PHP-Sicherheitslücke PHP2Shell: Version prüfen, updaten

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, zusammen „PHP2Shell“ genannt (CVE-2026-109618 und CVE-2026-109619). Betroffen ist praktisch jede Website mit PHP, auch WordPress-Seiten und Onlineshops. Sie müssen jetzt nur eines tun: Finden Sie Ihre PHP-Version heraus und lassen Sie sich von Ihrem Hoster bestätigen, dass die Korrektur eingespielt ist. Gepatcht sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder höher.

Veröffentlicht am 23. Oktober 2026. Die Lage entwickelt sich schnell. Maßgeblich sind die Quellen am Ende dieses Artikels, nicht diese Zusammenfassung.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Schwachstellen im Kern von PHP (CVE-2026-109618 und CVE-2026-109619), nicht in WordPress und nicht in einem Plugin. Ein Angreifer kann dadurch ohne Anmeldung unter Umständen eigenen Code auf Ihrem Server ausführen (Remote Code Execution). Das PHP-Projekt bewertet beide Lücken mit 9,2 von 10 Punkten (CVSS 4.0).

Vereinfacht geht es um die Speicherverwaltung. Die Folge: Code läuft mit den Rechten des Webprozesses, und Speicherinhalte wie Passwörter oder Tokens können abfließen. Entdeckt haben sie Forschende von Calif (mit OpenAI) und Wiz mithilfe von KI-Modellen. Grundsätzlich betroffen ist jede PHP-Installation, die Webanfragen verarbeitet, etwa PHP-FPM und Apache mod_php.

Welche PHP-Version ist gegen PHP2Shell gepatcht?

Gepatcht ist die angegebene Version Ihres Zweigs oder eine neuere. Die Tabelle zeigt den Stand des PHP-Projekts am 21. Oktober 2026. CVE-2026-115560 (siehe unten) wird damit nicht behoben.

Quelle: PHP-Projekt, Advisory und Release-Hinweise, 21. Oktober 2026.

Wie prüfen Sie Ihre PHP-Version?

Sie sehen die PHP-Version in Ihrem Hosting-Panel oder in WordPress. Die Menünamen unterscheiden sich je nach Hoster und WordPress-Version. Finden Sie den Punkt nicht, fragen Sie einfach Ihren Hoster.

1. cPanel: Öffnen Sie „Select PHP Version“ oder „MultiPHP Manager“. Dort steht die gewählte Version pro Domain.
2. Plesk: Gehen Sie zu „Websites & Domains“ und öffnen Sie die PHP-Einstellungen Ihrer Domain.
3. WordPress: Wählen Sie Werkzeuge, Zustand der Website, Reiter „Info“, Bereich „Server“. Dort steht die PHP-Version.

Legen Sie selbst eine temporäre phpinfo()-Datei an, löschen Sie sie sofort wieder, denn sie zeigt sensible Informationen. php -v auf dem Server zeigt die Version für die Kommandozeile, nicht zwingend die Ihrer Website.

Wie aktualisieren Sie PHP bei Ihrem Hosting?

In den meisten Hosting-Oberflächen wählen Sie die PHP-Version selbst. Das ist allgemeine Praxis, keine Quellenangabe, und die Menünamen unterscheiden sich je nach Hoster. Legen Sie zuerst ein Backup an und testen Sie Theme und Plugins.

1. Öffnen Sie die Oberfläche: in cPanel „Select PHP Version“ oder „MultiPHP Manager“, in Plesk die PHP-Einstellungen Ihrer Domain.
2. Wählen Sie eine Version, die Ihr Hoster als gepatcht bestätigt, am besten 8.3 oder neuer.
3. Rufen Sie Website, Login und (bei einem Shop) den Checkout auf und prüfen Sie, ob alles funktioniert.
4. Bitten Sie Ihren Hoster, zu bestätigen, dass die PHP-Worker nach dem Update neu gestartet wurden. Das PHP-Projekt nennt den Neustart als Teil der Lösung.

Die Version in der Oberfläche zu wählen hilft nur, wenn der Hoster diesen Build selbst aktualisiert hat. Läuft die Website nach dem Wechsel nicht mehr (zum Beispiel HTTP 500), stellen Sie die vorherige Version wieder ein und lesen Sie was Sie tun, wenn die Website nach einem Update kaputt ist oder unsere Hilfe bei nicht erreichbaren Websites.

Unsicher, was Sie da sehen? Schicken Sie uns den Namen Ihres Hosters und Ihre PHP-Version über das Kontaktformular. Die Diagnose ist kostenlos.

Wird die PHP-Sicherheitslücke schon ausgenutzt?

Angriffsversuche sind bestätigt, erfolgreiche Angriffe im großen Stil nicht. Beides gehört zusammen. Die Quellen unterscheiden sich je nach Stelle (Stand 23. Oktober 2026):

• BSI: meldet keinen bestätigten, großflächig erfolgreichen Missbrauch, wohl aber unbestätigte Hinweise auf bestehende Exploits. Sein Rat: unverzüglich patchen.
• CISA: hatte am 21. Oktober noch keine Ausnutzung beobachtet. Laut watchTowr und Tenable stand die Lücke am 22. Oktober nicht im KEV-Katalog, der CISA-Liste bekannter ausgenutzter Schwachstellen.
• watchTowr: meldet Angriffsversuche auf eigene Honeypots (Köder-Server) seit dem 21. Oktober, ohne Angreifer zu nennen.
• Rapid7: berichtet von Versuchen, hat selbst aber keine Ausnutzung gesehen. Öffentliche Proof-of-Concepts (Beispielangriffe) funktionieren nur bei bestimmten Kombinationen aus Betriebssystem, PHP-Version und Webserver.
• NCSC-NL: prüfte am 22. Oktober erste Hinweise auf erfolgreichen Missbrauch. Am 23. Oktober stufte es die Ausnutzung als aufwendig ein und großflächigen Missbrauch als weniger wahrscheinlich als zunächst gedacht, bei einer unbestätigten Meldung aus dem Ausland.

Für Sie heißt das: kein Grund zur Panik, aber auch keiner zum Abwarten. Die Korrektur gibt es, und das Update bleibt auch ohne Anzeichen eines Angriffs die Empfehlung.

Sind auch andere Systeme als WordPress betroffen?

Möglicherweise ja. Die Lücken liegen in PHP selbst, nicht in einem CMS oder Plugin. Jede Website, die auf PHP läuft, kann also betroffen sein, ob WordPress, Joomla, Drupal, Magento oder Eigenentwicklung. Entscheidend sind PHP-Version und Build Ihres Hostings. Ein Update des CMS oder der Plugins löst das nicht.

Was tun, wenn Ihr Hoster noch keine gepatchte Version anbietet?

Fragen Sie den Hoster schriftlich nach einer Bestätigung und einem Termin, und planen Sie in der Zwischenzeit eine Alternative. NCSC-NL und die französische Cybermalveillance.gouv.fr raten beide dazu, den Hoster zu kontaktieren, wenn Sie Ihre IT nicht selbst betreuen.

1. Fragen Sie: Gibt es einen Build mit der Korrektur für Ihre gewählte PHP-Version, und ab wann?
2. Wählen Sie, wenn möglich, einen noch unterstützten Zweig (8.3 oder 8.4). Testen Sie vorher Theme und Plugins.
3. Erwägen Sie den Wechsel zu einem Hoster, der patcht, oder lassen Sie uns das für Sie übernehmen.
4. Läuft bei Ihnen PHP 8.1 oder älter, ist das veraltet. Planen Sie die Migration. Mehr dazu unter Risiken veralteter Software.

Cybermalveillance.gouv.fr (französisch) rät, zuerst die Websites zu behandeln, die Zahlungen oder Kundenkonten verwalten.

Technischer Hinweis, meist ein Fall für Ihren Hoster: Als Übergangslösung nennt das PHP-Projekt unter anderem session.upload_progress.enabled=0, ein niedriges post_max_size (die maximale Größe einer Anfrage) und gar kein Speicherlimit (memory_limit=-1), so gesetzt, dass Anwendungen es nicht ändern können. Sie gehören in die php.ini oder den FPM-Pool, gefolgt von einem Neustart der PHP-Worker. Diese Einstellungen verkleinern nur einzelne Angriffswege und decken nicht alles ab.

Woran erkennen Sie, dass Ihre Website möglicherweise gehackt wurde?

Harte Belege sind schwer zu finden, denn bisher gibt es kaum veröffentlichte Indikatoren. Rapid7 betont, dass fehlende Logs nichts beweisen. Die Quellen nennen:

• PHP-Prozesse, die eine Shell starten oder Tools herunterladen (CISA).
• Viele große Upload-Anfragen, gefolgt von Speicherfehlern oder wiederholten HTTP-500-Fehlern, ungewöhnlich große PHPSESSID-Cookies und unerklärliche Neustarts von PHP-Workern (Wiz).

Allgemeine Hinweise auf einen Hack, nicht speziell für PHP2Shell: unbekannte oder kürzlich geänderte PHP-Dateien (vor allem in Uploads, tmp oder Cache), unbekannte Administratoren, unerwartete Weiterleitungen oder Spam-Seiten, unbekannte Cronjobs und ein plötzlicher Anstieg von CPU-Last oder Traffic. Haben Sie einen Verdacht? Sichern Sie zuerst eine Kopie. Binden Sie dann Hoster und Fachleute ein. Ändern Sie nach der Bereinigung Passwörter und Schlüssel, denn Speicherinhalte könnten abgeflossen sein. Wir sehen gern nach: Nehmen Sie Kontakt auf, die Diagnose ist kostenlos. Lesen Sie was Sie in der ersten Stunde bei einer gehackten Website tun oder sehen Sie sich unser Vorgehen bei gehackten Websites an.

Gibt es eine dritte Schwachstelle (CVE-2026-115560)?

Ja, aber sie ist eine eigene Sache und laut PHP-Projekt unwahrscheinlich auszunutzen. Am 23. Oktober veröffentlichte PHP dazu einen Hinweis. Ausnutzbar wäre sie nur, wenn eine Anwendung session.serialize_handler auf php_binary oder php_serialize setzt, per ini_set() vor session_start() auf php zurückschaltet und Upload-Progress aktiv ist.

Diese Lücke ist mit 8.5.12 und den anderen Versionen nicht behoben. Das vollständige Advisory folgt mit dem nächsten regulären Release. Gegenmaßnahme: session.upload_progress.enabled=0. Manche Quellen sprechen von einer „dritten RCE“ (Codeausführung aus der Ferne). Verstehen Sie das nicht als gleich schwerwiegend wie die ersten beiden.

Wie können wir Ihnen helfen?

Die Schritte oben können Sie selbst erledigen. Kommen Sie nicht weiter oder möchten Sie sichergehen, übernehmen wir das aus der Ferne:

• Wir klären, welche PHP-Version Ihre Website tatsächlich nutzt und ob Ihr Hoster die Korrektur eingespielt hat.
• Wir stellen Ihre Website auf eine gepatchte PHP-Version um und testen danach, ob Seiten, Plugins und der Checkout noch funktionieren. Geht durch das Update etwas kaputt, beheben wir es.
• Wir prüfen Ihre Website auf Spuren eines früheren Einbruchs und bereinigen sie.
• Wir sichern vor jeder Änderung Ihre Website, damit Sie jederzeit zum bisherigen Stand zurückkehren können.

Die Diagnose ist kostenlos: Damit klären wir, was nötig ist und was es kostet. Danach erhalten Sie einen Festpreis, bevor wir beginnen. Reparaturen starten ab 295 € netto. Das Bereinigen einer gehackten Website oder die Reparatur eines Onlineshops startet ab 450 € netto. Lösen wir das vereinbarte Problem nicht, erhalten Sie den für diese Arbeit gezahlten Betrag vollständig zurück.

Möchten Sie, dass solche Updates künftig automatisch erledigt werden? Mit unseren Wartungsplänen, etwa Essential (ab 99 € netto pro Monat), halten wir Ihre Website auf dem aktuellen Stand. Haben Sie bereits einen Verdacht auf einen Befall, beginnen Sie mit der Hilfe bei gehackten Websites oder nehmen Sie Kontakt auf.

Quellen

• BSI: PHP, kritische Schwachstellen bedrohen Webanwendungen weltweit
• PHP-Projekt: Advisory und Release-Hinweise, 20. bis 23. Oktober 2026
• CISA: Critical Vulnerabilities in PHP Require Immediate Patching (auf Englisch)
• CERT-EU: Security Advisory 2026-018 (auf Englisch)
• NCSC-NL: PHP vulnerabilities remain a reason for immediate patching (auf Englisch)
• CERT-FR: CERTFR-2026-ALE-014 (auf Französisch)
• Cybermalveillance.gouv.fr: Alerte Cyber, failles critiques dans PHP (auf Französisch)
• Wiz Research: PHP2Shell (auf Englisch)
• watchTowr: PHP2Shell FAQ (auf Englisch)
• Rapid7: CVE-2026-109618 and CVE-2026-109619 (auf Englisch)
• Hostinger: Protecting PHP2Shell (auf Englisch; Stellungnahme eines Hosters, nicht unabhängig geprüft)