PHP2Shell: die kritische PHP-Lücke, die fast jede Webseite betrifft
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell bekannt wurden. Das Besondere und Gefährliche daran: Die Lücken stecken nicht in einem einzelnen Plugin, sondern in PHP selbst, dem Fundament, auf dem WordPress, Joomla, TYPO3, PrestaShop und fast jeder Online-Shop laufen. Wer eine verwundbare PHP-Version einsetzt, ist potenziell angreifbar, egal welches System darüber liegt.
Wir erklären ruhig und verständlich, was dahintersteckt, warum ausgerechnet Sicherheits-Plugins hier an ihre Grenzen stoßen und welche drei Schritte Sie jetzt gehen sollten.
Was ist PHP2Shell?
Hinter dem Namen stehen zwei Schwachstellen: CVE-2026-109618 und CVE-2026-109619. Beide erlauben im schlimmsten Fall eine nicht angemeldete Codeausführung aus der Ferne, auf Englisch “unauthenticated remote code execution”. Im Klartext: Ein Angreifer braucht keine Zugangsdaten und kann über eine präparierte Anfrage eigenen Programmcode auf dem Server ausführen, der Ihre Webseite betreibt. Von dort ist der Weg zu Schadcode, Weiterleitungen, Spam-Versand oder gestohlenen Daten kurz.
Das PHP-Projekt bewertet beide Lücken mit einem CVSS-Wert von 9,2 von 10 (Version 4.0), die US-Behörde NVD führt sie mit 9,8 von 10 in der älteren Skala. Das ist die Kategorie “kritisch, sofort handeln”.
Warum das praktisch jede Webseite betrifft
PHP ist die Programmiersprache, die im Hintergrund läuft, sobald eine Seite nicht nur aus festen Dateien besteht. Genau das trifft auf die allermeisten Unternehmensseiten zu:
- WordPress und WooCommerce
- Joomla und VirtueMart
- TYPO3
- PrestaShop und andere Shop-Systeme
Weil die Lücke in PHP sitzt, spielt es keine Rolle, wie gut Ihr CMS oder Ihre Plugins gepflegt sind. Entscheidend ist allein die PHP-Version, die Ihr Hosting verwendet.
Die zwei Lücken, einfach erklärt
Sie müssen die Technik nicht im Detail verstehen, aber der Hintergrund hilft, die Dringlichkeit einzuordnen:
- CVE-2026-109618 (Speicher-Korruption): Geht dem Server mitten in einer Anfrage der Speicher aus, kann PHP die Anfrage nur halb aufgebaut abbrechen. Beim Aufräumen behandelt PHP diese unfertigen Daten dann fälschlich als gültig, und daraus lässt sich Codeausführung erzwingen.
- CVE-2026-109619 (alter Zustand im Speicher): Hier überlebt interner Zustand einer Anfrage, obwohl sein Speicher schon freigegeben wurde. Die nächste Anfrage, die vom selben PHP-Arbeitsprozess bearbeitet wird, kann diesen veralteten Zustand missbrauchen.
Beide wurden kurz vor dem offiziellen Patch öffentlich, und es gab bereits erste Angriffsversuche im Netz. Die gute Nachricht aus den Analysen von Sicherheitsforschern: Eine zuverlässige Ausnutzung gegen einen Standard-Server ist nicht trivial. In kontrollierten Laborumgebungen gelang die Codeausführung, bei normalen PHP-Installationen führte derselbe Test oft nur zu einem Absturz. Entwarnung ist das trotzdem keine, denn bei kritischen Lücken ist es eine Frage von Tagen, bis Angriffswerkzeuge zuverlässiger werden.
Der gefährliche Haken: Sicherheits-Plugins helfen hier kaum
Das ist der wichtigste Punkt für alle, die sich bisher auf ein Sicherheits-Plugin wie Wordfence verlassen haben. Das PHP-Projekt stellt klar: Bei der verbreiteten Serverkonfiguration Apache mit mod_php kann der Angriff ausgelöst werden, bevor WordPress oder Ihr CMS überhaupt geladen ist. Ein Plugin, das erst innerhalb von WordPress arbeitet, kommt dann schlicht zu spät.
Mit anderen Worten: Gegen PHP2Shell gibt es keine Abkürzung über ein Plugin. Der einzige verlässliche Schutz ist, PHP auf eine abgesicherte Version zu aktualisieren.
Was Sie jetzt tun sollten, in drei Schritten
1. PHP-Version prüfen
Jede dieser Versionen oder neuer ist abgesichert:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Betroffen ist alles davor, zurück bis PHP 5.4. Welche Version Sie fahren, sehen Sie meist im Kundenbereich Ihres Hosters oder im Backend Ihres Systems unter den Website-Informationen.
2. PHP aktualisieren
Läuft Ihre Seite auf PHP 8.2, 8.3, 8.4 oder 8.5, genügt das Update auf die oben genannte Fix-Version. Bei vielen Hostern ist das ein Klick, sollte aber nach einer Sicherung und mit einem kurzen Funktionstest erfolgen, damit Plugins und Erweiterungen weiter sauber laufen.
3. Alte PHP-Versionen: Branch-Wechsel nötig
Heikel wird es, wenn Sie noch PHP 8.1 oder älter einsetzen. Diese Zweige werden vom PHP-Projekt nicht mehr gepflegt und bekommen offiziell keinen Fix mehr. Hier reicht ein kleines Update nicht, Sie müssen auf einen aktuellen, unterstützten PHP-Zweig wechseln. Manche Hoster und spezialisierte Anbieter liefern für alte Versionen nachträgliche Sicherheitspatches, das sollten Sie gezielt erfragen.
Woran Sie erkennen, ob schon etwas passiert ist
Ein erfolgreicher Angriff hinterlässt oft Spuren: unerklärliche neue Dateien, veränderte .htaccess, fremde Administrator-Konten, plötzliche Weiterleitungen auf dubiose Seiten oder eine Warnung von Google. Wenn Ihnen so etwas auffällt, ändern Sie zunächst nichts weiter und sichern Sie keine überschreibenden Backups ein, damit die Spuren für die Analyse erhalten bleiben. Mehr dazu in unserem Leitfaden Webseite gehackt: Erste Hilfe.
Sie sind unsicher oder kommen nicht weiter?
PHP-Updates klingen nach einem Klick, können aber ältere Plugins oder individuelle Anpassungen aus dem Tritt bringen. Genau dafür sind wir da: Wir prüfen Ihre PHP-Version, spielen das Update kontrolliert und mit Sicherung ein, testen die Seite anschließend in allen Browsern und härten Ihr System nach. Und falls doch schon etwas passiert ist, bereinigen wir gehackte Seiten von Hand.
Schildern Sie uns kurz Ihr Anliegen über unser Kontaktformular oder rufen Sie an. Sie erhalten in der Regel innerhalb von 60 Minuten eine Einschätzung mit Festpreis, ohne Vorkasse.
Häufige Fragen
Bin ich betroffen, wenn meine Seite aktuell ist?
Es kommt nicht auf die Aktualität von WordPress, Joomla oder Ihren Plugins an, sondern allein auf die PHP-Version Ihres Hostings. Selbst eine topaktuelle Seite ist verwundbar, wenn PHP veraltet ist.
Schützt mich mein Sicherheits-Plugin?
Nicht zuverlässig. Bei der verbreiteten Konfiguration Apache mit mod_php greift der Angriff, bevor das Plugin überhaupt geladen ist. Der einzige echte Schutz ist das PHP-Update.
Mein Hoster bietet nur alte PHP-Versionen an. Was tun?
Dann sollten Sie entweder auf einen aktuellen PHP-Zweig wechseln oder Ihren Hoster nach nachträglichen Sicherheitspatches fragen. Bleibt beides aus, ist ein Serverumzug zu einem Anbieter mit gepflegten PHP-Versionen die sauberste Lösung. Dabei helfen wir Ihnen gern.
Muss ich etwas sichern, bevor ich PHP aktualisiere?
Ja. Legen Sie vor dem Update eine vollständige Sicherung von Dateien und Datenbank an. So können Sie im unwahrscheinlichen Fall eines Problems jederzeit zum vorherigen Stand zurück.