PHP-Sicherheitslücke "PHP2Shell": Was Betreiber einer Website jetzt tun sollten

Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt ausdrücklich davor und rät, die Updates sofort einzuspielen. Betroffen ist nicht Ihr PC, sondern der Server, auf dem Ihre Website läuft. Wer eine Website mit WordPress, Joomla, einem Shop-System oder einem Kontaktformular betreibt, nutzt mit großer Wahrscheinlichkeit PHP.

Was passiert ist

Die beiden Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619 und werden unter dem Namen "PHP2Shell" geführt. Sie sind mit 9,2 von 10 Punkten als kritisch eingestuft.

Vereinfacht gesagt: Mit einer präparierten Anfrage an die Website können Angreifer den PHP-Prozess durcheinanderbringen. Im schlimmsten Fall führen sie dann eigenen Programmcode auf dem Server aus oder lesen Daten aus anderen Anfragen mit, zum Beispiel Passwörter oder Anmeldesitzungen. Eine Anmeldung auf der Website brauchen sie dafür nicht.

Das BSI meldet bislang keine bestätigten Angriffe, aber unbestätigte Berichte über funktionierende Angriffswerkzeuge. Andere Stellen berichten bereits von ersten Angriffsversuchen. Sie sollten also nicht abwarten.

Bin ich betroffen?

Betroffen sind alle PHP-Versionen, die vor diesen Updates erschienen sind. Sicher sind diese Versionen und neuer:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Läuft Ihre Website noch auf PHP 8.1 oder älter, gibt es vom PHP-Team kein fertiges Update mehr, weil diese Versionen schon länger nicht mehr gepflegt werden. Manche Hoster spielen für alte Versionen eigene Korrekturen ein. Darauf verlassen sollten Sie sich nicht.

Eine Besonderheit: Linux-Systeme wie Debian oder Ubuntu verwenden eigene Versionsnummern. Dort ist nicht die Zahl entscheidend, sondern ob das Sicherheitsupdate des Herstellers eingespielt ist.

Was Sie jetzt tun sollten

1. Fragen Sie Ihren Hoster oder die Agentur, die Ihre Website betreut, ob die Updates für "PHP2Shell" eingespielt sind und auf welcher PHP-Version Ihre Seite läuft. Eine kurze E-Mail reicht.
2. Betreiben Sie einen eigenen Server, spielen Sie die Updates ein und starten Sie danach PHP-FPM bzw. den Webserver neu. Sonst laufen die alten Prozesse weiter. Prüfen Sie die Version über die Website selbst, nicht nur auf der Kommandozeile.
3. Läuft Ihre Seite noch auf PHP 8.1 oder älter, planen Sie den Umstieg auf eine aktuelle Version. Bei älteren WordPress-Installationen gehört dazu meist auch ein Update der Plugins.
4. War Ihre Seite mehrere Tage ohne Update im Netz, lassen Sie prüfen, ob unbekannte Dateien oder Benutzerkonten aufgetaucht sind, und ändern Sie die Passwörter für die Verwaltung der Website.

Kurz gesagt: Nicht Ihr Computer ist betroffen, sondern der Server Ihrer Website. Fragen Sie heute noch bei Ihrem Hoster nach, ob das Update eingespielt ist.

Was wir gemacht haben

Unsere eigenen Server haben wir am 21. und 22. Oktober aktualisiert. Sie laufen auf Versionen, in denen beide Lücken geschlossen sind.

Wenn Sie nicht wissen, auf welcher PHP-Version Ihre Website läuft, oder niemanden haben, der sich darum kümmert: Schreiben Sie uns kurz Ihre Website-Adresse, oder rufen Sie an unter 0271 33884182. Wir schauen nach und sagen Ihnen, ob Handlungsbedarf besteht.

Quellen

• BSI: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweit
• cms-admins.de: Übersicht zu Versionen, Distributionen und Übergangsmaßnahmen
• Borns IT- und Windows-Blog: PHP2Shell