Was ist passiert?
Die Entwickler von PHP haben am 21. Oktober 2026 Notfall-Updates für zwei Lücken veröffentlicht, die unter dem Namen „PHP2Shell“ bekannt geworden sind (CVE-2026-109618 und CVE-2026-109619). Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft. Sie stecken im Kern von PHP selbst, nicht in einem bestimmten Programm, und betreffen laut Sicherheitsforschern alle Versionen ab PHP 5.4 aus dem Jahr 2012.
Vereinfacht gesagt bringen bestimmte Anfragen PHP dazu, mit Speicher weiterzuarbeiten, der eigentlich schon freigegeben ist. Ein Angreifer kann darüber im schlimmsten Fall eigenen Code auf dem Server ausführen. Eine der beiden Lücken kann außerdem Daten aus dem Arbeitsspeicher preisgeben, etwa Passwörter oder Zugangsschlüssel.
Ursprünglich sollten die Details erst am 22. Oktober veröffentlicht werden. Weil sie vorab durchgesickert sind, wurden die Updates einen Tag früher freigegeben.
Bin ich betroffen?
Betroffen ist jeder Webserver, auf dem PHP Anfragen aus dem Internet bearbeitet. Für kleine Betriebe sind das vor allem:
- Websites mit WordPress, Joomla, TYPO3, Contao oder ähnlichen Systemen
- Online-Shops mit WooCommerce, Shopware oder Magento
- Klassische Hosting-Pakete mit Kontaktformular, Buchungssystem oder Kundenbereich auf PHP-Basis
- Eigene oder gemietete Server, auf denen PHP-Anwendungen laufen, zum Beispiel Webmail oder interne Werkzeuge
Nicht betroffen sind Websites, die nur aus fertigen HTML-Seiten bestehen und ohne PHP ausgeliefert werden. Bei Baukasten-Anbietern, die den Server selbst betreiben, kümmert sich der Anbieter um das Update.
So finden Sie Ihre PHP-Version heraus
- Im Kundenbereich Ihres Hosters: Bei den meisten Anbietern finden Sie unter „PHP-Einstellungen“ oder „PHP-Version“ die aktuell eingestellte Version.
- In WordPress: Unter Werkzeuge → Website-Zustand → Bericht steht im Abschnitt „Server“ die PHP-Version.
- Beim Hoster nachfragen: Eine kurze Anfrage genügt: „Ist PHP auf meinem Paket bereits gegen PHP2Shell aktualisiert?“
Wichtig: Auch wenn dort „PHP 8.3“ steht, ist das Paket nur sicher, wenn darunter die aktualisierte Fassung läuft, hier also 8.3.36. Große Hoster spielen solche Updates meist selbst ein, doch darauf allein sollten Sie sich bei einer Lücke dieser Größe nicht verlassen.
Was jetzt zu tun ist
- Update bestätigen lassen: Klären Sie mit Ihrem Hoster oder IT-Dienstleister, dass PHP auf einer der Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 läuft, oder auf einer Fassung, in die der Anbieter die Korrektur nachträglich eingebaut hat.
- Veraltete Versionen ablösen: PHP 8.1 und älter erhält vom PHP-Projekt keine Updates mehr. Einige Linux-Anbieter liefern zwar eigene Korrekturen, sicher ist das aber nur, wenn Ihr Hoster es ausdrücklich bestätigt. Sonst führt kein Weg an einem Wechsel vorbei. Machen Sie vorher eine Sicherung und prüfen Sie, ob Theme und Plugins mit der neuen Version zurechtkommen.
- Eigene Server aktualisieren: Wer selbst einen Server betreibt, spielt die PHP-Pakete seiner Linux-Distribution ein und startet danach die PHP-Dienste neu, damit die alte Fassung nicht weiterläuft.
- Auf Spuren achten: Erste Angriffsversuche wurden schon vor der Veröffentlichung beobachtet. Prüfen Sie, ob es neue Administrator-Konten, unbekannte Dateien oder auffällige Fehlermeldungen gibt, etwa gehäufte Speicherfehler in den PHP-Protokollen. Bei Verdacht sollten Sie Passwörter und Zugangsschlüssel der Website ändern.
- Wenn das Update nicht sofort möglich ist: Eine Web Application Firewall kann bekannte Angriffe abfangen. Cloudflare hat dafür Regeln für alle Kunden bereitgestellt, auch im kostenlosen Tarif. Die US-Behörde CISA rät, Systeme, die sich nicht aktualisieren lassen, bis zum Update vom Netz zu nehmen.
Wie gefährlich ist es wirklich?
Ernst nehmen sollten Sie die Lücken auf jeden Fall: Es gibt funktionierenden Angriffscode, und Sicherheitsfirmen haben erste Angriffsversuche beobachtet, laut Amazon bereits am 17. Oktober. In den Niederlanden haben mehrere Behörden- und Nachrichtenseiten ihre Websites vorsorglich vom Netz genommen.
Gleichzeitig zeigen erste Analysen, dass ein erfolgreicher Angriff bestimmte Bedingungen auf dem Server voraussetzt. Die bislang veröffentlichten Beispiel-Angriffe funktionieren gegen eine PHP-Standardinstallation offenbar nicht ohne Weiteres. Eine Massenausnutzung gilt daher als weniger wahrscheinlich als zunächst befürchtet. Das kann sich aber ändern, sobald Angreifer ihre Werkzeuge verbessern. Ein Grund, mit dem Update zu warten, ist es nicht.
Fazit
Für die meisten kleinen Betriebe ist der Aufwand überschaubar: einmal prüfen, welche PHP-Version läuft, und sich vom Hoster bestätigen lassen, dass das Update eingespielt ist. Kritisch wird es vor allem bei alten Hosting-Paketen mit PHP 8.1 oder älter und bei Servern, um die sich niemand regelmäßig kümmert. Genau dort sollten Sie jetzt handeln.
Mehr dazu, wie wir Ihre Systeme absichern: IT-Sicherheit.