PHP2Shell: Kritische PHP-Sicherheitslücke und warum Wartung jetzt zählt

Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates veröffentlicht. Der Grund sind zwei kritische Sicherheitslücken im Kern von PHP, die inzwischen unter dem Namen PHP2Shell bekannt sind. Sie erlauben Angreifern, über eine präparierte Anfrage eigenen Code auf dem Webserver auszuführen, ganz ohne Login. Weil PHP unter einem großen Teil aller Websites läuft, auch unter jeder WordPress-Seite, betrifft das sehr viele Unternehmen. Hier das Wichtigste in verständlicher Sprache, und was wir bei unseren Kundenprojekten gemacht haben.

Stand: 25. Oktober 2026. Die Lage entwickelt sich weiter, maßgeblich sind die Hinweise des PHP-Projekts.

Was genau passiert ist

Es geht um zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten (CVSS 4.0) als kritisch eingestuft. Vereinfacht gesagt: Die eine Lücke steckt darin, wie PHP mit vollem Arbeitsspeicher umgeht. Die andere lässt Daten einer Anfrage im Speicher zurück, die eine spätere Anfrage noch verwenden kann. In beiden Fällen kann ein Angreifer daraus Code auf dem Server ausführen.

Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Webanfragen beantworten, egal ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Am größten ist das Risiko bei mod_php: Dort genügt eine einzige Anfrage ohne Anmeldung, und der Angriff läuft, bevor die eigentliche Website überhaupt startet.

Wichtig für WordPress-Betreiber: Ein Update von Plugins, Theme oder WordPress selbst hilft hier nicht. Die Lücke sitzt eine Ebene darunter, in PHP auf dem Server.

Warum es diesmal besonders eilig war

Normalerweise werden solche Lücken still behoben und erst danach veröffentlicht. Diesmal sind die Details am 20. Oktober vorzeitig durchgesickert, bevor es überhaupt Updates gab. Das PHP-Projekt hat die Updates daraufhin vorgezogen und am 21. Oktober um 14:00 Uhr (UTC) veröffentlicht.

Die Angreifer waren schnell: Das Sicherheitsunternehmen watchTowr beobachtet seit dem 21. Oktober Angriffe im echten Betrieb. Palo Alto Networks (Unit 42) beschreibt einen Fall bei einer europäischen Behörde, in dem die Angreifer innerhalb von zwei Stunden nach dem Einbruch Passwort-Hashes und die Schlüssel für die Zwei-Faktor-Anmeldung erbeutet hatten. Im Internet zählt Unit 42 mehr als 22,6 Millionen erreichbare Installationen, die potenziell verwundbar sind.

Welche PHP-Versionen sicher sind

Die Lücken sind in diesen Versionen geschlossen:

• PHP 8.5.12 oder neuer
• PHP 8.4.27 oder neuer
• PHP 8.3.36 oder neuer
• PHP 8.2.35 oder neuer

Für PHP 8.1 und ältere Versionen gibt es vom PHP-Projekt keine offiziellen Updates mehr. Für 7.4, 8.0 und 8.1 hat das Sicherheitsteam lediglich Code-Korrekturen veröffentlicht, die Hoster selbst einbauen müssten. Noch ältere Versionen bekommen gar keine Korrektur. Wer noch auf einer solchen Version läuft, sollte auf eine aktuelle Version umsteigen. Auch PHP 8.2 bekommt nur noch bis 31. Dezember 2026 Sicherheitsupdates, der nächste Umstieg ist also schon absehbar.

Es gibt zwar Einstellungen, die einzelne Angriffswege erschweren. Das PHP-Projekt sagt aber klar: Keine davon macht eine Installation sicher, nur das Update hilft. Am 23. Oktober kam außerdem ein Hinweis zu einem weiteren, eher unwahrscheinlichen Angriffsweg über die Upload-Fortschrittsanzeige von Sessions (CVE-2026-115560). Bis zum nächsten regulären PHP-Update empfiehlt das PHP-Projekt, diese Funktion mit session.upload_progress.enabled=0 abzuschalten.

Was du als Website-Betreiber jetzt tun solltest

1. PHP-Version herausfinden: In WordPress steht sie unter Werkzeuge, Website-Zustand, Bericht, Server. Sonst findest du sie im Kundenbereich deines Hosters.
2. Auf eine gepatchte Version wechseln: Liegt deine Version unter den Nummern oben, stell im Hosting-Panel auf einen aktuellen Stand um oder frag deinen Hoster. Manche Hoster spielen Korrekturen ein, ohne die Versionsnummer zu ändern. Dann hilft nur eine kurze Nachfrage.
3. Alte Versionen ablösen: Läuft deine Seite noch auf PHP 8.1 oder älter, mach vorher ein Backup und prüfe, ob Theme und Plugins mit der neuen Version funktionieren.
4. Auf Spuren achten: Unbekannte Admin-Konten, neue Dateien auf dem Server oder plötzliche Weiterleitungen sind Warnzeichen. Dann lieber sofort einen Profi draufschauen lassen.

Wie wir das bei unseren Kundenprojekten gelöst haben

Mein Team und ich haben uns um alle Kundenprojekte in unserer Wartung gekümmert. Unsere Wartung liest bei jeder betreuten WordPress-Seite täglich die PHP-Version aus und meldet, wenn eine Version keine Sicherheitsupdates mehr bekommt. Deshalb wussten wir am Tag der Veröffentlichung sofort, welche Seite auf welcher Version läuft, und konnten gezielt nachziehen. Unsere Wartungskunden mussten dafür selbst nichts tun.

Ein Teil der Projekte war gar nicht betroffen: Websites und Plattformen, die wir mit modernen Frameworks wie Next.js oder Astro bauen, laufen ohne PHP.

Warum Wartung genau für solche Tage da ist

Sicherheitslücken kündigen sich nicht an. Diesmal wurden die ersten Angriffe beobachtet, kaum dass die Updates draußen waren. Wer seine Website nebenbei betreut, merkt so etwas oft erst, wenn es zu spät ist. Dazu kommt: Plugin-Updates allein reichen nicht, weil viele Risiken auf dem Server liegen. Und eine veraltete PHP-Version fällt niemandem auf, solange die Seite scheinbar normal läuft.

Eine laufende Website-Wartung sorgt dafür, dass jemand den Überblick hat: tägliche Überwachung, Updates mit Sicherung davor und ein verständlicher Monatsbericht, damit du siehst, was getan wurde. An Tagen wie dem 21. Oktober macht genau das den Unterschied.

Du weißt nicht, auf welcher PHP-Version deine Website läuft, oder es kümmert sich gerade niemand darum? Schreib mir oder buch dir ein kostenloses Erstgespräch. Ich schaue mir deine Seite an und sage dir ehrlich, was zu tun ist, auch wenn sie nicht von mir gebaut wurde.