PHP2Shell: Was die PHP-Sicherheitslücke für Ihre Website bedeutet

Was ist PHP2Shell?

PHP2Shell ist eine Angriffsmethode, die zwei Fehler im Kern der Programmiersprache PHP ausnutzt. Ein Angreifer schickt dabei eine präparierte Anfrage an die Website, ähnlich wie beim Absenden eines Formulars. Ein Login ist nicht nötig. Am Ende kann er eigene Befehle auf dem Server ausführen. Fachleute nennen das eine „Shell“, daher der Name.

Das PHP-Sicherheitsteam bewertet beide Lücken mit 9,2 von 10 Punkten, also als kritisch. Eigentlich sollten die Details erst mit den Updates bekannt werden. Sie sind aber am 20. Oktober vorzeitig durchgesickert. Am 21. Oktober um 16 Uhr deutscher Zeit kamen die Updates, und schon am Morgen davor meldete Cloudflare erste Angriffe.

Einfach erklärt: Warum das so ernst ist

Stellen Sie sich Ihre Website wie ein Geschäft vor. WordPress, Ihr Shop oder Ihr Kontaktformular sind die Einrichtung. PHP ist das Gebäude, in dem alles steht. Bei den meisten Sicherheitslücken geht es um ein schlechtes Schloss an einem Schrank, also um ein einzelnes Plugin. Diesmal ist das Problem die Eingangstür des Gebäudes. Deshalb hilft es nichts, wenn Ihre Einrichtung auf dem neuesten Stand ist.

Wer ist betroffen?

Kurz gesagt: fast jede Website, die mit PHP läuft. Laut PHP-Team betrifft es alle üblichen Arten, PHP auf einem Webserver zu betreiben, und laut Tenable reicht das zurück bis zu PHP 5.4 aus dem Jahr 2012. Typische Beispiele:

• Websites mit WordPress, auch mit Page-Buildern wie Elementor oder Divi
• Onlineshops mit WooCommerce, Shopware oder Magento
• Seiten mit Joomla, TYPO3, Contao oder Drupal
• Selbst gebaute Websites und Kontaktformulare, die PHP verwenden

Nicht direkt betroffen sind reine statische Websites ohne PHP, Baukästen wie Wix, Jimdo oder Squarespace und Mietshops wie Shopify, bei denen der Anbieter die Technik komplett selbst betreibt.

Was bedeutet das für Ihr Geschäft?

Eine übernommene Website ist nicht nur ein technisches Problem. Was auf dem Spiel steht, hängt davon ab, was Ihre Website für Sie leistet:

• Onlineshops: Hier liegen Kundenkonten, Adressen und Bestellungen. Angreifer können diese Daten abgreifen oder den Bezahlvorgang so verändern, dass Kartendaten mitgelesen werden. Fällt der Shop aus, fehlt jeden Tag Umsatz.
• Dienstleister, Handwerker und Praxen: Über Kontakt- und Terminformulare kommen Namen, Telefonnummern und oft auch persönliche Angaben herein. Eine gehackte Seite leitet außerdem häufig auf Spam um. Dann warnt Google vor Ihrer Website, und die Anfragen bleiben aus.
• Buchungs- und Kundenportale: Hier hängen Logins, Termine und Dokumente dran. Ein Angreifer mit Zugriff auf den Server kommt an all das heran.

Dazu kommt der Datenschutz: Werden personenbezogene Daten abgegriffen, müssen Sie das in vielen Fällen innerhalb von 72 Stunden der Datenschutzbehörde melden. Ein Update heute ist deutlich günstiger als Aufräumen, Meldepflichten und verlorenes Vertrauen danach.

Wie prüfe ich, ob meine Website sicher ist?

Sie müssen nur eine Zahl herausfinden: die PHP-Version, mit der Ihre Website läuft.

1. Im Kundenbereich Ihres Hosters. Bei den meisten Anbietern finden Sie die Einstellung unter „PHP-Einstellungen“ oder „PHP-Version“, oft direkt beim Vertrag oder bei der Domain.
2. In WordPress. Unter „Werkzeuge“ → „Website-Zustand“ → „Bericht“ → „Server“ steht die PHP-Version.
3. Über Ihre Agentur. Wenn eine Agentur Ihre Website betreut, fragen Sie dort nach. Die Antwort sollte innerhalb eines Tages kommen.

Vergleichen Sie die Zahl dann mit dieser Tabelle:

Steht im Kundenbereich nur „8.3“ ohne die letzte Zahl, sagt das noch nichts. Dann müssen Sie beim Hoster nachfragen, ob das Update schon eingespielt ist.

Was darf ich von meinem Hoster erwarten?

Das hängt davon ab, welche Art von Hosting Sie haben. Die Updates von PHP kommen nicht automatisch auf jeden Server. Jeder Hoster spielt sie nach seinem eigenen Zeitplan ein.

Webhosting-Paket (z. B. IONOS, Strato, All-Inkl)

Hier ist der Hoster für PHP zuständig. Bei einem Fehler dieser Größenordnung sollten Sie erwarten können, dass er die Updates sehr schnell einspielt, über eine Statusseite oder per E-Mail informiert und Ihnen auf Nachfrage sagt, ob Ihr Paket schon abgesichert ist. Manche Anbieter haben schon vor dem Update vorübergehende Schutzmaßnahmen eingerichtet.

Ihre Aufgabe: Prüfen Sie, welche PHP-Version für Ihre Website eingestellt ist. Steht sie auf 8.1 oder älter, schützt Sie auch ein aufmerksamer Hoster nicht, denn für diese Versionen kann er nur Notfall-Korrekturen einspielen, wenn überhaupt. Die Umstellung müssen Sie meist selbst im Kundenbereich auslösen.

Managed Hosting oder Betreuung durch eine Agentur

Wenn Sie für Wartung bezahlen, gehört so ein Update zum Kern der Leistung. Sie sollten innerhalb von ein bis zwei Tagen eine Rückmeldung bekommen, dass das Update eingespielt ist. Ohne Nachfrage hören Sie nichts? Dann fragen Sie nach.

Eigener Server (Root-Server, vServer, Cloud-Server)

Hier stellt der Anbieter nur die Hardware. Um PHP müssen Sie sich selbst kümmern, oder die Person, die den Server für Sie eingerichtet hat. Das betrifft auch Server mit Verwaltungsoberflächen wie Plesk, cPanel oder CloudPanel. Nach dem Update müssen PHP und der Webserver neu gestartet werden, sonst läuft weiter die alte Version.

Diese Nachricht können Sie Ihrem Hoster schicken

Guten Tag, wegen der PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (PHP2Shell): Ist für meine Website [Adresse] die PHP-Version bereits auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisiert? Wenn nicht: Bis wann ist das geplant? Vielen Dank.

Was tun, wenn das Update noch nicht da ist?

Das PHP-Team ist hier deutlich: Nur das Update schließt die Lücke. Es gibt ein paar Einstellungen, die das Risiko senken, etwa das Abschalten der Upload-Fortschrittsanzeige von PHP. Sie machen eine Website aber nicht sicher und lassen sich bei einem normalen Webhosting-Paket meist gar nicht ändern. Cloudflare blockt bekannte Angriffsmuster für alle Kunden, auch im kostenlosen Tarif. Das hilft aber nur, wenn Ihre Website schon über Cloudflare läuft.

Läuft Ihre Website auf einer alten PHP-Version und ein Update ist nicht in Sicht, empfiehlt CERT-EU, sie vom öffentlichen Netz zu trennen, bis sie gepatcht ist. Für einen Onlineshop ist das bitter. Aber eine übernommene Website, die Kundendaten abgreift oder Schadsoftware verteilt, ist deutlich teurer.

Woran merke ich, dass meine Website schon angegriffen wurde?

Die Angriffe laufen unterhalb von WordPress und hinterlassen dort oft keine Spuren. Achten Sie trotzdem auf diese Warnzeichen:

• Neue Administrator-Konten in WordPress, die Sie nicht angelegt haben
• Unbekannte Dateien auf dem Server, besonders PHP-Dateien mit seltsamen Namen
• Ihre Website leitet auf fremde Seiten um oder zeigt Werbung, die nicht von Ihnen ist
• Google oder Ihr Browser warnt vor Ihrer Website
• Ihr Hoster meldet ungewöhnlich viel Datenverkehr oder versendete Spam-Mails

Eine der beiden Lücken kann außerdem Daten aus fremden Anfragen auslesen, laut Sansec auch Passwörter und Zugangsschlüssel. Wenn Ihre Website länger ungeschützt war, ändern Sie nach dem Update sicherheitshalber die wichtigsten Passwörter: WordPress-Admin, Datenbank, FTP und den Zugang zum Kundenbereich Ihres Hosters.

Ihre Checkliste für heute

1. PHP-Version Ihrer Website herausfinden.
2. Mit der Tabelle oben vergleichen.
3. Bei 8.1 oder älter: Backup machen und auf PHP 8.3 oder neuer umstellen.
4. Beim Hoster nachfragen, ob das Sicherheitsupdate eingespielt ist. Die Nachricht oben können Sie kopieren.
5. WordPress, Plugins und Theme ebenfalls aktualisieren. Das schließt nicht diese Lücke, aber andere.
6. Nach Warnzeichen schauen und im Zweifel Passwörter ändern.

Wenn Ihnen das zu technisch ist oder Sie keine Zeit dafür haben: Schicken Sie uns kurz Ihre Daten. Wir prüfen, ob Ihre Website betroffen ist, und kümmern uns um das Update.

Häufige Fragen

Stand: 21. Oktober 2026. Wir aktualisieren diesen Artikel, sobald es neue Informationen gibt. Quellen: php.net, GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp, heise, Sansec, Tenable.