Sicherheit

Kritische PHP-Sicherheitslücke (php2shell): Was passiert ist und was Sie jetzt tun müssen

Von Jörg Bräutigam · 21. Oktober 2026

Kurzfassung: Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates veröffentlicht, die zwei kritische Sicherheitslücken schließen. Angreifer können damit aus der Ferne und ohne Anmeldung eigenen Code auf dem Server ausführen. Betroffen sind praktisch alle Webseiten, die mit PHP laufen, also auch WordPress, Joomla, Shopware und viele andere. Die einzige vollständige Lösung ist das Update. Prüfen Sie jetzt, welche PHP-Version Ihre Webseite verwendet.

Was ist passiert?

PHP ist die Programmiersprache, auf der ein Großteil aller Webseiten läuft, darunter WordPress, Joomla, Typo3, Shopware und viele individuelle Lösungen. Das PHP-Projekt hat am 20. Oktober 2026 eine kritische Sicherheitsveröffentlichung angekündigt und am 21. Oktober 2026 die korrigierten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereitgestellt.

Sie beheben zwei Schwachstellen, die als CVE-2026-109618 und CVE-2026-109619 geführt werden. Beide wurden vorab mit 9,2 von 10 Punkten (CVSS v4.0) bewertet, also als kritisch. Den Hintergrund liefert die offizielle Warnung: Das PHP-Team fordert alle PHP-Nutzer auf, sofort zu aktualisieren.

Nach Berichten von Sicherheitsfirmen waren technische Details bereits vor der Veröffentlichung durchgesickert. Unter dem Namen „php2shell“ kursieren Beschreibungen und angebliche Angriffsprogramme. Das Netzwerk-Unternehmen Cloudflare meldete laut Sansec erste Angriffe schon vor der offiziellen Freigabe. Sie sollten also nicht davon ausgehen, dass noch Zeit bleibt.

Wo liegt das Problem?

Beide Lücken stecken in PHP selbst, nicht in Ihrer Webseite, Ihrem Theme oder einem Plugin. Das macht sie so gefährlich: Selbst eine saubere, aktuelle Webseite ist betroffen, solange darunter eine ungepatchte PHP-Version läuft.

Laut PHP-Projekt funktionieren die Lücken so:

CVE-2026-109618 (Speicherbeschädigung bei Speichermangel): Wenn PHP während einer Anfrage zu wenig Arbeitsspeicher hat, kann es an einer ungünstigen Stelle unterbrochen werden. Interne Daten sind dann nur halb aufgebaut, werden beim Aufräumen aber als gültig behandelt. Das lässt sich zum Einschleusen von Code ausnutzen.
CVE-2026-109619 (veralteter interner Zustand): Interne Daten einer Anfrage können überleben, obwohl der zugehörige Speicher schon freigegeben wurde. Eine spätere Anfrage, die vom selben Prozess bearbeitet wird, kann diese veralteten Daten verwenden.

Was das für Sie bedeutet: Ein Angreifer kann ohne Passwort und ohne Zugang eine Anfrage an Ihre Webseite schicken und im schlimmsten Fall Programmcode auf Ihrem Server ausführen („Remote Code Execution“). Damit lassen sich Seiten manipulieren, Schadsoftware oder Spam verbreiten und Daten abgreifen. Anmeldeseiten und Sicherheits-Plugins helfen dagegen nicht, denn der Angriff trifft PHP, bevor Ihre Software überhaupt zum Zug kommt. Am höchsten schätzt das PHP-Team das Risiko bei Servern mit Apache und mod_php ein, dort kann der Angriff laut Advisory vor jedem Anwendungscode ausgelöst werden.

Welche PHP-Versionen sind betroffen?

PHP-Version	Status
8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer	repariert
8.5.11, 8.4.26, 8.3.35, 8.2.34 und ältere Unterversionen	verwundbar, Update nötig
PHP 8.1 und älter (auch 7.x und 5.x)	verwundbar und ohne offizielles Update. Das PHP-Projekt stellt nur technische Notlösungen für 7.4, 8.0 und 8.1 für Entwickler bereit

Zusätzlich gilt: PHP 8.2 erreicht am 31. Dezember 2026 das Support-Ende. Wer jetzt auf 8.2 aktualisiert, muss in wenigen Wochen erneut handeln.

Woran erkenne ich, ob meine Webseite betroffen ist?

PHP-Version herausfinden. Sie steht im Verwaltungsbereich Ihres Hosting-Anbieters (oft unter „PHP-Version“ oder „PHP-Einstellungen“). In WordPress finden Sie sie unter Werkzeuge → Website-Zustand → Info.
Mit der Tabelle oben abgleichen. Steht dort eine ältere Unterversion oder PHP 8.1 und älter, ist Ihre Seite angreifbar.
Achtung bei der Anzeige. Maßgeblich ist die Version, mit der Ihre Webseite tatsächlich ausgeliefert wird. Das kann von der Version abweichen, die auf dem Server in der Kommandozeile angezeigt wird.
Nicht sicher? Fragen Sie Ihren Hoster schriftlich, ob die korrigierte Version bereits eingespielt ist. Alternativ prüfe ich es für Sie (siehe unten).

Welche Lösungen gibt es?

1. Update einspielen (die richtige Lösung)

Das PHP-Team schreibt ausdrücklich: Nur ein Update ist eine vollständige Lösung.

Bei Shared Hosting: Sie können das Update meist nicht selbst installieren, das macht Ihr Hoster. Schreiben Sie ihm und fragen Sie, wann die Patches eingespielt werden. Steht in Ihrem Verwaltungsbereich eine neuere PHP-Version zur Auswahl, wählen Sie die aktuellste unterstützte.
Bei eigenem oder gemietetem Server: Das Update der Linux-Distribution einspielen und PHP vollständig neu starten. Linux-Anbieter haben die Korrekturen vorab erhalten. Achtung: Ein Berichtsdienst weist darauf hin, dass das beliebte Zusatz-Paketlager „Remi“ die Korrektur am Veröffentlichungstag noch nicht bereitgestellt hatte. In dem Fall auf Distribution-Pakete wechseln oder aus dem Quelltext bauen.
Kleine Updates innerhalb einer Version (z. B. 8.3.35 auf 8.3.36) sind in der Regel unkritisch. Bei größeren Sprüngen (etwa von 8.1 auf 8.3) können ältere Themes oder Plugins Probleme machen. Dann vorher testen.

2. Notmaßnahmen, wenn das Update noch nicht möglich ist

Diese Maßnahmen machen Ihre Seite nicht sicher, sie verringern nur einzelne Angriffswege. Sie sind für Betreiber eigener Server gedacht und gehören in die PHP-, FPM- oder Webserver-Konfiguration, nicht in die Webseite:

session.upload_progress.enabled = 0   ; Arbeitsprozesse danach neu starten
post_max_size = 8M                    ; 32M, wenn Datei-Uploads nötig sind
upload_max_filesize = 8M              ; muss unter post_max_size liegen
fatal_error_backtraces = 0            ; nur PHP 8.5

Außerdem empfiehlt das PHP-Team, Anfragegrößen zusätzlich am Webserver zu begrenzen. Manche Sicherheitsfirmen raten kurzfristig dazu, Datei-Uploads (multipart/form-data) komplett zu blockieren oder nur reine Lese-Anfragen zuzulassen. Das kann Formulare und Shops beeinträchtigen. Ein vorgeschalteter Schutzdienst (WAF) ist nur ein Behelf und greift nicht, wenn Ihr Server direkt erreichbar ist.

3. Alte PHP-Version: umziehen statt flicken

Läuft Ihre Seite auf PHP 8.1 oder älter, gibt es kein offizielles Update. Manche Linux-Anbieter liefern eigene Korrekturen für ältere Versionen, fragen Sie dort nach. Die dauerhafte Lösung ist der Wechsel auf eine unterstützte PHP-Version. Bei älteren Webseiten, Themes oder Plugins ist das oft aufwendig und kann etwas kaputt machen.

4. Nach dem Update: auf Spuren eines Angriffs achten

Weil Angriffe schon vor dem Patch beobachtet wurden, lohnt ein Kontrollblick:

Unbekannte Administrator-Konten oder Benutzer
Neue oder geänderte Dateien, die Sie nicht kennen, besonders im Upload-Ordner
Plötzliche Weiterleitungen, fremde Werbung oder Spam-Seiten in Google
Auffällige E-Mail-Versandmengen

Sicherheitsfirmen warnen außerdem, dass in ungünstigen Fällen Speicherinhalte des Servers ausgelesen werden könnten. Sind Sie unsicher, ändern Sie nach dem Update vorsorglich Passwörter und Zugangsschlüssel.

5. Langfristig: weniger Angriffsfläche

Der beste Schutz vor der nächsten PHP-Lücke ist, kein PHP mehr zu brauchen. Besteht Ihre Webseite im Kern aus Inhalten (Leistungen, Über uns, Kontakt, Blog), lässt sie sich schlank neu aufbauen: ohne PHP, ohne Datenbank, ohne Plugin-Updates. Eine solche Seite ist von Lücken wie dieser nicht betroffen, lädt schneller und kostet im Betrieb weniger. Mehr dazu unter Website-Relaunch.

Was ich für Sie tun kann

Ich prüfe Ihre Webseite auf PHP-Version und Patchstand, bewerte das Risiko und schlage Ihnen die passende Lösung vor, vom Update bis zum Neuaufbau. Schildern Sie mir im Erstgespräch kurz Ihre Webseite (System, Hoster, Anzahl der Seiten), dann sage ich Ihnen, wie dringend es bei Ihnen ist und was zu tun ist. Wenn Sie ohnehin über eine neue Seite nachdenken, schauen Sie bei Webseiten erstellen vorbei.

Quellen und Stand

Stand: 21. Oktober 2026. Die Lage entwickelt sich schnell, Angaben können sich ändern.

Sprechen wir über Ihre Webseite

Im Erstgespräch klären wir in 30 Minuten, was Ihre Webseite braucht. Unverbindlich und ohne Fachchinesisch.

Unverbindliches Erstgespräch buchen

← Zurück zum Blog