PHP2Shell: Was die aktuelle PHP-Sicherheitslücke für Ihre Website bedeutet

Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßig Sicherheitsupdates veröffentlicht. Sie schließen zwei kritische Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619, die unter dem Namen „PHP2Shell“ die Runde machen. Bewertet sind beide mit 9,2 von 10 möglichen Punkten – also im obersten Bereich.

PHP ist die Programmiersprache hinter einem Großteil aller Websites: WordPress, Joomla, TYPO3, viele Online-Shops und unzählige Eigenentwicklungen laufen damit. Kein Grund zur Panik – aber ein klarer Grund zu handeln.

Was ist passiert – in einfachen Worten

Der Fehler steckt in PHP selbst, nicht in einem Plugin oder Theme. Unter bestimmten Bedingungen – etwa wenn der Arbeitsspeicher knapp wird oder Reste einer vorherigen Anfrage zurückbleiben – gerät PHP in einen ungültigen Zustand. Ein Angreifer kann das mit speziell präparierten Anfragen gezielt herbeiführen und dadurch eigenen Programmcode auf Ihrem Webserver ausführen. Dafür braucht er weder ein Passwort noch muss jemand irgendwo klicken.

Die zweite Lücke kann zusätzlich dazu führen, dass Daten aus anderen Anfragen preisgegeben werden – im ungünstigsten Fall Passwörter oder Zugangsschlüssel.

Was bedeutet das für Sie als Website-Besitzer?

Wer Code auf Ihrem Server ausführen kann, kann dort praktisch alles tun:

• Inhalte verändern, Schadsoftware oder gefälschte Login-Seiten einbauen
• Ihre Besucher auf fremde Seiten umleiten
• Kundendaten aus Formularen, Kundenkonten oder der Datenbank auslesen
• Spam über Ihren Server verschicken – mit der Folge, dass auch Ihre ganz normalen E-Mails auf Sperrlisten landen
• Ihren Server als Ausgangspunkt für weitere Angriffe nutzen

Die Folgen reichen von Warnhinweisen in Google über einen spürbaren Imageschaden bis zur Meldepflicht nach der DSGVO, wenn personenbezogene Daten abgeflossen sind – und zwar innerhalb von 72 Stunden.

Betroffen ist grundsätzlich jede Website, die PHP verwendet – unabhängig vom CMS und davon, wie gut Plugins und Themes gepflegt sind. Laut PHP-Team gilt das für alle gängigen Betriebsarten des Webservers. Nicht betroffen sind reine HTML-Seiten ohne PHP.

Bin ich betroffen – und wer muss handeln?

Geschlossen sind die Lücken ab diesen PHP-Versionen: 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Läuft Ihre Website noch auf PHP 8.1 oder älter, bekommt sie vom PHP-Projekt keine Updates mehr. Übergangsweise liefern manche Linux-Distributionen und Anbieter mit Langzeit-Support eigene Korrekturen – auf Dauer führt aber kein Weg an einem Wechsel auf eine unterstützte PHP-Version vorbei. Dabei sollte geprüft werden, ob Ihre Website damit fehlerfrei läuft.

Wer das Update einspielen muss, hängt von Ihrem Hosting ab:

• Klassisches Webhosting (Shared Hosting): PHP aktualisiert Ihr Hosting-Anbieter zentral für alle Kunden. Prüfen Sie dessen Statusseite oder Neuigkeiten, oder fragen Sie direkt nach. Welche PHP-Version Ihre Website nutzt, sehen Sie meist im Kundenbereich Ihres Hosters.
• Eigener Server oder VPS: Hier sind Sie bzw. Ihr Administrator selbst gefordert – Update sofort einspielen und anschließend alle PHP-Prozesse neu starten, damit die korrigierte Version auch tatsächlich verwendet wird.

Eine schnelle erste Einschätzung bietet unser kostenloser PHP-Schnellcheck: Er zeigt, ob Ihre Website eine veraltete PHP-Version nach außen verrät. Nicht jede Website gibt ihre Version preis – ein unauffälliges Ergebnis ist daher kein Beweis für ein aktuelles System.

Sollte ich meine Website vom Netz nehmen?

In den meisten Fällen: nein. Ist PHP auf Ihrem Server aktualisiert – durch Ihren Hoster oder Ihren Administrator –, ist die Lücke geschlossen. Die Website vom Netz zu nehmen, kostet Sie dann nur Besucher, Anfragen und Sichtbarkeit in Suchmaschinen.

Vorübergehend sinnvoll kann es dagegen sein, wenn

• Sie einen eigenen Server betreiben und das Update nicht innerhalb weniger Stunden einspielen können – vor allem bei Online-Shops, Kundenkonten oder sensiblen Daten,
• Ihre Website auf PHP 8.1 oder älter läuft, Ihr Anbieter keine Korrektur bereitstellt und Sie personenbezogene Daten verarbeiten, oder
• Sie Anzeichen eines Angriffs bemerken (siehe unten). Dann gilt: Website offline nehmen, Ursache klären, aus einer sauberen Sicherung wiederherstellen und alle Zugangsdaten ändern.

Wichtig: Ein Wartungsmodus Ihres CMS schützt nicht. Laut PHP-Team kann der Angriff ausgelöst werden, bevor überhaupt Programmcode Ihrer Website läuft. Ein Wartungsmodus in WordPress & Co. läuft aber selbst über PHP. Wirklich vom Netz ist eine Website nur, wenn sie auf Server- bzw. Hosting-Ebene deaktiviert wird oder eine einfache Wartungsseite ganz ohne PHP ausgeliefert wird.

Das PHP-Team nennt zwar einige Einstellungen, die das Risiko verringern – betont aber ausdrücklich, dass sie eine Installation nicht sicher machen. Der einzige sichere Weg ist das Update.

Nach dem Update: auf Spuren prüfen

Das Update schließt die Lücke – es entfernt aber nichts, was ein Angreifer vorher eingeschleust hat. Prüfen Sie deshalb in den nächsten Tagen:

• Gibt es unbekannte Benutzer mit Administratorrechten in Ihrem CMS?
• Sind neue oder kürzlich geänderte Dateien aufgetaucht, vor allem in Upload-Ordnern? PHP-Dateien haben dort nichts verloren.
• Leitet Ihre Website unerwartet weiter, zeigt fremde Inhalte oder warnt Google vor ihr?
• Gibt es Beschwerden über Spam von Ihrer Domain oder eine auffällig hohe Serverlast?
• Haben Sie eine funktionierende, aktuelle Sicherung Ihrer Website?

Wer einen eigenen Server betreibt und nicht sicher ist, ob vor dem Update etwas passiert ist, sollte vorsorglich Zugangsdaten und Schlüssel erneuern – von CMS und Datenbank bis zu eingebundenen Schnittstellen.

Jetzt prüfen: Schnellcheck und vollständiger Sicherheitscheck

Ob Ihre Website von PHP2Shell betroffen sein könnte, lässt sich in zwei Schritten klären:

• PHP-Schnellcheck – kostenlos, in Sekunden: Er zeigt, ob Ihre Website eine PHP-Version verrät und ob diese bereits gegen PHP2Shell abgesichert ist. Viele Websites halten ihre Version bewusst verborgen – dann gibt der Schnellcheck keine Entwarnung, sondern nur einen ersten Hinweis.
• Vollständiger Sicherheitscheck – der gründliche Blick von außen: Mit unserem eigenen Prüfwerkzeug durchleuchten wir Ihre Website so, wie es auch ein Angreifer tun würde: veraltete Software, Verschlüsselung, Sicherheitseinstellungen und den Schutz Ihrer E-Mails. Sie erhalten einen verständlichen Bericht mit konkreten Empfehlungen.

Beide Checks zeigen, welche Angriffsflächen Ihre Website nach außen bietet. Ob ein Angreifer bereits eingedrungen ist, lässt sich von außen allerdings nicht feststellen – dafür ist die Prüfung direkt auf dem Server nötig, wie in der Checkliste oben beschrieben.

Fazit

PHP2Shell ist ernst zu nehmen, lässt sich aber mit einem Update zuverlässig schließen. Entscheidend ist, dass jemand dafür zuständig ist und es auch tut. Genau deshalb sind laufende Updates und technische Kontrollen fester Bestandteil unseres Website-Service.

Sie sind unsicher, ob Ihre Website betroffen ist? Starten Sie mit dem kostenlosen PHP-Schnellcheck, lassen Sie Ihre Website mit unserem Sicherheitscheck gründlich prüfen – oder sprechen Sie uns direkt an.

Stand: 22. Oktober 2026. Quellen: Sicherheitshinweis des PHP-Projekts auf php.net sowie die Cybersicherheitswarnung des BSI.