PHP2Shell: Was die kritischen PHP-Lücken für deine Website bedeuten

Läuft deine Website mit PHP, ist sie von zwei kritischen Sicherheitslücken betroffen, für die es noch kein Update gibt. Das betrifft fast jede WordPress-Seite, die meisten Online-Shops und die meisten Websites auf klassischem Shared Hosting. Das PHP-Team hat das Update für Mittwoch, 21. Oktober 2026, 16 Uhr deutscher Zeit angekündigt. Hier steht, was das für dich heißt und was du selbst tun kannst.

Kurz gesagt:

• Die Lücken stecken in PHP selbst, nicht in WordPress oder einem Plugin. Ein Plugin-Update hilft nicht.
• Auf Shared Hosting spielt dein Hoster das PHP-Update ein. Du musst dafür nichts installieren.
• Was du selbst tun kannst: im Hosting-Kundenbereich nachsehen, welche PHP-Version deine Website benutzt. Ist es 8.1 oder älter, auf 8.3 oder 8.4 umstellen.
• Vorher ein Backup machen, danach Startseite, Kontaktformular und Login testen.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei Sicherheitslücken in PHP mit den Kennungen CVE-2026-109618 und CVE-2026-109619. PHP ist die Programmiersprache, auf der WordPress, Joomla, Contao, Shopware und viele andere Systeme laufen. Das PHP-Team stuft beide Lücken als kritisch ein, mit 9,2 von 10 Punkten auf der üblichen Skala (CVSS 4.0).

Laut den Sicherheitsfirmen Sansec, Patchstack und Huntress geht es um Remote Code Execution. Gemeint ist: Ein Angreifer kann über das Internet eigenen Programmcode auf dem Server ausführen lassen. Im schlimmsten Fall kann er dann Dateien ändern, Schadcode einbauen, Daten aus der Datenbank lesen oder die Website für Spam missbrauchen.

Eigentlich sollten die Details erst mit dem Update öffentlich werden. Sie sind aber am 20. Oktober vorab durchgesickert. Deshalb hat das PHP-Team das Update angekündigt, bevor es fertig war.

Ist meine Website betroffen?

Sehr wahrscheinlich, wenn sie mit PHP läuft. Offiziell bestätigt sind die betroffenen Versionen noch nicht. Sansec schreibt, betroffen seien alle Webserver mit PHP 5.4 oder neuer. Andere Berichte nennen PHP 5 bis 8.

Zur Einordnung: Auch meine eigene Website läuft mit PHP. Auf meinem Hosting-Paket war am 21. Oktober um 13 Uhr PHP 8.4.26 installiert, also eine Version vor dem Update.

Warum Shared Hosting hier anders ist

Auf Shared Hosting teilen sich viele Websites einen Server. Das PHP darauf installiert und pflegt der Hoster, nicht du. Das ist in diesem Fall eher ein Vorteil: Sobald das Update da ist, spielt es der Hoster für alle Kunden ein. Du musst nichts herunterladen und nichts installieren.

Was du sehr wohl in der Hand hast, ist die PHP-Version, die dein Paket benutzt. Bei Hostinger, IONOS, Strato, All-Inkl und den meisten anderen Hostern stellst du sie im Kundenbereich selbst ein. Und genau da liegt das Problem: Viele Websites laufen seit Jahren auf einer alten Version, weil nach dem Einrichten niemand mehr hingeschaut hat. Laut WordPress.org laufen 36,4 % aller WordPress-Websites auf PHP 8.1 oder älter.

Für diese Versionen veröffentlicht das PHP-Team keine Sicherheitsupdates mehr. Sansec, Huntress und The Hacker News gehen davon aus, dass PHP2Shell dort nicht repariert wird. Offiziell bestätigt ist das noch nicht, ich würde mich aber nicht darauf verlassen.

Was du jetzt tun solltest

• PHP-Version nachsehen. Im Kundenbereich deines Hosters, meist unter „PHP-Einstellungen“, „PHP-Version“ oder „PHP-Konfiguration“. In WordPress zeigt sie auch „Werkzeuge → Website-Zustand → Bericht → Server“.
• Bei 8.1 oder älter umstellen. Auf 8.3 oder 8.4. PHP 8.2 bekommt laut den Berichten noch einen Fix, ist aber nur noch bis Ende 2026 mit Sicherheitsupdates versorgt.
• Vorher sichern. Backup über den Hoster oder ein Backup-Plugin, damit du zurückkannst. Alte Plugins oder Themes laufen auf neuem PHP manchmal nicht mehr.
• Danach testen. Startseite, ein paar Unterseiten, Kontaktformular, Login, bei Shops den Bestellvorgang. Klappt etwas nicht, Version zurückstellen und mit deinem Dienstleister klären.
• Beim Hoster nachsehen, wann er patcht. Viele Hoster melden so etwas auf ihrer Statusseite oder im Kundenbereich. Steht dort nichts, frag beim Support nach, ob und wann das PHP-Update eingespielt wird.
• Keine „Fix-Plugins“ installieren. Patchstack und Dr. Web warnen vor inoffiziellen Plugins und kopierten Code-Schnipseln, die angeblich schützen. Aus einer WordPress-Installation heraus lässt sich eine Lücke in PHP nicht reparieren.

Für Technik-Interessierte: Sansec nennt als Notbehelf bis zum Update die PHP-Einstellung session.upload_progress.enabled = 0, die manche Hoster im Kundenbereich anbieten. Aus dem PHP-Team heißt es laut Sansec ausdrücklich, das sei keine Garantie und nur das Update helfe wirklich. Ich würde es als Zusatz sehen, nicht als Ersatz.

Wird die Lücke schon ausgenutzt?

Das ist umstritten. Patchstack meldet am 21. Oktober Angriffe, von denen mehrere Hosting-Partner berichtet hätten. Laut Sansec und Patchstack spricht auch Cloudflare von ersten Angriffen. Das PHP-Team hat das bis zum Vormittag nicht bestätigt, Huntress hatte am 20. Oktober noch keine Angriffe gesehen. Sansec erwartet Massenangriffe kurz nach dem Erscheinen des Updates, weil Angreifer dann sehen können, was repariert wurde.

Für dich heißt das: nicht in Panik verfallen, aber die PHP-Version noch diese Woche prüfen und darauf achten, dass dein Hoster zügig nachzieht.

Woran du merkst, dass etwas nicht stimmt

• Besucher werden auf fremde Seiten umgeleitet, oft nur auf dem Handy oder nur bei Klicks aus Google.
• Bei Google tauchen Seiten deiner Domain mit Spam-Titeln auf, etwa zu Medikamenten oder Glücksspiel.
• Im Backend gibt es Admin-Konten, die du nicht kennst.
• Im Webspace liegen neue PHP-Dateien mit seltsamen Namen.
• Dein Hoster schickt eine Warnung oder sperrt die Website.

Dann nicht selbst Dateien löschen. Den Hoster informieren, die Website sichern, damit sich nachvollziehen lässt, was passiert ist, und alle Passwörter ändern: Hosting, Datenbank, CMS, FTP. Sind Kundendaten betroffen, etwa aus Formularen oder einem Shop, kann eine Meldung an die Datenschutzaufsicht nötig sein, in der Regel binnen 72 Stunden (Art. 33 DSGVO).

Du bist Kunde von mir?

Hab ich deine Website gebaut und du weißt nicht, welche PHP-Version läuft oder wo du sie umstellst: Schreib mir kurz über das Kontaktformular oder per Mail, mit dem Namen deines Hosters. Ich sage dir, was zu tun ist.

Verlauf