PHP2Shell: Ist Ihre Website betroffen?

Am 21. Oktober 2026 veröffentlichte PHP dringend erforderliche Patches für zwei Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619. Die PHP Foundation und Tenable bezeichnen sie zusammen als PHP2Shell. Nach der Bewertung gemäß CVSS v4.0 haben beide einen Schweregrad von 9,2 von 10. Für einen Unternehmer bedeutet das ganz praktisch: Die PHP-Version auf dem Server muss geprüft werden, nicht nur das Website-Backend.

Was ist PHP2Shell, einfach erklärt?

PHP ist die Laufzeitumgebung, die einen großen Teil des Codes hinter der Website ausführt. WordPress, WooCommerce, Joomla und Drupal sind Systeme, die auf PHP basieren. Wenn ein Besucher eine Seite öffnet, ein Formular absendet oder eine Bestellung aufgibt, verwendet der Server PHP, um die Anfrage zu verarbeiten und ein Ergebnis zurückzugeben.

PHP2Shell ist eine Schwachstelle in dieser Laufzeitumgebung selbst. Laut PHP, zitiert von Tenable, können die beiden Sicherheitslücken aus der Ferne ausgenutzt werden, ohne dass der Angreifer ein Passwort oder ein Benutzerkonto benötigt. Bei einem erfolgreichen Angriff kann er eigenen Code auf dem Server ausführen. Das ist kein Problem mehr, das nur eine einzelne Seite oder ein einzelnes Plugin betrifft, sondern die Grundlage, auf der die Website läuft.

Laut Help Net Security sind PHP-Installationen betroffen, die Webanfragen verarbeiten. Dazu gehören PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Der Eigentümer muss nicht wissen, welche dieser Technologien der Server verwendet. Er muss die genaue PHP-Version erhalten und prüfen, ob sie gepatcht wurde.

Warum betrifft das WordPress, WooCommerce, Joomla und Drupal?

Diese Plattformen sind nicht PHP selbst, sondern laufen darauf. Eine WordPress-Website kann die neueste Version des Systems und aller Plugins haben, während auf ihrem Server eine alte PHP-Version verwendet wird. In diesem Fall beheben Website-Updates das Problem in der Laufzeitumgebung nicht.

Dasselbe gilt für WooCommerce. Der Onlineshop kann Bestellungen annehmen, Benachrichtigungen versenden und für die Kunden normal funktionieren, während PHP auf dem Server weiterhin verwundbar ist. Dass die Website sichtbar funktioniert, ist kein Beweis dafür, dass ihre Grundlage aktualisiert wurde.

Auch Joomla und Drupal hängen von der PHP-Version ab, unter der sie installiert sind. Das bedeutet nicht, dass jede Website mit diesen Systemen angegriffen wurde. Es bedeutet, dass jede solche Website auf Serverebene geprüft werden muss.

Welche PHP-Versionen wurden gepatcht?

Laut den von PHP veröffentlichten Patches gelten für die betroffenen Zweige folgende Versionen, die PHP2Shell schließen:

Wenn der Server eine ältere Version des jeweiligen Zweigs verwendet, wurde der Patch noch nicht eingespielt. Laut PHP gibt es für PHP 7.4, 8.0 und 8.1 zwar Korrekturen im Quellcode, aber keine offiziell veröffentlichte Version. Für PHP 5.4 bis 7.3 gibt es von PHP keinen Patch.

Deshalb reicht die Aussage „Die Website läuft mit PHP 8“ nicht aus. Die genaue Minor-Version muss bekannt sein, zum Beispiel ob es 8.4.27 und nicht einfach 8.4 ist. Laut Tenable und der Untersuchung von Calif stammt der älteste betroffene Code aus PHP 5.4. Das bedeutet, dass die Schwachstelle mehr als zehn Jahre lang unbemerkt geblieben ist.

Wie können Sie prüfen, ob Ihre Website betroffen ist?

1. 01
   Klären Sie, wer für den Server zuständig ist

   Prüfen Sie Ihren Vertrag oder den Schriftverkehr mit dem Hosting-Anbieter, der Webagentur oder dem Wartungsunternehmen. Bei manchen Websites hat ein Unternehmen die Website erstellt, während ein anderes den Server verwaltet. Wichtig ist, dass die Frage die Person erreicht, die die PHP-Version einsehen und ändern kann.

2. 02
   Verlangen Sie die genaue PHP-Version

   Senden Sie eine kurze Frage: „Welche genaue PHP-Version läuft auf dem Server unserer Website und ist der Patch gegen PHP2Shell installiert?“ Akzeptieren Sie keine Antwort wie „Der Server wurde aktualisiert“ oder „WordPress ist aktuell“.

3. 03
   Vergleichen Sie die Version mit den offiziell behobenen Versionen

   Wenn die Version im jeweiligen Zweig älter ist als 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, ist die Website gefährdet. Laut den Prüfanweisungen müssen auch PHP 8.1 und ältere Versionen als gefährdet eingestuft werden.

4. 04
   Fordern Sie einen Plan an, wenn eine sofortige Aktualisierung nicht möglich ist

   Manchmal hängt eine alte Website von einem alten Plugin oder von Code ab, der mit einer neuen PHP-Version nicht funktioniert. Fordern Sie in diesem Fall einen konkreten Plan an: Backup, Testumgebung, Kompatibilitätsprüfung und einen Zeitplan für die Aktualisierung. Es reicht nicht aus, das Problem ohne Termin und Verantwortlichen offen zu lassen.

Wenn Sie Cloudflare verwenden, wurden laut Help Net Security in der Firewall Regeln für die bekannten Angriffsmethoden veröffentlicht, auch für kostenlose Konten. Das kann das Risiko bekannter Angriffe verringern, ersetzt jedoch nicht die Aktualisierung von PHP. Für ein System, das nicht sofort aktualisiert werden kann, empfiehlt das NCSC, eine vorübergehende Abschaltung in Betracht zu ziehen.

Was haben wir für die Websites getan, die wir hosten und betreuen?

Am 21. Oktober 2026, am Tag der Veröffentlichung des Patches, haben wir PHP auf allen Kundenwebsites aktualisiert, die PHP verwenden und die wir hosten und betreuen. Sie laufen mit PHP 8.4.27, der behobenen Version für diesen Zweig. Am 22. Oktober haben wir die Server erneut überprüft, und es steht keine PHP-Aktualisierung aus.

Die Prüfung umfasste die WordPress-Websites und Online-Shops auf unseren Servern. Dazu gehören auch Shops mit WooCommerce. Nach dem Update haben wir geprüft, dass alle diese Websites normal erreichbar sind.

Die Websites, Online-Shops und Systeme, die wir mit Next.js, Node.js und .NET entwickeln, verwenden kein PHP. Aus diesem konkreten Grund sind sie nicht von PHP2Shell betroffen. Das bedeutet nicht, dass jedes System vor jeder künftigen Sicherheitslücke geschützt ist. Es bedeutet lediglich, dass diese PHP-Sicherheitslücke sie nicht betrifft.

Bei Websites, die wir weder hosten noch betreuen, können wir die PHP-Version nicht einfach vermuten. Sie muss in der tatsächlichen Hosting-Umgebung überprüft werden. Wenn die Website von einem anderen Unternehmen erstellt wurde, aber nicht laufend betreut wird, können wir mit einer Prüfung beginnen und klären, was behoben werden muss. Das ist Teil unseres Services für die Übernahme und Betreuung einer fremden Website.

Was bedeutet „behoben“ und was bedeutet es nicht?

Behoben bedeutet, dass die konkrete PHP-Sicherheitslücke PHP2Shell durch eine unterstützte Version oder einen eingespielten Patch geschlossen wurde. Das ist eine wichtige, aber begrenzte Feststellung.

Das bedeutet nicht, dass die Website für immer geschützt ist. Andere mögliche Probleme bleiben bestehen: veraltete Plugins, schwache Passwörter, falsch gesetzte Zugriffsrechte, Sicherheitslücken in der Website selbst, fehlende Backups oder Probleme bei einem anderen Dienst auf dem Server. Deshalb muss die Aktualisierung von PHP Teil der laufenden Wartung sein und darf nicht der einmalige Anlass sein, die Überprüfung einzustellen.

Wenn Sie einen eigenen Server oder ein von Ihrem Team verwaltetes Hosting nutzen, fragen Sie, wer sich um dringende Aktualisierungen kümmert und wie die Wiederherstellung aus einem Backup überprüft wird. Bei einem externen Unternehmen sollten Sie dieselben Informationen schriftlich anfordern. So müssen Sie sich nicht auf die vage Zusicherung verlassen, dass „alles in Ordnung“ sei.

Was können Sie tun, wenn Ihnen niemand eine klare Antwort gibt?

Stellen Sie die Website-Adresse, die Hosting-Daten und den Namen des Unternehmens zusammen, das die Website betreut. Fragen Sie nach der genauen PHP-Version und fordern Sie nach der Aktualisierung eine Bestätigung an. Wenn die Website alt ist, bitten Sie außerdem vor der Änderung um eine Kompatibilitätsprüfung.

Wenn Ihre Website PHP verwendet und Sie nicht sicher sind, ob sie aktualisiert wurde, schreiben Sie uns. Wir prüfen die PHP-Version und aktualisieren den Server, sobald wir Zugriff haben und die Änderung technisch möglich ist. Informationen zu laufender Überwachung, Backups und Aktualisierungen finden Sie unter Website-Betreuung, Informationen zu einer verwalteten Serverumgebung unter Hosting für Websites. Sie können uns Ihre Frage über unsere Kontaktseite senden.