PHP2Shell: Was tun mit der eigenen Website?
Zwei kritische Lücken in PHP erlauben Angriffe auf Websites mit WordPress, Joomla und TYPO3. Wir erklären, woran Sie erkennen, ob Ihre Seite betroffen ist, was jetzt zu tun ist und wann sich ein Wechsel weg von PHP lohnt.
0151 1206 0778Die kurze Antwort
Läuft Ihre Website mit WordPress, Joomla, TYPO3 oder einem anderen PHP-System, braucht der Server eine dieser PHP-Versionen: 8.2.35, 8.3.36, 8.4.27 oder 8.5.12. Sie erschienen am 21. Oktober 2026 und schließen zwei Lücken, über die Angreifer ohne Anmeldung eigene Befehle auf dem Server ausführen können. Bei normalem Webhosting spielt der Hoster das Update ein, nicht Sie. Fragen Sie dort nach und sehen Sie im Kundenmenü nach, welche PHP-Version Ihre Seite nutzt.
Danach lohnt die Frage, ob Ihre Seite PHP überhaupt braucht. Eine Seite, die nur informiert, kommt ohne aus und braucht dann keine laufenden Updates für PHP, Datenbank und Plugins mehr. Bei Shop, Buchung oder Mitgliederbereich ist gute Wartung meist sinnvoller als ein Systemwechsel.
Auf dieser Seite
Was ist PHP2Shell?
PHP ist die Programmiersprache, mit der ein Webserver die meisten Websites zusammensetzt, bevor er sie an Ihren Browser schickt. WordPress, Joomla, TYPO3, Drupal und viele Shops sind in PHP geschrieben.
PHP2Shell nennt die Sicherheitsfirma Wiz zwei Fehler in PHP selbst: CVE-2026-109618 und CVE-2026-109619. Das PHP-Projekt und das BSI bewerten beide mit 9,2 von 10 Punkten. Die Fehler betreffen den Moment, in dem PHP eine Anfrage abbricht, etwa weil der Arbeitsspeicher nicht reicht. Dabei bleiben Reste im Speicher, die eine spätere Anfrage weiterverwenden kann. Bei Apache mit mod_php genügt nach Angaben des PHP-Projekts eine einzige Anfrage ohne Anmeldung, und der Angriff läuft, bevor WordPress überhaupt startet.
Wiz hat Angriffe auf WordPress, Drupal und Joomla vorgeführt. Nach Angaben der Firma reichen die Fehler mehr als zehn Jahre zurück, bis zu PHP 5.4. Laut CERT-EU, dem IT-Notfallteam der EU-Institutionen, ist jede PHP-Installation gefährdet, die Webseiten ausliefert.
19. August 2026
Wiz findet den ersten Fehler. Bis zum 21. August übernimmt das Team damit Testinstallationen von Drupal und WordPress.
24. August
Wiz meldet die Fehler dem Sicherheitsteam von PHP.
21. September
PHP bestätigt die Fehler und beginnt mit der Korrektur.
17. Oktober
Amazon registriert auf seinen Lockvogel-Servern den ersten Angriffsversuch, vier Tage vor der Veröffentlichung.
20. Oktober
Details gelangen vorzeitig an die Öffentlichkeit. PHP zieht das Update um einen Tag vor.
21. Oktober
Die Updates erscheinen am Nachmittag. Seitdem wird die Lücke laut Amazon breit angegriffen.
Ablauf nach Wiz, Huntress, Amazon und dem PHP-Projekt.
Ist meine Website betroffen?
Ja, wenn sie mit PHP läuft und der Server das Update vom 21. Oktober noch nicht hat. WordPress, Joomla, TYPO3, Drupal, Contao und Shopware laufen immer mit PHP. Die Website eines Vereins oder einer Ferienwohnung ist dabei genauso betroffen wie ein großer Shop.
Nutzen Sie einen Baukasten wie Jimdo oder Wix, kümmert sich der Anbieter um die Software auf seinen Servern. Dort müssen Sie nichts einspielen.
Welche PHP-Version Ihre Seite nutzt, steht im Kundenmenü des Hosters, meist bei den Einstellungen zum Webspace oder zur Domain. In WordPress finden Sie sie unter Werkzeuge → Website-Zustand → Bericht, im Abschnitt Server.
Die Versionsnummer allein sagt nicht alles. Linux-Distributionen und manche Hoster bauen Korrekturen auch in ältere Versionen ein, ohne dass sich die Nummer ändert. Für PHP 8.1 und älter liefert das PHP-Projekt selbst kein Update mehr. Für 7.4, 8.0 und 8.1 gibt es nur Korrekturen im Quellcode, die ein Hoster selbst einbauen muss, für noch ältere Versionen gar nichts.
Nur gut die Hälfte der PHP-Websites, deren Version sich erkennen lässt, läuft auf einem Zweig mit offiziellem Update:
Anteil an allen PHP-Websites mit erkennbarer Version, berechnet aus den Unterversionen bei W3Techs, Stand 22. Oktober 2026. Hoster und Linux-Distributionen sichern einen Teil der älteren Versionen selbst ab. Quelle: W3Techs: PHP
Was Sie jetzt tun sollten
- Fragen Sie beim Support Ihres Hosters nach, ob Ihr Server PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 hat oder die Korrektur auf anderem Weg bekommen hat. Hat eine Agentur Ihre Seite gebaut und betreut sie, fragen Sie dort.
- Läuft Ihre Seite auf PHP 8.1 oder älter, legen Sie eine Sicherung an und stellen Sie im Kundenmenü auf PHP 8.3 oder neuer um. Prüfen Sie danach alle Seiten und das Kontaktformular, denn alte Themes und Plugins laufen auf neuen Versionen nicht immer. Für PHP 8.2 endet die Versorgung am 31. Dezember 2026.
- Geht beides nicht sofort, nehmen Sie die Seite vom Netz. CERT-EU und RUS-CERT, das Sicherheitsteam der Universität Stuttgart, raten, sie bis zum Update abzuschalten oder abzuschirmen. Die Einstellungen, die das PHP-Projekt für die Übergangszeit nennt, senken das Risiko, machen den Server nach dessen eigener Aussage aber nicht sicher.
- Lassen Sie danach prüfen, ob schon jemand eingedrungen ist. Das Update schließt die Lücke, eine vorher eingebaute Hintertür bleibt aber bestehen. Amazon rät, ab dem 17. Oktober nach Spuren zu suchen. Huntress nennt unbekannte Dateien im Webverzeichnis, neue zeitgesteuerte Aufgaben (Cronjobs) und neue Benutzerkonten. In WordPress sehen Sie unter Benutzer, ob ein Konto dazugekommen ist, das Sie nicht kennen.
Haben Sie einen Verdacht, ändern Sie alle Passwörter rund um die Seite: WordPress, Kundenmenü des Hosters, FTP-Zugang und die E-Mail-Postfächer Ihrer Domain. Wie Sie dafür gute Passwörter anlegen und verwalten, steht im Ratgeber zu Passwort-Managern.
Warum PHP-Websites so oft angegriffen werden
Bei WordPress und anderen PHP-Systemen setzt der Server jede Seite beim Aufruf neu zusammen. Der Webserver gibt die Anfrage an PHP weiter, PHP startet WordPress mit seinen Plugins, und WordPress holt die Inhalte aus der Datenbank. Jede Anfrage aus dem Internet erreicht also PHP. Eine statische Website liegt fertig als Datei auf dem Server, beim Aufruf läuft keine Programmiersprache mit.
Programmcode läuft bei jedem Aufruf
WordPress und andere PHP-Systeme
WordPress, Joomla, TYPO3
- Webserver
- PHP (läuft bei jedem Aufruf)Hier greift PHP2Shell
- WordPress und Plugins (läuft bei jedem Aufruf)
- Datenbank
JavaScript-Framework mit Server
Next.js, Nuxt
- Webserver
- Node.js (läuft bei jedem Aufruf)
- Framework (läuft bei jedem Aufruf)Lücke CVE-2025-55182 im Dezember 2025
- Datenbank
Statische Website
Astro, Hugo, Next.js als Export
- Webserver
- Fertige DateiEntsteht vorher beim Bauen
Website-Baukasten
Jimdo, Wix, Squarespace
- Server des Anbieters (läuft bei jedem Aufruf)Updates spielt der Anbieter ein
Vereinfacht. Den Webserver brauchen alle, und auch er braucht Updates.
Dazu kommt die Masse. Fast sieben von zehn Websites, deren Server-Sprache sich erkennen lässt, laufen mit PHP. Für Angreifer, die mit Programmen das ganze Netz nach verwundbaren Servern absuchen, lohnt sich jede PHP-Lücke deshalb besonders.
Anteil an Websites, deren Server-Sprache W3Techs erkennt, Stand 22. Oktober 2026. Eine Website kann mehrere Sprachen nutzen, deshalb ergibt die Summe nicht 100 %. Quelle: W3Techs: Server-Sprachen
Die meisten Lücken stecken allerdings nicht in PHP, sondern in den Erweiterungen. Die Sicherheitsfirma Patchstack zählte 2025 im WordPress-Umfeld 11.334 neue Lücken, 42 % mehr als im Jahr davor. 91 % davon steckten in Plugins und 9 % in Themes, in WordPress selbst waren es 6, alle von geringer Bedeutung. Bei Lücken, die stark angegriffen wurden, vergingen bis zum ersten Angriff im Mittel nur etwa fünf Stunden. RUS-CERT führt die kürzeren Fristen auch darauf zurück, dass Angreifer ihre Werkzeuge inzwischen mit Hilfe von KI bauen.
PHP oder etwas anderes?
Die vier Wege unterscheiden sich vor allem darin, wie viel Software bei jedem Aufruf mitläuft und wer sie auf dem Laufenden hält.
Wer allein wegen PHP2Shell zu einem JavaScript-Framework mit eigenem Server wechselt, tauscht ein Risiko gegen ein ähnliches: Auch dort läuft bei jedem Aufruf Code, der Updates braucht. Weniger zu pflegen gibt es erst bei einer statischen Seite oder bei einem Baukasten, dessen Anbieter sich um die Technik kümmert.
Wann sich der Abschied von PHP lohnt
Wenn Ihre Website vor allem informiert. Eine Seite mit Angebot, Öffnungszeiten, Anfahrt und Kontakt ändert sich ein paarmal im Jahr und sieht für jeden Besucher gleich aus. Dafür brauchen Sie weder PHP noch Datenbank noch Plugins. Als statische Seite oder im Baukasten fallen die Updates weg, um die sich sonst jemand kümmern muss, und Lücken wie PHP2Shell treffen sie nicht.
Ein guter Zeitpunkt ist gekommen, wenn
- die Seite noch auf PHP 8.1 oder älter läuft,
- Theme oder Plugins seit Langem keine Updates mehr bekommen,
- niemand mehr genau weiß, wer die Zugangsdaten hat, oder
- ohnehin ein neues Aussehen ansteht.
Damit Ihre Seite bei Google nicht abrutscht, braucht beim Umzug jede alte Adresse eine Weiterleitung auf die neue.
Bleiben Sie bei PHP, wenn Ihre Website ein Shop, ein Buchungssystem oder ein Mitgliederbereich ist, den Sie selbst regelmäßig pflegen. Dann bringt gute Wartung mehr als ein Wechsel: ein Hoster, der Updates schnell einspielt, wenige gut gepflegte Plugins und jemand, der bei der nächsten Warnung noch am selben Tag reagiert.
Wenn Sie Hilfe möchten
Ihre Website selbst bauen wir nicht um. Wir helfen aber am eigenen Computer: beim Weg ins Kundenmenü Ihres Hosters, beim Anlegen sicherer Passwörter und bei den E-Mail-Postfächern Ihrer Domain. Mehr zu E-Mail und Cloud und zu den Preisen. Woran Sie gefälschte Warnungen erkennen, die solche Nachrichten gern ausnutzen, steht im Ratgeber zu Phishing-Mails.
Weiterführende Quellen
- PHP: Sicherheitsupdate vom 21. Oktober 2026
- RUS-CERT: Kritische Schwachstellen in PHP
- BSI: PHP, kritische Schwachstellen bedrohen Webanwendungen weltweit
- CERT-EU: Sicherheitshinweis 2026-018
- Wiz: PHP2Shell (englisch)
- Amazon: Angriffe vor der Veröffentlichung (englisch)
- Huntress: PHP2Shell (englisch)
- PHP: Unterstützte Versionen (englisch)
- Patchstack: WordPress-Sicherheit 2026 (englisch)
- React: Lücke in React Server Components (englisch)
- CISA: Angriff auf das npm-Verzeichnis (englisch)
Häufige Fragen
Hilft ein WordPress-Update gegen PHP2Shell?
Nein. Die Lücke steckt in PHP, also in der Software auf dem Server, nicht in WordPress. Nötig ist das PHP-Update beim Hoster. WordPress und Plugins sollten Sie trotzdem aktuell halten, denn dort entstehen die meisten anderen Lücken.
Bin ich als Besucher einer Website in Gefahr?
Nicht direkt, angegriffen wird der Server. Eine übernommene Website kann aber Schadsoftware verteilen oder auf gefälschte Seiten weiterleiten. Halten Sie Browser und Betriebssystem aktuell und geben Sie Passwörter nur auf Seiten ein, die Sie selbst aufgerufen haben.
Betrifft das auch einen eigenen Server zu Hause?
Ja, wenn darauf ein PHP-Programm läuft. RUS-CERT nennt ausdrücklich Nextcloud, ownCloud, MediaWiki und DokuWiki, auch in Docker-Containern. Ist ein solcher Dienst aus dem Internet erreichbar, spielen Sie das Update sofort ein oder machen Sie ihn bis dahin nur im Heimnetz erreichbar.
Passende Hilfe in Kiel
Weiterlesen
- Muss ich wirklich jedes Update installieren?Warum PC, Handy, Drucker und Auto Updates brauchen
- Ein angeblicher Microsoft-Mitarbeiter hat angerufen. Was mache ich jetzt?Falscher Microsoft-Anruf oder Warnfenster: was tun?
- Wie mache ich meine Passwörter sicher, ohne mir alles merken zu müssen?Sichere Passwörter und Passwort-Manager einfach erklärt