PHP2Shell sind zwei kritische Lücken in PHP selbst (CVE-2026-109618 und CVE-2026-109619, Bewertung 9,2 von 10). Sicher sind die am 21.10.2026 veröffentlichten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Betroffen ist jede Website, auf der eine ältere PHP-Version Anfragen verarbeitet, egal ob WordPress, Shop oder eigenes Formular. Ein Plugin-Update hilft nicht: Entscheidend ist die PHP-Version auf dem Server.
Was ist passiert?
Sicherheitsforscher haben zwei Fehler in PHP entdeckt, die laut Berichten seit sehr vielen Jahren im Code steckten. Über eine einzige präparierte Anfrage an die Website kann ein Angreifer eigenen Programmcode auf dem Server ausführen, noch bevor die eigentliche Website-Software überhaupt startet. Eine Anmeldung oder ein Klick des Betreibers ist nicht nötig.
Die Details wurden am 20. Oktober vor dem geplanten Termin öffentlich. Das PHP-Team hat die Korrekturen deshalb vorgezogen und am 21. Oktober veröffentlicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung herausgegeben und rät, die Updates unverzüglich einzuspielen.
Stand dieses Artikels: 21.10.2026. Wir aktualisieren ihn, sobald es Neuigkeiten gibt.
Diese PHP-Versionen sind sicher
| PHP-Reihe | Sicher ab Version | Hinweis |
|---|---|---|
| PHP 8.5 | 8.5.12 | aktuell unterstützt |
| PHP 8.4 | 8.4.27 | aktuell unterstützt |
| PHP 8.3 | 8.3.36 | aktuell unterstützt |
| PHP 8.2 | 8.2.35 | nur noch Sicherheitsupdates |
| PHP 8.1, 8.0, 7.4 | kein offizielles Update | nur Korrekturen zum Selbsteinbau, besser auf 8.3 oder neuer umsteigen |
| PHP 7.3 und älter | kein Update | dringend umsteigen |
Selbsttest in 3 Schritten
- PHP-Version herausfinden: Im Kundenbereich Ihres Hosters steht die eingestellte PHP-Version meist bei den Einstellungen des Webspace oder der Domain. Bei WordPress finden Sie sie unter Werkzeuge, Website-Zustand, Bericht, Bereich Server.
- Genaue Versionsnummer vergleichen: Wichtig ist die letzte Zahl. „PHP 8.4“ allein sagt nichts, sicher ist erst 8.4.27 oder höher. Viele Hoster zeigen nur „8.4“ an und spielen die Korrekturen selbst ein. Fragen Sie im Zweifel beim Hoster nach, ob die Updates vom 21.10.2026 installiert sind.
- Alte Reihe gewählt? Steht im Kundenbereich PHP 8.1, 8.0, 7.x oder älter, sollten Sie auf eine aktuelle Reihe umstellen. Vorher prüfen, ob Ihre Website damit läuft, siehe unseren Ratgeber PHP-Version prüfen und aktualisieren.
Eine phpinfo-Datei zum Nachsehen der Version nach dem Test sofort wieder löschen. Sie verrät Angreifern viele Details über Ihren Server.
Shared Hosting oder eigener Server?
Webhosting-Paket (z. B. bei STRATO, IONOS, all-inkl.): Der Hoster aktualisiert PHP selbst. Bei großen Hostern ist das für die unterstützten Reihen meist schnell erledigt. Ihre Aufgabe: prüfen, dass keine veraltete PHP-Reihe eingestellt ist, und im Zweifel nachfragen.
Eigener Server, VPS oder Root-Server: Hier sind Sie selbst zuständig. Paketquellen aktualisieren, PHP-Pakete einspielen und den Webserver beziehungsweise PHP-FPM neu starten. Nicht aktualisierbare Systeme sollten bis zum Update vom Netz.
Was ist mit WordPress, Shops und Plugins?
- Die Lücke steckt in PHP, nicht in WordPress oder einem Plugin. Ein WordPress- oder Plugin-Update schließt sie nicht.
- Sicherheits-Plugins innerhalb von WordPress greifen zu spät, weil der Angriff vor dem Start von WordPress passiert.
- Trotzdem gilt: WordPress, Theme und Plugins aktuell halten, denn wer auf eine neue PHP-Reihe umstellt, braucht kompatible Plugins.
Nach dem Update: kurz nachsehen
Weil die Details schon vor dem Update bekannt waren, lohnt ein kurzer Blick, ob in den Tagen davor etwas verändert wurde:
- Per FTP-Programm im Webspace nach „Zuletzt geändert“ sortieren: Gibt es PHP-Dateien vom 20. oder 21. Oktober, die Sie nicht kennen?
- PHP-Dateien im Upload-Ordner (bei WordPress
wp-content/uploads) gehören dort nicht hin. - Unbekannte Administratoren im CMS, neue Cronjobs beim Hoster oder Umleitungen auf fremde Seiten sind Warnsignale.
Finden Sie etwas Verdächtiges: nichts überstürzt löschen, erst eine Kopie sichern und Hilfe holen. Mehr im Ratgeber IT-Notfallplan bei Hackerangriff.
Zusammengefasst
Entscheidend ist eine aktuelle PHP-Version auf dem Server: 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer. Bei Webhosting kümmert sich meist der Hoster darum, eine veraltete PHP-Reihe müssen Sie aber selbst umstellen. Wir prüfen Ihre Website, stellen die PHP-Version sicher um und testen danach, ob alles läuft, für Betriebe und Vereine in Bad Orb, im Main-Kinzig-Kreis und per Fernwartung bundesweit. Mehr unter IT-Sicherheit.
