Sicherheitswarnung · Stand 22. Oktober 2026
Kritische PHP-Sicherheitslücke: Ist Ihre Website betroffen?
Über die Lücke „php2shell“ können Angreifer ohne Login Schadcode auf Webservern ausführen. Das betrifft potenziell jede Website, die mit PHP läuft, also auch WordPress, Shopware, TYPO3 und viele mehr. Prüfen Sie in wenigen Sekunden, ob Ihre Website ein Risiko hat.
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Team außerplanmäßig Updates für zwei kritische Sicherheitslücken veröffentlicht, die unter dem Namen „php2shell“ bekannt geworden sind. Details waren schon vorab durchgesickert, entsprechend schnell ist Angriffscode im Umlauf.
Über die Lücken kann ein Angreifer mit einer präparierten Anfrage Code auf dem Webserver ausführen, ohne sich anzumelden. Im schlimmsten Fall hat er damit Zugriff auf Website, Datenbank und alles, was auf dem Server liegt, etwa Kundendaten oder Bestellungen.
- Kennungen
- CVE-2026-109618, CVE-2026-109619
- Schweregrad
- Kritisch, CVSS 9.2 von 10
- Folge
- Fremder Code läuft auf Ihrem Server, ohne Login
- Lage
- Erste Angriffe gemeldet, das BSI rät zum sofortigen Update
Wer ist betroffen?
Grundsätzlich jede Website, die mit PHP läuft und noch nicht aktualisiert wurde. PHP ist die Grundlage der meisten Content-Management- und Shopsysteme:
- WordPress
- WooCommerce
- Shopware
- TYPO3
- Joomla
- Drupal
- Contao
- Magento
- PrestaShop
- Laravel
- Nach aktuellem Stand sind alle PHP-Versionen seit 5.4 betroffen, egal ob PHP über PHP-FPM, Apache mit mod_php, CGI, FrankenPHP oder LiteSpeed läuft.
- Am größten ist das Risiko bei Apache mit mod_php: Dort ist ein Angriff ohne Login nachgewiesen, der greift, noch bevor Ihre Anwendung überhaupt startet.
- PHP 8.1 und älter erhalten keine offiziellen Updates mehr. Für 7.4 bis 8.1 gibt es nur Quellcode-Patches zum Selbstkompilieren, für ältere Versionen gar nichts. Hier hilft praktisch nur ein Patch Ihres Anbieters oder ein Upgrade.
Diese Versionen enthalten den Fix
| Branch | Version mit Fix |
|---|---|
| PHP 8.5 | ab 8.5.12 |
| PHP 8.4 | ab 8.4.27 |
| PHP 8.3 | ab 8.3.36 |
| PHP 8.2 | ab 8.2.35 |
Linux-Distributionen wie Debian, Ubuntu oder Red Hat liefern eigene Pakete mit dem Fix aus, oft unter der bisherigen Versionsnummer.
Was jetzt zu tun ist
Schritt 1: PHP aktualisieren
Das ist laut PHP-Team die einzige vollständige Lösung. Bei Shared Hosting übernimmt das meist der Anbieter. Fragen Sie nach, ob das Update eingespielt ist.
Schritt 2: Übergangsweise absichern
Ist ein Update nicht sofort möglich, senken Einstellungen wie „session.upload_progress.enabled = 0“ oder WAF-Regeln, etwa von Cloudflare, das Risiko. Sie ersetzen das Update aber nicht. Im Zweifel nehmen Sie die Seite bis zum Update vom Netz.
Schritt 3: Auf Einbruchsspuren prüfen
Da bereits Angriffe laufen, sollten Sie nach dem Update prüfen, ob unbekannte Dateien, Benutzerkonten oder Weiterleitungen aufgetaucht sind.
So funktioniert der Check
- Wir rufen die eingegebene Adresse einmal auf, wie ein normaler Browser.
- Wir werten aus, was jeder Besucher sieht: Server-Header, Cookies und den Quelltext der Seite.
- Es werden keine Angriffe ausgeführt und keine Schwachstellen ausprobiert.
- Für unsere Statistik erfassen wir nur die geprüfte Domain und das Ergebnis, ohne Cookies und ohne Bezug zu Ihrer Person.
Viele Server verbergen ihre PHP-Version, und Distributionen patchen oft ohne neue Versionsnummer. Der Check liefert deshalb eine Einschätzung, keine Garantie.
Häufige Fragen
Ist meine WordPress-Seite betroffen?
Wenn der Server, auf dem sie läuft, noch nicht aktualisiert wurde: ja. Die Lücke steckt in PHP selbst, nicht in WordPress. Ein WordPress-Update allein hilft daher nicht, entscheidend ist die PHP-Version auf dem Server.
Hilft ein Sicherheits-Plugin?
Nein. Sicherheits-Plugins laufen selbst innerhalb von PHP und können einen Angriff auf PHP nicht zuverlässig abfangen. Nur das Update schließt die Lücke.
Kümmert sich mein Hoster nicht ohnehin um Updates?
Bei Shared Hosting meistens ja. Bei eigenen Servern, VPS oder Managed-Servern mit eigener PHP-Version liegt das Update oft bei Ihnen oder Ihrer Agentur. Fragen Sie im Zweifel konkret nach, oder geben Sie den Betrieb ganz an uns ab.
Ist der Check sicher für meine Website?
Ja. Der Check ruft Ihre Seite einmal ganz normal auf, wie jeder Besucher. Es wird nichts angegriffen und nichts verändert.
Können Sie den Betrieb für uns übernehmen?
Ja. Wir übernehmen Ihre Website oder Webanwendung und betreiben sie dauerhaft für Sie: Hosting, Wartung, Updates und Sicherheitslücken wie diese. Sie zahlen einen festen Monatspreis und müssen sich um den Server nicht mehr kümmern. Das Erstgespräch ist kostenlos.
Wir betreiben Ihre Website für Sie.
Schreiben Sie uns, um welche Website oder App es geht, oder rufen Sie direkt an. Wir übernehmen Hosting, Wartung und Updates dauerhaft, zum festen Monatspreis. Das Erstgespräch ist kostenlos.