PHP2Shell: Kritische Sicherheitslücke in PHP – was Website-Betreiber jetzt tun müssen

Seit dem 21. Oktober 2026 gibt es Patches für zwei kritische Sicherheitslücken in PHP. In Fachmedien heißen sie „PHP2Shell“, in Anlehnung an Log4Shell. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Lage als orange ein: Maßnahmen müssen unverzüglich ergriffen werden. Betroffen ist praktisch jede Website, die mit PHP läuft, und das sind sehr viele. Hier erkläre ich, ob deine Seite dazugehört und was jetzt zu tun ist.

Was ist PHP2Shell?

PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft. Die beiden Lücken CVE-2026-109618 und CVE-2026-109619 sind mit 9,2 von 10 Punkten bewertet. Angreifer können damit aus der Ferne eigenen Code auf dem Webserver ausführen, ohne Passwort und ohne dass jemand etwas anklicken muss. Wer den Server übernimmt, kann die Website verändern, Kundendaten abgreifen, Schadsoftware verteilen oder den Server für weitere Angriffe nutzen.

Die Lücke steckt nicht in WordPress oder deinem Shop, sondern in PHP selbst. Ein Plugin-Update allein reicht deshalb nicht.

Ist meine Website betroffen?

Laut BSI sind alle bekannten PHP-Versionen verwundbar, zurück bis mindestens PHP 5. Das gilt für jede Art, wie PHP am Webserver betrieben wird: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Wenn deine Website mit einem dieser Systeme gebaut ist, läuft sie mit großer Wahrscheinlichkeit auf PHP:

• WordPress, inklusive WooCommerce
• Joomla, TYPO3 und Drupal
• Magento, Shopware und andere PHP-Shops
• Nextcloud und viele selbst gehostete Werkzeuge
• Individuell programmierte Seiten, Kundenportale und Formulare in PHP

Nicht betroffen sind Seiten, die gar kein PHP verwenden, etwa reine HTML-Seiten oder moderne Websites auf Basis von Node.js. Auch Baukästen wie Wix oder Squarespace musst du nicht selbst patchen, darum kümmert sich der Anbieter.

Welche PHP-Versionen sind sicher?

Das PHP-Team hat am 21. Oktober 2026 folgende Versionen mit Fix veröffentlicht. Alles darunter gilt als verwundbar:

• PHP 8.5: ab Version 8.5.12
• PHP 8.4: ab Version 8.4.27
• PHP 8.3: ab Version 8.3.36
• PHP 8.2: ab Version 8.2.35
• Für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 gibt es Backport-Patches. Ob dein Hoster sie einspielt, musst du dort nachfragen.

Wichtig: Linux-Distributionen wie Ubuntu, Debian oder Red Hat bauen den Fix oft in ihre eigenen Pakete ein, ohne die Versionsnummer anzuheben. Eine scheinbar alte Versionsnummer kann also trotzdem sicher sein. Dann muss man die Paketversion mit dem Sicherheitshinweis der jeweiligen Distribution abgleichen.

Wer muss das Update einspielen?

• Shared Hosting (Webspace bei einem Hoster): Den Patch spielt in der Regel der Hoster ein. Prüfe trotzdem im Kundenmenü, welche PHP-Version für deine Seite eingestellt ist. Steht dort noch PHP 7 oder 8.0, läuft deine Seite auf einer Version, die keine regulären Updates mehr bekommt.
• Eigener Server, vServer oder Root-Server: Hier bist du selbst verantwortlich. Das Update kommt über die Paketverwaltung, danach müssen PHP-FPM beziehungsweise der Webserver neu gestartet werden. Ohne Neustart läuft weiter der alte Code.
• Docker-Container: Das Image muss neu gebaut oder aktualisiert und der Container neu gestartet werden. Ein Update am Host-System reicht nicht.
• Agentur oder Freelancer betreut deine Seite: Frag konkret nach, ob und wann gepatcht wurde, und lass dir die PHP-Version nennen.

Am schnellsten findest du die Version im Kundenmenü deines Hosters oder im WordPress-Backend unter „Werkzeuge → Website-Zustand → Bericht → Server“. Auf einem eigenen Server zeigt der Befehl „php -v“ die Version der Kommandozeile. Die Version, die die Website tatsächlich ausliefert, kann davon abweichen.

Achtung bei PHP 8.2 und älter

Alle PHP-Versionen vor 8.2 haben ihr Lebensende bereits erreicht, und PHP 8.2 bekommt nur noch bis Ende 2026 Sicherheitsupdates. Wer jetzt nur notdürftig patcht, steht beim nächsten Fund wieder vor demselben Problem, dann aber ohne offiziellen Fix. Das BSI empfiehlt ausdrücklich, auf eine unterstützte PHP-Version umzusteigen. Bei älteren WordPress-Seiten mit vielen Plugins ist das nicht immer nur ein Klick: Themes und Plugins müssen dazu passen, sonst ist die Seite nach dem Umstieg weiß oder Formulare funktionieren nicht mehr.

Nicht nur Websites: auch NAS, Firewall und Router

PHP steckt auch in vielen Weboberflächen von Geräten. Laut BSI sind unter anderem Produkte von Synology, QNAP, OPNsense, pfSense, F5, Citrix NetScaler und Palo Alto zumindest teilweise betroffen. Wenn du ein NAS oder eine Firewall mit Weboberfläche betreibst, die aus dem Internet erreichbar ist, prüfe beim Hersteller, ob ein neues Firmware-Update bereitsteht.

Wurde meine Seite schon angegriffen?

Dem BSI sind bisher keine erfolgreichen Angriffe in der Breite bekannt, Ausnutzungsversuche werden aber bereits beobachtet. Eindeutige Erkennungsmerkmale gibt es nicht. Typische Anzeichen für einen kompromittierten Webserver sind:

• Neue oder veränderte PHP-Dateien, die niemand angelegt hat, zum Beispiel im Upload-Ordner
• Prozesse wie curl, wget oder eine Shell, die vom Webserver gestartet werden
• Auffällig viele Fehlermeldungen (HTTP 500) nach ungewöhnlichen Upload-Anfragen
• Plötzliche Weiterleitungen auf fremde Seiten, Spam-Inhalte oder Warnungen von Google

Wenn dir davon etwas bekannt vorkommt: Seite nicht einfach wiederherstellen und weitermachen, sondern erst prüfen lassen, ob noch ein Zugang für Angreifer offen ist.

Was ich für dich übernehme

Wenn du nicht sicher bist, ob deine Website betroffen ist, schau ich sie mir an. Remote für Betriebe in Österreich, Deutschland, der Schweiz und Liechtenstein, vor Ort in Vorarlberg und rund um den Bodensee:

• PHP-Version und Patchstand prüfen, beim Hoster oder direkt am Server
• PHP-Update einspielen und PHP-FPM, Apache oder Container sauber neu starten
• Umstieg von PHP 7.x, 8.0, 8.1 oder 8.2 auf eine unterstützte Version, inklusive Test von Theme, Plugins und Formularen
• Server auf Anzeichen eines Angriffs durchsehen
• Auf Wunsch laufende Betreuung, damit das beim nächsten Mal ohne dein Zutun passiert

Schreib mir einfach die Adresse deiner Website über das Kontaktformular, ich melde mich mit einer ehrlichen Einschätzung. Damit du dich beim nächsten Sicherheitsupdate nicht selbst kümmern musst, gibt es meine Website-Wartung: Updates, Sicherheitskontrollen und Backups laufen dann im Hintergrund.

Kurz zusammengefasst

PHP2Shell betrifft fast jede PHP-Website, von WordPress bis zum Onlineshop. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder ein entsprechend gepatchtes Paket deiner Linux-Distribution. Prüfe jetzt deine Version oder frag deinen Hoster. Und wenn deine Seite noch auf PHP 8.2 oder älter läuft, plane den Umstieg, bevor die nächste Lücke kommt. Stand dieses Artikels: 22. Oktober 2026, Quelle: BSI-Sicherheitshinweis 2026-297981-1232, Version 1.2.