PHP-Sicherheitslücke PHP2Shell: Was Betriebe mit eigener Website jetzt tun sollten

Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Sicherheitslücken veröffentlicht, die unter dem Namen PHP2Shell bekannt sind. Angreifer können damit ohne Passwort eigenen Code auf einem Webserver ausführen. Betroffen sind die PHP-Versionen von 5.4 bis 8.5. Läuft Ihre Website mit PHP, zum Beispiel mit WordPress, TYPO3 oder Shopware, sollte Ihr Server noch heute auf eine sichere Version umgestellt werden.

Was ist passiert?

PHP ist die Programmiersprache, mit der die meisten Websites im Hintergrund arbeiten. Rund sieben von zehn Websites nutzen sie. In PHP selbst steckten zwei Fehler im Umgang mit dem Arbeitsspeicher. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind mit 9,2 von 10 Punkten als kritisch eingestuft.

Gefunden haben die Fehler im August 2026 Sicherheitsforscher der Firmen Calif und Wiz, unabhängig voneinander und mit Hilfe von KI-Modellen. Öffentlich wurde die Lücke am 20. Oktober. Das Update kam am 21. Oktober um 15:30 Uhr deutscher Zeit.

Angreifer waren schneller als manche Betreiber: Amazon hat einen ersten Angriffsversuch schon am 17. Oktober beobachtet, also vier Tage vor dem Update. Beispielcode für Angriffe war bereits vor dem Update im Umlauf. Einige Organisationen, darunter das Internet Archive, haben ihre Seiten vorsorglich kurz vom Netz genommen.

Ist meine Website betroffen?

Sehr wahrscheinlich, wenn eine dieser Aussagen zutrifft:

• Ihre Website läuft mit WordPress, TYPO3, Joomla, Contao, Shopware oder einem anderen System auf PHP-Basis.
• Ihre Agentur hat die Website mit PHP programmiert, zum Beispiel mit Laravel oder Symfony.
• Sie haben ein Hosting-Paket, bei dem im Kundenbereich eine „PHP-Version“ einstellbar ist.

Betroffen ist jeder Server, der mit PHP Anfragen aus dem Internet beantwortet. Am gefährlichsten ist laut dem PHP-Team die Einrichtung über „mod_php“ im Apache-Webserver. Aber auch PHP-FPM und andere Varianten sind verwundbar.

Nicht selbst handeln müssen Sie bei reinen Baukasten-Diensten wie Wix, Jimdo oder Squarespace. Dort ist der Anbieter für den Server zuständig.

Welche PHP-Versionen sind sicher?

Für PHP 7.4, 8.0 und 8.1 hat das PHP-Team nur Korrekturen im Quellcode veröffentlicht. Die helfen Ihnen nur, wenn jemand PHP selbst übersetzt. Läuft Ihre Website noch auf einer dieser Versionen, ist jetzt der Zeitpunkt für den Umstieg.

Was Sie heute tun sollten

1. Fragen Sie nach. Schreiben Sie Ihrem Hoster oder Ihrer Agentur: „Welche PHP-Version läuft auf unserer Website, und ist das Update für PHP2Shell eingespielt?“ Lassen Sie sich die Versionsnummer nennen.
2. Sehen Sie selbst nach. Bei den meisten Hosting-Paketen steht die PHP-Version im Kundenbereich unter Einstellungen zur Website oder zu PHP. Vergleichen Sie sie mit der Tabelle oben.
3. Betreiben Sie einen eigenen Server, etwa einen virtuellen Server oder Docker-Container, lassen Sie PHP-Pakete oder das Container-Image aktualisieren und den Dienst neu starten. Bei Docker heißt das: das Image neu herunterladen und neu bauen.
4. Läuft PHP 8.1 oder älter, planen Sie den Umstieg sofort. Bis dahin empfiehlt die IT-Sicherheitsstelle der EU, Systeme vom Internet zu trennen, wenn sie sich nicht aktualisieren lassen.
5. Prüfen Sie nach dem Update Ihre Website: Laden alle Seiten? Kommen Anfragen über das Kontaktformular an?

Reichen Notlösungen?

Für Techniker gibt es einige Einstellungen, die das Risiko senken, bis das Update läuft. Das PHP-Team und die IT-Sicherheitsstelle der EU sagen aber deutlich: Nur das Update schließt die Lücke vollständig. Ein Plugin-Update in WordPress reicht ebenfalls nicht, denn der Fehler steckt in PHP selbst und nicht in WordPress.

Woran merke ich, dass etwas nicht stimmt?

Typische Anzeichen nach einem Angriff sind unbekannte Dateien auf dem Server, neue Benutzerkonten im Redaktionssystem, Weiterleitungen auf fremde Seiten oder Warnungen Ihres Hosters. Nehmen Sie solche Hinweise ernst und lassen Sie die Website prüfen, bevor Sie einfach weitermachen. Ein Update schließt die Lücke, entfernt aber nichts, was ein Angreifer vorher hinterlassen hat.

Was das für die Zukunft heißt

PHP2Shell ist nicht das letzte Update dieser Art. Die Lücken wurden mit KI-Werkzeugen gefunden, und solche Werkzeuge werden besser. Wir rechnen damit, dass Sicherheitsupdates künftig häufiger und kurzfristiger kommen.

Für einen Betrieb heißt das: Eine Website braucht jemanden, der Updates im Blick hat. Wenn heute niemand sagen kann, wer bei Ihnen dafür zuständig ist, klären Sie das jetzt.

Klären Sie heute, wer bei Ihrer Website die Updates einspielt. Beim nächsten Notfall bleibt dafür keine Zeit.