein installiertes Update wirkt erst, wenn die laufenden Prozesse ersetzt sind.
3. Verwaltungsoberflächen nicht vergessen. Laut Borns IT-Blog hat Plesk zunächst das PHP der Websites aktualisiert, nicht aber das PHP, mit dem das Panel selbst läuft.

Übergangslösung, wenn Sie nicht sofort aktualisieren können

php.net nennt Einstellungen, die bestimmte Angriffswege erschweren. Sie ersetzen das Update ausdrücklich nicht und machen eine Installation nicht sicher:

; php.ini oder Konfiguration des FPM-Pools
memory_limit = -1
post_max_size = 8M        ; 32M, wenn Datei-Uploads nötig sind
session.upload_progress.enabled = 0
; nur PHP 8.5
fatal_error_backtraces = 0

memory_limit muss so gesetzt werden, dass Anwendungen es nicht überschreiben können, etwa über php_admin_value in der FPM- oder Apache-Konfiguration. upload_max_filesize sollte unter post_max_size liegen. Danach müssen alle PHP-Prozesse neu gestartet werden.

Nach dem Update: auf Spuren prüfen

Weil schon vor der Veröffentlichung angegriffen wurde, lohnt nach dem Update ein Blick, ob jemand eingedrungen ist: neue, unbekannte Administratorkonten, unbekannte PHP-Dateien im Upload-Ordner, kürzlich geänderte Dateien, die Sie nicht selbst geändert haben, oder auffällige Weiterleitungen. Spielen Sie bei Verdacht nicht einfach ein Backup ein – war der Befall zum Zeitpunkt der Sicherung schon da, holen Sie ihn damit zurück.

Wir prüfen Ihre Website auf php2shell

Wenn Sie nicht wissen, auf welcher PHP-Version Ihre Seite läuft, Ihr Hoster sich nicht meldet oder Ihre Website seit dem Update Fehler zeigt: Wir prüfen das für Sie und sagen Ihnen, welche der Maßnahmen oben bei Ihnen noch offen sind.

Bei Problemen mit WordPress hilft die WordPress-Notfall-Diagnose für 99 € – mit Sicherung, Auslesen der Fehlerprotokolle und einem Festpreis-Angebot für die Reparatur. Für eine laufende Betreuung mit Updates und Überwachung gibt es unser Managed Hosting. Oder rufen Sie direkt an: 0 33 41 - 35 66 146.

Häufige Fragen

Was ist php2shell?

php2shell ist der Name für zwei kritische Sicherheitslücken in PHP selbst, also in der Programmiersprache, auf der WordPress, TYPO3, Joomla, Shopware und viele andere Systeme laufen. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind mit 9,2 von 10 Punkten (CVSS v4.0) bewertet. Ein Angreifer kann darüber ohne Anmeldung Code auf dem Server ausführen. Das PHP-Projekt hat die Lücken am 21. Oktober 2026 mit neuen Versionen geschlossen.

Ist meine WordPress-Seite betroffen?

Betroffen ist nicht WordPress, sondern das PHP auf dem Server, auf dem WordPress läuft. Jede Website, die PHP für Webanfragen nutzt, ist gefährdet, bis der Server auf eine reparierte PHP-Version aktualisiert ist. Welche Version Ihre Seite nutzt, sehen Sie in WordPress unter Werkzeuge › Website-Zustand › Bericht im Abschnitt Server oder im Kundenmenü Ihres Hosters.

Auf welche PHP-Version muss ich aktualisieren?

Repariert sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere Versionen liefert das PHP-Projekt keine offiziellen Updates mehr. Dort helfen nur Rückportierungen der Linux-Distribution, eines Anbieters mit Langzeit-Support oder – am besten – der Umstieg auf eine aktuelle Version.

Muss ich als Kunde eines Webhosters selbst etwas tun?

Bei normalem Webhosting spielt der Hoster das PHP-Update ein. Mehrere große Hoster haben laut Berichten vom 22. Oktober 2026 bereits aktualisiert oder sind dabei. Prüfen Sie trotzdem die Statusseite Ihres Hosters und die PHP-Version Ihrer Seite. Läuft Ihre Seite noch auf PHP 8.1 oder älter, fragen Sie nach, ob Ihr Hoster dafür eine Absicherung bereitstellt, und planen Sie den Umstieg.

Wird die Lücke schon ausgenutzt?

Ja, es gibt Angriffsversuche. Laut Help Net Security hat Amazon einen Angriffsversuch bereits am 17. Oktober 2026 beobachtet, also vor der Veröffentlichung. Cloudflare berichtet ebenfalls von Angriffsversuchen und hat Schutzregeln für alle Kunden freigeschaltet. Das BSI hat am 21. Oktober empfohlen, sofort zu aktualisieren.