PHP2Shell: die PHP-Sicherheitslücke vom Oktober 2026 und warum Website-Wartung wichtig ist

PHP2Shell sind zwei kritische Sicherheitslücken in PHP, über die Angreifer ohne Passwort Code auf Webservern ausführen konnten – die Korrektur erschien am 21. Oktober 2026 in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ein WordPress-Update hilft nicht, denn der Fehler steckt in PHP selbst: Geschützt ist eine Website erst, wenn ihr Server eine korrigierte PHP-Version nutzt – und genau das ist Aufgabe der Website-Wartung.

Die vergangene Woche hat den Unterschied zwischen einer gewarteten und einer ungewarteten Website deutlich gezeigt. Eine Sicherheitslücke in PHP – der Sprache, auf der WordPress, WooCommerce und laut W3Techs rund 69 % der Websites mit bekannter serverseitiger Sprache laufen – wurde einen Tag vor der geplanten Veröffentlichung bekannt, und erste Angriffsversuche gab es Stunden vor dem Patch. Im Folgenden erkläre ich, was passiert ist, was wir auf unseren Servern getan haben und was Sie heute prüfen sollten.

Was ist PHP2Shell? Eine PHP-Sicherheitslücke, keine WordPress-Lücke

PHP ist die Sprache, mit der Ihr Server die Website „ausführt“: Jeder Seitenaufruf, jede Bestellung und jedes Formular läuft darüber. PHP2Shell ist der Name für zwei kritische Schwachstellen im PHP-Interpreter selbst – CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 nach CVSS v4.0 bewertet. Laut der offiziellen Sicherheitsmeldung von PHP ermöglichen sie Remote Code Execution (RCE): Ein Angreifer ohne Passwort kann den Server seine Befehle ausführen lassen.

Kurz gesagt liegt die Ursache darin, wie PHP eine Anfrage bei Speichermangel oder einem fatalen Fehler abbricht: Manche Daten bleiben nur halb aufgeräumt und können von einer späteren Anfrage wiederverwendet werden. Betroffen ist jede PHP-Installation, die Webanfragen bedient – PHP-FPM, Apache mod_php, LiteSpeed und andere –, wobei mod_php das höchste Risiko hat. Den gleichen Umfang bestätigt die Sicherheitsmeldung von CERT-EU.

Das Wichtigste für Website-Betreiber: PHP2Shell wird nicht durch ein Update von WordPress, Theme oder Plugins behoben, sondern nur durch eine neue PHP-Version auf dem Server.

Chronologie: was letzte Woche passiert ist

Eine ausführliche Chronologie der Angriffe hat Patchstack veröffentlicht, eine technische Analyse Rapid7.

Was wir getan haben – Website-Wartung in Echtzeit

Ich betreue Websites seit 2012, und PHP2Shell gehört zu den schwersten PHP-Sicherheitslücken, die ich erlebt habe. Auf dem Server, auf dem infobgnet.com und die Websites unserer Wartungskunden laufen, wurden die korrigierten Versionen am 21. Oktober installiert – PHP 8.3.36 und 8.2.35 sowie korrigierte Builds für die älteren Zweige. Danach habe ich geprüft, dass alle PHP-Prozesse neu gestartet wurden und mit der neuen Version laufen – nicht mit der alten, die noch im Speicher lag.

Das ist der häufigste Fehler, den ich sehe: Die neue Version ist installiert, aber die alten Prozesse laufen weiter. Alles sieht in Ordnung aus, und trotzdem ist die Website angreifbar. Deshalb heißt Website-Wartung nicht „auf Aktualisieren klicken“, sondern nach jedem Update prüfen.

PHP2Shell: 6 Schritte, die Sie jetzt erledigen sollten

1. Prüfen Sie Ihre PHP-Version. In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Dort sollte 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder eine neuere Version desselben Zweigs stehen.
2. Fragen Sie Ihren Hoster schriftlich. Ist die Version älter, fordern Sie ein Update an. Beim Shared Hosting ist das Aufgabe des Hosters – PHP können Sie dort nicht selbst aktualisieren.
3. Stellen Sie sicher, dass PHP neu gestartet wurde. Die Korrektur für PHP2Shell wirkt erst nach einem Neustart der PHP-Prozesse. Ein guter Hoster oder eine Website-Wartung erledigt das automatisch.
4. Planen Sie den Umstieg von PHP 8.1 und älter. Diese Versionen erhalten keine offiziellen Korrekturen mehr, und PHP 8.2 erreicht am 31. Dezember 2026 sein Supportende. Sinnvolles Ziel ist PHP 8.3 oder 8.4 – nach einem Test auf einer Kopie der Website.
5. Ändern Sie Passwörter und Schlüssel, wenn der Server lange angreifbar war. Forscher haben gezeigt, dass ein PHP2Shell-Angriff den Speicher von PHP auslesen kann – samt Passwörtern, Tokens und API-Schlüsseln. Ändern Sie Admin- und Datenbankpasswörter sowie Schlüssel für Zahlungsdienste.
6. Prüfen Sie auf Anzeichen eines Einbruchs über PHP2Shell. Unbekannte Administratoren, neue Dateien in Theme- und Plugin-Ordnern, seltsame Weiterleitungen. Wenn Sie unsicher sind, fordern Sie ein kostenloses SEO-Audit an – es enthält auch eine Sicherheitsprüfung.

Die offiziellen Hinweise von WordPress zum Aktualisieren von PHP finden Sie auf der Seite Update PHP.

Welche PHP-Version ist sicher?

Warum eine PHP-Sicherheitslücke für Website-Wartung spricht

Eine Website ohne Wartung verlässt sich darauf, dass jemand anderes das Problem bemerkt. Bei PHP2Shell vergingen zwischen dem Bekanntwerden und den ersten Angriffen Stunden, nicht Wochen. Das leistet eine regelmäßige Website-Wartung in einer solchen Lage:

Bei INFOBGNET kostet die Website-Wartung €70 im Monat und umfasst Updates von WordPress, Theme und Plugins, Backups, Überwachung von Sicherheit und Geschwindigkeit, Betreuung von Hosting und Domain sowie bis zu 1 Stunde Korrekturen. Für Onlineshops lesen Sie unseren Artikel zur Onlineshop-Wartung.

Wie es nach PHP2Shell weitergeht

Mit dem Update vom 21. Oktober ist die Geschichte nicht vorbei. Darauf sollten Sie in den kommenden Wochen achten:

• Die dritte PHP-Lücke (CVE-2026-115560) wird im nächsten regulären Release behoben. Bis dahin empfiehlt PHP, session.upload_progress.enabled zu deaktivieren. Sie betrifft nur Websites mit ungewöhnlichen Sitzungseinstellungen, aber Ihr Hoster sollte die Einstellung ausgeschaltet haben.
• Windows-Server haben am 26. Oktober zusätzliche Builds erhalten – PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 – mit einer Korrektur in der Brotli-Bibliothek (Meldung von PHP). Läuft Ihre Website auf einem Windows-Server, installieren Sie auch diese.
• PHP 8.2 erreicht am 31. Dezember 2026 sein Supportende. Die nächste Lücke nach PHP2Shell wird für 8.2 nicht mehr behoben – der Umstieg auf 8.3 oder 8.4 sollte daher jetzt erfolgen, nicht erst nach einem Vorfall.
• Weitere Angriffsversuche. Nach einer großen Lücke wie PHP2Shell scannen Bots noch wochenlang Websites. Ungepatchte Websites werden noch lange angegriffen, wenn die Nachrichten längst vorbei sind.

Genau hier zahlt sich Website-Wartung aus: Jemand behält diese Termine für Sie im Blick und aktualisiert rechtzeitig – vor dem nächsten PHP2Shell, nicht danach.

Häufige Probleme nach einem PHP-Update

• Die Website funktioniert nach dem Wechsel auf eine neue PHP-Version nicht mehr. Ursache: ein altes Plugin oder Theme, das für PHP 7 geschrieben wurde. Lösung: auf einer Staging-Kopie testen, das Plugin aktualisieren oder ersetzen und erst dann die Live-Website umstellen.
• Die Version wurde aktualisiert, aber Scanner melden die Website weiter als anfällig für PHP2Shell. Ursache: Alte PHP-Prozesse wurden nicht neu gestartet. Lösung: PHP-FPM/LiteSpeed neu starten oder den Hoster darum bitten.
• Der Hoster antwortet nicht oder nennt keinen Termin. Ursache: billiges oder nicht verwaltetes Hosting. Lösung: Umzug zu einem Anbieter, der am selben Tag patcht – auch das gehört zur Website-Wartung.
• „Ich habe WordPress aktualisiert, also bin ich sicher.“ Ursache: Verwechslung von WordPress und PHP. Lösung: die PHP-Version im Website-Zustand prüfen – für PHP2Shell war kein WordPress-Update nötig, und es gab auch keins.

Allgemeine Gewohnheiten für mehr Sicherheit finden Sie unter Wie Sie im Internet sicher bleiben.

Häufig gestellte Fragen

Ist meine WordPress-Website von PHP2Shell betroffen?

Ja, wenn Ihr Server eine PHP-Version vor 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 nutzt. Prüfen Sie das unter „Werkzeuge → Website-Zustand → Bericht → Server“. Die WordPress-Version spielt keine Rolle.

Muss ich wegen PHP2Shell WordPress aktualisieren?

Nein. Die Lücke steckt in PHP, deshalb ist die Korrektur eine neue PHP-Version auf dem Server. WordPress aktuell zu halten bleibt wichtig, löst dieses Problem aber nicht.

Was ist CVE-2026-115560 vom 23. Oktober?

Eine dritte PHP-Lücke im Zusammenhang mit dem Upload-Fortschritt in Sitzungen. Sie betrifft nur Anwendungen mit ungewöhnlichen Sitzungseinstellungen und wird im nächsten regulären Release behoben. Bis dahin empfiehlt PHP, session.upload_progress.enabled zu deaktivieren.

Ich nutze PHP 7.4 – was soll ich tun?

PHP 7.4 wird seit Jahren nicht mehr offiziell unterstützt. Es gibt nur minimale Quellcode-Patches, die manche Anbieter einbauen. Am sichersten ist der Umstieg auf PHP 8.3 oder 8.4 nach einem Test auf einer Kopie der Website.

Was kostet die Website-Wartung bei INFOBGNET?

€70 im Monat. Enthalten sind Updates, Backups, Überwachung von Sicherheit und Geschwindigkeit, Hosting und Domain sowie bis zu 1 Stunde Korrekturen pro Monat.

Brauchen Sie Hilfe?

Wenn Sie nicht sicher sind, welche PHP-Version Ihre Website nutzt oder ob Ihr Hoster rechtzeitig reagiert hat, schreiben Sie uns – wir prüfen es. Und wenn Sie sich nie wieder darum kümmern möchten, sehen Sie sich unsere Website-Wartung an.