PHP Security Vulnerability 2026: Is your website at risk?

The PHP security vulnerability affects a core technology used by many business websites, online shops, and WordPress installations. Two critical vulnerabilities known as PHP2Shell have been disclosed, which under certain conditions allow attackers to execute arbitrary code. Security updates were released on October 21. However, you should not assume that your website is automatically protected.

What matters is which PHP version is actually running on your server and whether your hosting provider has applied the fixes. This also raises an important question: Could an attack have already occurred before the update?

Here you can find out who is affected, how to check your protection, and what steps you should take now.

What is the 2026 PHP security vulnerability?

PHP2Shell refers to two critical security vulnerabilities in the PHP core: CVE-2026-109618 and CVE-2026-109619. Both affect memory management. On vulnerable servers, attackers can execute their own code without authentication under certain conditions. Each vulnerability has a severity score of 9.2 out of 10 according to CVSS 4.0.

PHP processes dynamic content on the server side. This makes the technology relevant for WordPress, Drupal, Joomla, and numerous online shops, among others.

Die Lücke sitzt nicht in einem einzelnen WordPress–Plugin. Ein Plugin-Update allein schließt sie daher nicht.

• CVE-2026-109618: Fehler bei der Speicherbereinigung nach einem Speicherlimit-Ereignis.
• CVE-2026-109619: Veraltete interne Speicherverweise können nach einem Fehler weiterverwendet werden.

Das bedeutet nicht, dass jede PHP-Website bereits gehackt wurde. Die konkrete Gefährdung hängt unter anderem von der PHP-Version and Serverkonfiguration ab.

Warum ist PHP2Shell für Unternehmen gefährlich?

Wenn ein Angreifer eine solche Lücke erfolgreich ausnutzt, kann er mit den Rechten des PHP-Prozesses auf dem Server handeln. Mögliche Folgen reichen von manipulierten Seiten und Ausfällen bis zum Zugriff auf sensible Daten. Für Unternehmen entstehen damit Risiken für Kundenvertrauen, Geschäftsprozesse und die Website-Sicherheit.

Besonders problematisch ist die zeitliche Verzögerung. Ein veröffentlichter Patch schützt nur Systeme, auf denen er wirklich installiert and aktiviert wurde. Auch vollständig aktualisierte Websites sollten prüfen, ob vorher bereits verdächtige Aktivitäten stattgefunden haben.

Warum bestand die Gefahr schon vor der Veröffentlichung?

Erste Angriffsversuche wurden bereits vor dem offiziellen Sicherheitsupdate festgestellt. Amazon registrierte bereits am 17. Oktober 2026 einen gezielten Angriffsversuch auf die PHP-Sicherheitslücke. Das war vier Tage vor der offiziellen Bekanntgabe und Veröffentlichung der Sicherheitsupdates.

In den darauffolgenden Tagen wurden weitere Angriffsversuche beobachtet. Das zeigt, dass Angreifer die Schwachstellen möglicherweise schon kannten, bevor Website-Betreiber darüber informiert wurden.

Wichtig: Ein dokumentierter Angriffsversuch bedeutet nicht automatisch, dass eine Website erfolgreich gehackt wurde.

Trotzdem sollten Website-Betreiber nicht nur ihre PHP-Version aktualisieren. Sie sollten auch prüfen, ob ihre Website bereits vor dem Update angegriffen wurde.

Quelle: AWS Security

Wie prüfst du, ob deine Website betroffen ist?

Schritt 1: Finde deine tatsächlich verwendete PHP-Version

Öffne dein Hosting-Panel und suche nach der PHP-Einstellung deiner Domain. Bei WordPress findest du die Versionsangabe außerdem unter:

Werkzeuge → Website-Zustand → Bericht → Server.

Wichtig: Der angezeigte Wert muss zur produktiven Website gehören. Eine lokale Testumgebung oder die Kommandozeile kann eine andere PHP-Version verwenden.

Schritt 2: Vergleiche die Version mit den Sicherheitsupdates

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt diese korrigierten Versionen:

Offizielle PHP2Shell-Sicherheitsupdates

✓ Veröffentlicht

PHP-Zweig	Mindestens erforderliche Version
PHP 8.5	✓8.5.12
PHP 8.4	✓8.4.27
PHP 8.3	✓8.3.36
PHP 8.2	✓8.2.35

Quelle: Offizielles PHP-Projekt · Sicherheitsupdates vom 21.10.2026

PHP 8.1 und älter werden vom offiziellen PHP-Projekt nicht mehr unterstützt. Für solche Installationen können Hosting-Anbieter or Linux-Distributionen eigene Sicherheitskorrekturen zurückportieren. Dabei bleibt die angezeigte Versionsnummer teilweise unverändert.

Frage deinen Anbieter deshalb nach einem nachweislich eingespielten Fix für beide CVEs, nicht nur nach der Versionsnummer. Mittelfristig solltest du auf einen unterstützten PHP-Zweig wechseln.

Schritt 3: Kläre, wer für das PHP-Update verantwortlich ist

Bei Shared Hosting übernimmt häufig der Anbieter die Paketpflege. Bei eigenen Servern, VPS or Containern kann diese Aufgabe bei dir liegen.

Auch „automatische Updates aktiviert“ ist noch kein Nachweis für einen konkreten Sicherheitsfix.

Bitte deinen Hoster um vier Angaben:

1. Welche PHP-Laufzeit verarbeitet die Anfragen meiner Domain?
2. Sind CVE-2026-109618 und CVE-2026-109619 behoben?
3. Wann wurde der Fix installiert und wurden die PHP-Prozesse neu gestartet?
4. Welche weiteren Schritte empfiehlst du für die Prüfung früherer Angriffe?

Schritt 4: Aktualisiere kontrolliert und teste danach

Erstelle zunächst ein extern gesichertes Backup und prüfe die Kompatibilität deiner Website. Spiele anschließend die geeignete PHP-Version oder das bestätigte Anbieter-Update ein. Teste danach Kontaktformulare, Shop-Checkout, Login, Schnittstellen and wichtige Seiten.

Ein PHP-Sicherheitsupdate ist nicht mit einem WordPress-Core– oder Plugin-Update gleichzusetzen. Beide Ebenen brauchen eine eigene Wartung. Unterstützung bei technischen Anpassungen findest du bei unserer Web development.

Schritt 5: Untersuche auffällige Aktivitäten

Prüfe Server-, PHP– und Zugriffsprotokolle nach ungewöhnlichen Anfragen, unbekannten Dateien, unerwarteten Prozessen oder Veränderungen an Benutzerkonten.

Amazon empfiehlt, die Prüfung für PHP2Shell mindestens ab dem 17. Oktober 2026 anzusetze. Fehlende Warnungen beweisen keinen sauberen Server.

Bei konkreten Hinweisen auf einen Einbruch solltest du einen IT-Sicherheitsexperten hinzuziehen, die betroffenen Systeme sichern and Zugangsdaten kontrolliert erneuern. Ein normaler Website Audit ersetzt keine forensische Sicherheitsanalyse.

Welche Chancen und Risiken gibt es bei der Behebung?

Ein schnelles Update verringert das Risk dieser beiden bekannten Sicherheitslücken. Moderne, unterstützte PHP-Versionen erleichtern außerdem die laufende Wartung.

Allerdings können ältere Themes, Plugins or Eigenentwicklungen nach einem Versionswechsel Fehler zeigen. Darum gehören Backup and Funktionstest zum Vorgehen.

Eine Web Application Firewall (WAF) kann bekannte Angriffsmuster blockieren. Sie ersetzt den Patch jedoch nicht. Auch das vorübergehende Abschalten von Upload-Funktionen ist nur eine begrenzte Schutzmaßnahme.

Wenn ein kritisches System nicht zeitnah gepatcht werden kann, solltest du seine öffentliche Erreichbarkeit gemeinsam mit deinem Administrator bewerten.

Wie entwickelt sich die PHP-Sicherheitslage weiter?

The PHP2Shell-Fälle zeigen, wie schnell neue Angriffsmuster nach einer Veröffentlichung auftauchen können.

Zugleich nutzt die Sicherheitsforschung zunehmend KI-Werkzeuge, um komplexe Schwachstellen zu erkennen und zu of the initial situation. Das beschleunigt die Arbeit der Verteidiger, kann aber auch Angreifern helfen.

Wichtig ist außerdem eine separate Meldung vom 23. Oktober 2026: Das PHP-Projekt beschrieb unter CVE-2026-115560 einen weiteren, nur bei ungewöhnlicher Session-Konfiguration relevanten Angriffsweg.

Diese Meldung bedeutet nicht, dass die Updates vom 21. Oktober gegen die ursprünglichen PHP2Shell-Lücken wirkungslos wären.

PHP empfiehlt für die betroffene Sonderkonfiguration vorläufig session.upload_progress.enabled=0, bis ein reguläres Update erscheint.

Fazit: Was solltest du jetzt tun?

The PHP-Sicherheitslücke 2026 ist real, kritisch und für viele Website-Betreiber relevant. Die passenden Updates für PHP2Shell stehen seit dem 21. Oktober bereit. Safety entsteht aber erst, wenn sie auf deiner tatsächlich genutzten PHP-Laufzeit angekommen sind.

Prüfe deshalb zuerst deine Version und fordere bei Bedarf einen konkreten Patch-Nachweis vom Hoster an.

Sichere anschließend deine Website, teste wichtige Funktionen und kontrolliere verdächtige Aktivitäten aus der Zeit vor dem Update.

Für künftige Vorfälle helfen klare Zuständigkeiten, regelmäßige Wartung und ein nachvollziehbarer Aktualisierungsprozess.

Du möchtest die technische Grundlage deiner Website prüfen und notwendige Anpassungen planen? Die Media Beats GmbH unterstützt dich bei Web development and Website-Optimierung. Nimm unverbindlich Kontakt auf.

FAQ: Häufige Fragen zu PHP2Shell

Ist jede WordPress-Website von PHP2Shell betroffen?

No. Entscheidend ist die PHP-Laufzeit auf dem Server. Nutzt deine WordPress-Website eine verwundbare, ungepatchte PHP-Version, besteht ein Risk – unabhängig vom Aktualisierungsstand einzelner Plugins.

Welche PHP-Versionen schließen PHP2Shell?

Die offiziellen Korrekturen enthalten PHP 8.2.35, 8.3.36, 8.4.27 and 8.5.12 sowie spätere Versionen dieser Zweige. Bei Anbieter-Backports zählt der bestätigte Sicherheitsfix.

Reicht ein automatisches Hosting-Update aus?

Nur wenn dein Anbieter den Fix tatsächlich installiert and aktiviert hat. Lass dir bestätigen, dass beide CVEs behoben sind und die produktive PHP-Laufzeit aktualisiert wurde.

Kann meine Website trotz installiertem Patch kompromittiert sein?

Yes. Ein Patch verhindert die Ausnutzung der behobenen Lücken, entfernt aber keine bereits eingeschleuste Schadsoftware. Prüfe deshalb bei konkretem Verdacht Protokolle, Dateien and Zugriffe.

Hilft eine Firewall gegen PHP2Shell?

Eine WAF kann bekannte Angriffsmuster abfangen und das Risiko senken. Vollständigen Schutz gegen beide PHP2Shell-Lücken bietet nach Angaben des PHP-Projekts nur die wirksame Sicherheitskorrektur.