PHP Security Vulnerability 2026: Is your website at risk?

The PHP security vulnerability affects a core technology used by many business websites, online shops, and WordPress installations. Two critical vulnerabilities known as PHP2Shell have been disclosed, which under certain conditions allow attackers to execute arbitrary code. Security updates were released on October 21. However, you should not assume that your website is automatically protected.

What matters is which PHP version is actually running on your server and whether your hosting provider has applied the fixes. This also raises an important question: Could an attack have already occurred before the update?

Here you can find out who is affected, how to check your protection, and what steps you should take now.

What is the 2026 PHP security vulnerability?

PHP2Shell refers to two critical security vulnerabilities in the PHP core: CVE-2026-109618 and CVE-2026-109619. Both affect memory management. On vulnerable servers, attackers can execute their own code without authentication under certain conditions. Each vulnerability has a severity score of 9.2 out of 10 according to CVSS 4.0.

PHP processes dynamic content on the server side. This makes the technology relevant for WordPress, Drupal, Joomla, and numerous online shops, among others.

PHP processes dynamic content on the server side. This makes the technology relevant for WordPress, Drupal, Joomla, and numerous online shops, among others.

• CVE-2026-109618: Error during memory cleanup following a memory limit event.
• CVE-2026-109619: Outdated internal memory references may continue to be used after an error occurs.

This does not mean that every PHP website has already been hacked. The specific risk depends, among other things, on the PHP version and server configuration.

Why is PHP2Shell dangerous for businesses?

If an attacker successfully exploits such a vulnerability, they can act with the permissions of the PHP process on the server. Possible consequences range from manipulated websites and outages to access to sensitive data. For companies, this creates risks to customer trust, business processes, and website security.

The time delay is particularly problematic. A released patch only protects systems on which it has actually been installed and activated. Even fully updated websites should check whether any suspicious activity occurred before the update.

Why was there a risk even before the publication?

Initial attack attempts were detected even before the official security update. Amazon recorded a targeted attack attempt against the PHP security vulnerability as early as October 17, 2026. This was four days before the official disclosure and release of the security updates.

In the days that followed, additional attack attempts were observed. This indicates that attackers may have already been aware of the vulnerabilities before website operators were notified.

Important: A documented attack attempt does not automatically mean that a website was successfully hacked.

Nevertheless, website operators should not only update their PHP version. They should also check whether their website was already attacked before the update.

Source: AWS Security

How can you check if your website is affected?

Step 1: Find out which version of PHP you're actually using

Open your hosting panel and look for the PHP setting for your domain. In WordPress, you can also find the version information under:

Tools → Site Health → Info → Server.

Important: The value displayed must correspond to the production website. A local test environment or the command line may use a different PHP version.

Step 2: Compare the version with the security updates

On October 21, 2026, the PHP project released these fixed versions:

Official PHP2Shell security updates

✓ Veröffentlicht

PHP branch	Minimum required version
PHP 8.5	✓8.5.12
PHP 8.4	✓8.4.27
PHP 8.3	✓8.3.36
PHP 8.2	✓8.2.35

Source: Official PHP Project · Security updates from October 21, 2026

PHP 8.1 und älter werden vom offiziellen PHP-Projekt nicht mehr unterstützt. Für solche Installationen können Hosting-Anbieter or Linux-Distributionen eigene Sicherheitskorrekturen zurückportieren. Dabei bleibt die angezeigte Versionsnummer teilweise unverändert.

Frage deinen Anbieter deshalb nach einem nachweislich eingespielten Fix für beide CVEs, nicht nur nach der Versionsnummer. Mittelfristig solltest du auf einen unterstützten PHP-Zweig wechseln.

Schritt 3: Kläre, wer für das PHP-Update verantwortlich ist

Bei Shared Hosting übernimmt häufig der Anbieter die Paketpflege. Bei eigenen Servern, VPS or Containern kann diese Aufgabe bei dir liegen.

Auch „automatische Updates aktiviert“ ist noch kein Nachweis für einen konkreten Sicherheitsfix.

Bitte deinen Hoster um vier Angaben:

1. Welche PHP-Laufzeit verarbeitet die Anfragen meiner Domain?
2. Sind CVE-2026-109618 und CVE-2026-109619 behoben?
3. Wann wurde der Fix installiert und wurden die PHP-Prozesse neu gestartet?
4. Welche weiteren Schritte empfiehlst du für die Prüfung früherer Angriffe?

Schritt 4: Aktualisiere kontrolliert und teste danach

Erstelle zunächst ein extern gesichertes Backup und prüfe die Kompatibilität deiner Website. Spiele anschließend die geeignete PHP-Version oder das bestätigte Anbieter-Update ein. Teste danach Kontaktformulare, Shop-Checkout, Login, Schnittstellen and wichtige Seiten.

Ein PHP-Sicherheitsupdate ist nicht mit einem WordPress-Core– oder Plugin-Update gleichzusetzen. Beide Ebenen brauchen eine eigene Wartung. Unterstützung bei technischen Anpassungen findest du bei unserer Web development.

Schritt 5: Untersuche auffällige Aktivitäten

Prüfe Server-, PHP– und Zugriffsprotokolle nach ungewöhnlichen Anfragen, unbekannten Dateien, unerwarteten Prozessen oder Veränderungen an Benutzerkonten.

Amazon empfiehlt, die Prüfung für PHP2Shell mindestens ab dem 17. Oktober 2026 anzusetze. Fehlende Warnungen beweisen keinen sauberen Server.

Bei konkreten Hinweisen auf einen Einbruch solltest du einen IT-Sicherheitsexperten hinzuziehen, die betroffenen Systeme sichern and Zugangsdaten kontrolliert erneuern. Ein normaler Website Audit ersetzt keine forensische Sicherheitsanalyse.

Welche Chancen und Risiken gibt es bei der Behebung?

Ein schnelles Update verringert das Risk dieser beiden bekannten Sicherheitslücken. Moderne, unterstützte PHP-Versionen erleichtern außerdem die laufende Wartung.

Allerdings können ältere Themes, Plugins or Eigenentwicklungen nach einem Versionswechsel Fehler zeigen. Darum gehören Backup and Funktionstest zum Vorgehen.

Eine Web Application Firewall (WAF) kann bekannte Angriffsmuster blockieren. Sie ersetzt den Patch jedoch nicht. Auch das vorübergehende Abschalten von Upload-Funktionen ist nur eine begrenzte Schutzmaßnahme.

Wenn ein kritisches System nicht zeitnah gepatcht werden kann, solltest du seine öffentliche Erreichbarkeit gemeinsam mit deinem Administrator bewerten.

Wie entwickelt sich die PHP-Sicherheitslage weiter?

The PHP2Shell-Fälle zeigen, wie schnell neue Angriffsmuster nach einer Veröffentlichung auftauchen können.

Zugleich nutzt die Sicherheitsforschung zunehmend KI-Werkzeuge, um komplexe Schwachstellen zu erkennen und zu of the initial situation. Das beschleunigt die Arbeit der Verteidiger, kann aber auch Angreifern helfen.

Wichtig ist außerdem eine separate Meldung vom 23. Oktober 2026: Das PHP-Projekt beschrieb unter CVE-2026-115560 einen weiteren, nur bei ungewöhnlicher Session-Konfiguration relevanten Angriffsweg.

Diese Meldung bedeutet nicht, dass die Updates vom 21. Oktober gegen die ursprünglichen PHP2Shell-Lücken wirkungslos wären.

PHP empfiehlt für die betroffene Sonderkonfiguration vorläufig session.upload_progress.enabled=0, bis ein reguläres Update erscheint.

Fazit: Was solltest du jetzt tun?

The PHP-Sicherheitslücke 2026 ist real, kritisch und für viele Website-Betreiber relevant. Die passenden Updates für PHP2Shell stehen seit dem 21. Oktober bereit. Safety entsteht aber erst, wenn sie auf deiner tatsächlich genutzten PHP-Laufzeit angekommen sind.

Prüfe deshalb zuerst deine Version und fordere bei Bedarf einen konkreten Patch-Nachweis vom Hoster an.

Sichere anschließend deine Website, teste wichtige Funktionen und kontrolliere verdächtige Aktivitäten aus der Zeit vor dem Update.

Für künftige Vorfälle helfen klare Zuständigkeiten, regelmäßige Wartung und ein nachvollziehbarer Aktualisierungsprozess.

Du möchtest die technische Grundlage deiner Website prüfen und notwendige Anpassungen planen? Die Media Beats GmbH unterstützt dich bei Web development and Website-Optimierung. Nimm unverbindlich Kontakt auf.

FAQ: Häufige Fragen zu PHP2Shell

Ist jede WordPress-Website von PHP2Shell betroffen?

No. Entscheidend ist die PHP-Laufzeit auf dem Server. Nutzt deine WordPress-Website eine verwundbare, ungepatchte PHP-Version, besteht ein Risk – unabhängig vom Aktualisierungsstand einzelner Plugins.

Welche PHP-Versionen schließen PHP2Shell?

Die offiziellen Korrekturen enthalten PHP 8.2.35, 8.3.36, 8.4.27 and 8.5.12 sowie spätere Versionen dieser Zweige. Bei Anbieter-Backports zählt der bestätigte Sicherheitsfix.

Reicht ein automatisches Hosting-Update aus?

Nur wenn dein Anbieter den Fix tatsächlich installiert and aktiviert hat. Lass dir bestätigen, dass beide CVEs behoben sind und die produktive PHP-Laufzeit aktualisiert wurde.

Kann meine Website trotz installiertem Patch kompromittiert sein?

Yes. Ein Patch verhindert die Ausnutzung der behobenen Lücken, entfernt aber keine bereits eingeschleuste Schadsoftware. Prüfe deshalb bei konkretem Verdacht Protokolle, Dateien and Zugriffe.

Hilft eine Firewall gegen PHP2Shell?

Eine WAF kann bekannte Angriffsmuster abfangen und das Risiko senken. Vollständigen Schutz gegen beide PHP2Shell-Lücken bietet nach Angaben des PHP-Projekts nur die wirksame Sicherheitskorrektur.