Autor: Luca Benedetti, Geschäftsführer bei B.I.G. Media Consulting
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen „PHP2Shell“ bekannt wurden. Über sie können Angreifer im schlimmsten Fall fremden Code auf einem Webserver ausführen, ohne Passwort, nur über eine präparierte Anfrage. Erste Angriffsversuche wurden schon vor der Veröffentlichung der Updates beobachtet: Amazon meldet einen Versuch auf eines seiner Köder-Systeme am 17. Oktober, vier Tage vor dem Patch.
Das betrifft nicht nur große Konzerne. Gerade Ingenieurbüros, Sachverständige, Architekten und Kanzleien betreiben ihre Website oft seit Jahren auf WordPress, Joomla oder einem anderen PHP-System, eingerichtet von einer Agentur, die längst nicht mehr betreut. Genau dort bleiben solche Lücken am längsten offen.
9,2 / 10
Schweregrad beider Lücken (CVSS 4.0, kritisch)
0
Passwörter nötig: Die Angriffe funktionieren ohne Anmeldung
4 Tage
vor dem Patch gab es den ersten beobachteten Angriffsversuch
Was ist PHP2Shell?
PHP ist die Programmiersprache, auf der ein großer Teil aller Websites läuft, unter anderem WordPress, Joomla und TYPO3. PHP2Shell bezeichnet zwei Fehler in PHP selbst, also im Fundament unter dem Content-Management-System.
| Lücke | Was passiert | Bewertung |
|---|---|---|
| CVE-2026-109618 | Speicher bleibt in einem fehlerhaften Zustand, wenn PHP während einer Anfrage der Speicher ausgeht | 9,2 von 10 (kritisch) |
| CVE-2026-109619 | Bereits freigegebener Speicher wird zwischen zwei Anfragen erneut verwendet | 9,2 von 10 (kritisch) |
In beiden Fällen kann ein Angreifer im ungünstigsten Fall eigenen Code auf dem Server ausführen. Damit lassen sich Inhalte verändern, Schadsoftware ablegen oder Kontaktformulare und Kundendaten abgreifen. Betroffen sind alle PHP-Installationen, die Webseiten ausliefern. Das höchste Risiko sieht das PHP-Projekt bei Servern, auf denen PHP direkt im Apache-Webserver läuft (mod_php): Dort ist ein Angriff ohne Anmeldung bereits vorgeführt worden.
Geschlossen sind die Lücken ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Warum ein WordPress-Update diesmal nicht hilft
Viele Betreiber verlassen sich darauf, dass WordPress sich selbst aktualisiert. Das schützt hier nicht: Die Lücke steckt nicht in WordPress, einem Plugin oder dem Theme, sondern in PHP auf dem Server. Schließen kann sie nur, wer den Server betreibt, in der Regel der Hoster.
Dazu kommt ein zweites Problem. Ältere Websites laufen oft auf einer PHP-Version, die selbst keine regulären Sicherheitsupdates mehr bekommt (PHP 8.1 und älter). Ein Wechsel auf eine aktuelle Version kann dann dazu führen, dass veraltete Plugins oder Themes nicht mehr funktionieren: Die Seite zeigt Fehler oder bleibt weiß. Deshalb wird das Update häufig aufgeschoben, und die Lücke bleibt offen.
Ist meine Website betroffen?
Betroffen ist jede Website, die auf einem eigenen oder gemieteten Server mit PHP läuft und deren PHP-Version noch nicht aktualisiert wurde.
| Ihre Website läuft auf … | Betroffen? |
|---|---|
| WordPress, Joomla, TYPO3, Contao oder einem anderen PHP-CMS | Ja, bis der Hoster PHP aktualisiert hat |
| Selbst programmiertem PHP (Seiten enden auf .php) | Ja, bis der Hoster PHP aktualisiert hat |
| Einem Baukasten wie Jimdo, Wix oder Squarespace | In der Regel nein, der Anbieter betreibt den Server selbst |
| Einer modernen Website ohne PHP (z. B. Next.js) | Nein |
Welches System Ihre Website nutzt, steht oft im Quelltext der Startseite oder lässt sich bei Ihrem Hoster erfragen.
Was passiert, wenn Sie nichts tun
Eine offene Lücke dieser Art bleibt selten lange unentdeckt. Angreifer suchen das Netz automatisiert nach verwundbaren Servern ab, Beispielcode für PHP2Shell kursiert bereits öffentlich. Ob Ihr Betrieb bekannt ist, spielt dabei keine Rolle: Geprüft wird jeder Server, der antwortet. Die Folgen zeigen sich oft erst Wochen später, und dann meist nicht auf Ihrem Bildschirm, sondern bei Ihren Kunden.
| Was passieren kann | Was es für Ihren Betrieb bedeutet |
|---|---|
| Daten werden abgegriffen | Anfragen aus dem Kontaktformular, Kundendaten, Zugangsdaten. Laut Qualys lässt sich über die Lücken auch der Arbeitsspeicher von PHP auslesen, in dem Passwörter und Zugangsschlüssel stehen können. |
| Die Website wird verändert | Versteckte Spam-Links, gefälschte Seiten oder Weiterleitungen auf betrügerische Angebote. Besucher landen woanders als bei Ihnen, oft nur vom Handy aus oder nur über Google, damit es Ihnen selbst nicht auffällt. |
| Warnungen bei Google und im Browser | Erkennt Google Schadcode oder gehackte Inhalte, warnt es Besucher vor Ihrer Seite oder stuft sie in den Suchergebnissen ab. Die Sichtbarkeit, die Sie über Jahre aufgebaut haben, ist dann schnell weg. |
| Ihr Server verschickt Spam | Über gekaperte Server werden massenhaft E-Mails versendet. Ihre Domain landet auf Sperrlisten, und Ihre eigenen Angebote und Rechnungen kommen beim Kunden im Spam-Ordner an. |
| Der Hoster nimmt die Seite vom Netz | Viele Hoster sperren auffällige Pakete, bis sie bereinigt sind. Bis dahin ist Ihre Website nicht erreichbar. |
| Meldepflicht nach DSGVO | Sind personenbezogene Daten betroffen, muss der Vorfall in der Regel innerhalb von 72 Stunden der Datenschutzbehörde gemeldet werden (Art. 33 DSGVO), unter Umständen sind auch die Betroffenen zu informieren. |
Dazu kommt der Aufwand. Ein PHP-Update ist in der Regel eine Sache von Minuten bis wenigen Stunden. Eine kompromittierte Website zu bereinigen, heißt dagegen: jede Datei prüfen, Zugänge austauschen, Datenbank durchsehen, bei Google die Überprüfung beantragen und auf die Freigabe warten. Und für ein Ingenieurbüro oder einen Sachverständigen wiegt etwas anderes noch schwerer: Wer bei Ihnen eine Anfrage stellt, vertraut Ihnen sensible Unterlagen an. Ein Vorfall auf der eigenen Website kratzt genau an diesem Vertrauen.
Was Sie jetzt tun sollten
PHP-Version prüfen
In WordPress steht sie unter Werkzeuge › Website-Zustand › Bericht, im Abschnitt „Server“. Alternativ fragen Sie Ihren Hoster.
Hoster um das Update bitten
Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Manche Hoster spielen die Korrektur in ihre eigene Versionsnummer ein; lassen Sie sich dann bestätigen, dass die Korrekturen für CVE-2026-109618 und CVE-2026-109619 installiert sind. Fragen Sie ausdrücklich nach, ob der Webserver danach neu gestartet wurde, erst dann ist die neue Version aktiv.
Vorher ein Backup anlegen
Dateien und Datenbank, damit Sie im Zweifel zurück können.
CMS und Plugins zuerst aktualisieren
So steigt die Chance, dass alles auch auf der neuen PHP-Version läuft.
Nach dem Update durchklicken
Startseite, Unterseiten, Kontaktformular, Login.
Bei Verdacht genauer hinsehen
Unbekannte Benutzerkonten, veränderte Dateien oder seltsame Inhalte sind Warnzeichen. Ein Update allein entfernt keinen Angreifer, der schon im System ist.
Die eigentliche Lehre: weniger Angriffsfläche
PHP2Shell wird nicht die letzte Lücke dieser Art sein. Jede Website, die aus CMS, Dutzenden Plugins, einem gekauften Theme und einer PHP-Version auf einem Shared-Server besteht, hat viele Stellen, an denen etwas veralten kann, und jede davon muss jemand im Blick behalten.
Typische PHP-Website
- CMS, Theme und oft zwanzig oder mehr Plugins von verschiedenen Herstellern
- PHP-Version auf einem geteilten Server, um die sich der Hoster kümmern muss
- Updates bleiben liegen, weil danach etwas kaputtgehen könnte
- Unklar, wer zuständig ist, wenn eine Lücke bekannt wird
So bauen wir
- Kein PHP, keine Plugins: Unsere Seiten basieren auf Next.js, Lücken wie PHP2Shell betreffen sie nicht
- Inhalte trotzdem selbst pflegen, über ein modernes Content-Management-System (Payload CMS), ohne Programmierkenntnisse
- Eigener Server mit SSL-Verschlüsselung und klarer Zuständigkeit: Sie wissen, wer sich um Updates kümmert
- Weniger Ballast, kürzere Ladezeiten: ein Vorteil bei Google und in KI-Suchen wie ChatGPT
Auch eine schlanke Website braucht Updates, keine Software ist frei von Fehlern. Der Unterschied liegt in der Zahl der Bausteine: Wenige, bekannte Teile lassen sich schnell und sicher aktualisieren. Dutzende Plugins verschiedener Hersteller nicht.
Fazit
Wer eine WordPress- oder andere PHP-Website betreibt, sollte diese Woche mit seinem Hoster sprechen und das PHP-Update bestätigen lassen. Ein CMS-Update allein reicht nicht. Und je länger die Lücke offen bleibt, desto teurer wird es, wenn doch jemand hineinkommt.
Quellen
- The PHP Group: Security advisory: Critical remote code execution vulnerabilities, update now, 21. Oktober 2026
- Help Net Security: PHP2Shell: Critical PHP vulnerabilities patched, update now!, 21. Oktober 2026
- Qualys: Two Critical PHP Flaws Could Hand Attackers Your Web Servers. Here's How to Find, Mitigate, and Patch PHP2Shell Now, 20. Oktober 2026, aktualisiert am 23. Oktober 2026
- windows-faq.de: PHP2Shell – PHP-Sicherheitsupdates Oktober 2026, 21. Oktober 2026
- Datenschutz-Grundverordnung: Art. 33 DSGVO: Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, abgerufen am 24. Oktober 2026
