PHP-Sicherheitslücke: Ist deine Website gefährdet?

Die PHP-Sicherheitslücke betrifft eine zentrale Technik vieler Unternehmenswebsites, Online-Shops und WordPress-Installationen. Unter dem Namen PHP2Shell wurden zwei kritische Schwachstellen bekannt, die Angreifern unter bestimmten Bedingungen die Ausführung fremden Codes ermöglichen. Am 21. Oktober erschienen bereits Sicherheitsupdates. Trotzdem solltest du nicht davon ausgehen, dass deine Website automatisch geschützt ist.

Entscheidend ist, welche PHP-Version tatsächlich auf deinem Server läuft und ob dein Hosting-Anbieter die Korrekturen eingespielt hat. Hinzu kommt eine wichtige Frage: Könnte ein Angriff schon vor dem Update stattgefunden haben?

Hier erfährst du, wer betroffen ist, wie du den Schutz prüfst und welche Maßnahmen jetzt sinnvoll sind.

Was ist die PHP-Sicherheitslücke 2026?

PHP2Shell bezeichnet zwei kritische Sicherheitslücken im PHP-Kern: CVE-2026-109618 und CVE-2026-109619. Beide betreffen die Speicherverwaltung. Auf verwundbaren Servern können Angreifer unter bestimmten Voraussetzungen ohne Anmeldung eigenen Code ausführen. Der Schweregrad liegt jeweils bei 9,2 von 10 nach CVSS 4.0.

PHP verarbeitet serverseitig dynamische Inhalte. Deshalb ist die Technik unter anderem für WordPress, Drupal, Joomla und zahlreiche Shops relevant.

Die Lücke sitzt nicht in einem einzelnen WordPress–Plugin. Ein Plugin-Update allein schließt sie daher nicht.

• CVE-2026-109618: Fehler bei der Speicherbereinigung nach einem Speicherlimit-Ereignis.
• CVE-2026-109619: Veraltete interne Speicherverweise können nach einem Fehler weiterverwendet werden.

Das bedeutet nicht, dass jede PHP-Website bereits gehackt wurde. Die konkrete Gefährdung hängt unter anderem von der PHP-Version und Serverkonfiguration ab.

Warum ist PHP2Shell für Unternehmen gefährlich?

Wenn ein Angreifer eine solche Lücke erfolgreich ausnutzt, kann er mit den Rechten des PHP-Prozesses auf dem Server handeln. Mögliche Folgen reichen von manipulierten Seiten und Ausfällen bis zum Zugriff auf sensible Daten. Für Unternehmen entstehen damit Risiken für Kundenvertrauen, Geschäftsprozesse und die Website-Sicherheit.

Besonders problematisch ist die zeitliche Verzögerung. Ein veröffentlichter Patch schützt nur Systeme, auf denen er wirklich installiert und aktiviert wurde. Auch vollständig aktualisierte Websites sollten prüfen, ob vorher bereits verdächtige Aktivitäten stattgefunden haben.

Warum bestand die Gefahr schon vor der Veröffentlichung?

Erste Angriffsversuche wurden bereits vor dem offiziellen Sicherheitsupdate festgestellt. Amazon registrierte bereits am 17. Oktober 2026 einen gezielten Angriffsversuch auf die PHP-Sicherheitslücke. Das war vier Tage vor der offiziellen Bekanntgabe und Veröffentlichung der Sicherheitsupdates.

In den darauffolgenden Tagen wurden weitere Angriffsversuche beobachtet. Das zeigt, dass Angreifer die Schwachstellen möglicherweise schon kannten, bevor Website-Betreiber darüber informiert wurden.

Wichtig: Ein dokumentierter Angriffsversuch bedeutet nicht automatisch, dass eine Website erfolgreich gehackt wurde.

Trotzdem sollten Website-Betreiber nicht nur ihre PHP-Version aktualisieren. Sie sollten auch prüfen, ob ihre Website bereits vor dem Update angegriffen wurde.

Quelle: AWS Security

Wie prüfst du, ob deine Website betroffen ist?

Schritt 1: Finde deine tatsächlich verwendete PHP-Version

Öffne dein Hosting-Panel und suche nach der PHP-Einstellung deiner Domain. Bei WordPress findest du die Versionsangabe außerdem unter:

Werkzeuge → Website-Zustand → Bericht → Server.

Wichtig: Der angezeigte Wert muss zur produktiven Website gehören. Eine lokale Testumgebung oder die Kommandozeile kann eine andere PHP-Version verwenden.

Schritt 2: Vergleiche die Version mit den Sicherheitsupdates

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt diese korrigierten Versionen:

Offizielle PHP2Shell-Sicherheitsupdates

✓ Veröffentlicht

PHP-Zweig	Mindestens erforderliche Version
PHP 8.5	✓8.5.12
PHP 8.4	✓8.4.27
PHP 8.3	✓8.3.36
PHP 8.2	✓8.2.35

Quelle: Offizielles PHP-Projekt · Sicherheitsupdates vom 21.10.2026

PHP 8.1 und älter werden vom offiziellen PHP-Projekt nicht mehr unterstützt. Für solche Installationen können Hosting-Anbieter oder Linux-Distributionen eigene Sicherheitskorrekturen zurückportieren. Dabei bleibt die angezeigte Versionsnummer teilweise unverändert.

Frage deinen Anbieter deshalb nach einem nachweislich eingespielten Fix für beide CVEs, nicht nur nach der Versionsnummer. Mittelfristig solltest du auf einen unterstützten PHP-Zweig wechseln.

Schritt 3: Kläre, wer für das PHP-Update verantwortlich ist

Bei Shared Hosting übernimmt häufig der Anbieter die Paketpflege. Bei eigenen Servern, VPS oder Containern kann diese Aufgabe bei dir liegen.

Auch „automatische Updates aktiviert“ ist noch kein Nachweis für einen konkreten Sicherheitsfix.

Bitte deinen Hoster um vier Angaben:

1. Welche PHP-Laufzeit verarbeitet die Anfragen meiner Domain?
2. Sind CVE-2026-109618 und CVE-2026-109619 behoben?
3. Wann wurde der Fix installiert und wurden die PHP-Prozesse neu gestartet?
4. Welche weiteren Schritte empfiehlst du für die Prüfung früherer Angriffe?

Schritt 4: Aktualisiere kontrolliert und teste danach

Erstelle zunächst ein extern gesichertes Backup und prüfe die Kompatibilität deiner Website. Spiele anschließend die geeignete PHP-Version oder das bestätigte Anbieter-Update ein. Teste danach Kontaktformulare, Shop-Checkout, Login, Schnittstellen und wichtige Seiten.

Ein PHP-Sicherheitsupdate ist nicht mit einem WordPress-Core– oder Plugin-Update gleichzusetzen. Beide Ebenen brauchen eine eigene Wartung. Unterstützung bei technischen Anpassungen findest du bei unserer Webentwicklung.

Schritt 5: Untersuche auffällige Aktivitäten

Prüfe Server-, PHP– und Zugriffsprotokolle nach ungewöhnlichen Anfragen, unbekannten Dateien, unerwarteten Prozessen oder Veränderungen an Benutzerkonten.

Amazon empfiehlt, die Prüfung für PHP2Shell mindestens ab dem 17. Oktober 2026 anzusetze. Fehlende Warnungen beweisen keinen sauberen Server.

Bei konkreten Hinweisen auf einen Einbruch solltest du einen IT-Sicherheitsexperten hinzuziehen, die betroffenen Systeme sichern und Zugangsdaten kontrolliert erneuern. Ein normaler Website-Audit ersetzt keine forensische Sicherheitsanalyse.

Welche Chancen und Risiken gibt es bei der Behebung?

Ein schnelles Update verringert das Risiko dieser beiden bekannten Sicherheitslücken. Moderne, unterstützte PHP-Versionen erleichtern außerdem die laufende Wartung.

Allerdings können ältere Themes, Plugins oder Eigenentwicklungen nach einem Versionswechsel Fehler zeigen. Darum gehören Backup und Funktionstest zum Vorgehen.

Eine Web Application Firewall (WAF) kann bekannte Angriffsmuster blockieren. Sie ersetzt den Patch jedoch nicht. Auch das vorübergehende Abschalten von Upload-Funktionen ist nur eine begrenzte Schutzmaßnahme.

Wenn ein kritisches System nicht zeitnah gepatcht werden kann, solltest du seine öffentliche Erreichbarkeit gemeinsam mit deinem Administrator bewerten.

Wie entwickelt sich die PHP-Sicherheitslage weiter?

Die PHP2Shell-Fälle zeigen, wie schnell neue Angriffsmuster nach einer Veröffentlichung auftauchen können.

Zugleich nutzt die Sicherheitsforschung zunehmend KI-Werkzeuge, um komplexe Schwachstellen zu erkennen und zu analysieren. Das beschleunigt die Arbeit der Verteidiger, kann aber auch Angreifern helfen.

Wichtig ist außerdem eine separate Meldung vom 23. Oktober 2026: Das PHP-Projekt beschrieb unter CVE-2026-115560 einen weiteren, nur bei ungewöhnlicher Session-Konfiguration relevanten Angriffsweg.

Diese Meldung bedeutet nicht, dass die Updates vom 21. Oktober gegen die ursprünglichen PHP2Shell-Lücken wirkungslos wären.

PHP empfiehlt für die betroffene Sonderkonfiguration vorläufig session.upload_progress.enabled=0, bis ein reguläres Update erscheint.

Fazit: Was solltest du jetzt tun?

Die PHP-Sicherheitslücke 2026 ist real, kritisch und für viele Website-Betreiber relevant. Die passenden Updates für PHP2Shell stehen seit dem 21. Oktober bereit. Sicherheit entsteht aber erst, wenn sie auf deiner tatsächlich genutzten PHP-Laufzeit angekommen sind.

Prüfe deshalb zuerst deine Version und fordere bei Bedarf einen konkreten Patch-Nachweis vom Hoster an.

Sichere anschließend deine Website, teste wichtige Funktionen und kontrolliere verdächtige Aktivitäten aus der Zeit vor dem Update.

Für künftige Vorfälle helfen klare Zuständigkeiten, regelmäßige Wartung und ein nachvollziehbarer Aktualisierungsprozess.

Du möchtest die technische Grundlage deiner Website prüfen und notwendige Anpassungen planen? Die Media Beats GmbH unterstützt dich bei Webentwicklung und Website-Optimierung. Nimm unverbindlich Kontakt auf.

FAQ: Häufige Fragen zu PHP2Shell

Ist jede WordPress-Website von PHP2Shell betroffen?

Nein. Entscheidend ist die PHP-Laufzeit auf dem Server. Nutzt deine WordPress-Website eine verwundbare, ungepatchte PHP-Version, besteht ein Risiko – unabhängig vom Aktualisierungsstand einzelner Plugins.

Welche PHP-Versionen schließen PHP2Shell?

Die offiziellen Korrekturen enthalten PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie spätere Versionen dieser Zweige. Bei Anbieter-Backports zählt der bestätigte Sicherheitsfix.

Reicht ein automatisches Hosting-Update aus?

Nur wenn dein Anbieter den Fix tatsächlich installiert und aktiviert hat. Lass dir bestätigen, dass beide CVEs behoben sind und die produktive PHP-Laufzeit aktualisiert wurde.

Kann meine Website trotz installiertem Patch kompromittiert sein?

Ja. Ein Patch verhindert die Ausnutzung der behobenen Lücken, entfernt aber keine bereits eingeschleuste Schadsoftware. Prüfe deshalb bei konkretem Verdacht Protokolle, Dateien und Zugriffe.

Hilft eine Firewall gegen PHP2Shell?

Eine WAF kann bekannte Angriffsmuster abfangen und das Risiko senken. Vollständigen Schutz gegen beide PHP2Shell-Lücken bietet nach Angaben des PHP-Projekts nur die wirksame Sicherheitskorrektur.