PHP2Shell: Welche Websites von der PHP-Sicherheitslücke betroffen sind und was Sie jetzt tun
Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht. Unter dem Namen PHP2Shell sorgen sie seitdem für Schlagzeilen: Kommunen wie Mainz haben ihre Websites vorsorglich vom Netz genommen, das BSI hat die Stufe 3 von 4 (Orange) vergeben. t3n, BSI-Sicherheitshinweis
Wer eine Firmenwebsite betreibt, will vor allem zwei Dinge wissen: Ist meine Website betroffen, und was muss ich tun? Dieser Beitrag beantwortet beides in verständlicher Sprache, mit Quellen aus erster Hand: dem PHP-Projekt und dem BSI.
Was ist PHP2Shell?
PHP ist die Programmiersprache, mit der sehr viele Websites auf dem Server arbeiten. Bei jedem Seitenaufruf setzt PHP die Seite zusammen, liest die Datenbank und verarbeitet Formulare. WordPress, Drupal, TYPO3, Joomla und Magento sind in PHP geschrieben, ebenso Nextcloud und viele Shops und Buchungssysteme. BSI-Sicherheitshinweis
PHP2Shell ist der Sammelname für zwei Fehler in PHP selbst, nicht in WordPress oder einem Plugin. Beide erlauben es einem Angreifer, ohne Anmeldung eigenen Code auf dem Server auszuführen. Damit kann er die Website verändern, Kundendaten auslesen oder den Server für weitere Angriffe nutzen. Der Name spielt auf Log4Shell an, eine ähnlich weit verbreitete Lücke aus dem Jahr 2021. Technische Details stehen in den Sicherheitshinweisen zu CVE-2026-109618 und CVE-2026-109619.
| Merkmal | Angabe |
|---|---|
| Kennungen | CVE-2026-109618 und CVE-2026-109619 |
| Schweregrad | 9,2 von 10 (CVSS 4.0), beide Lücken |
| Voraussetzung für einen Angriff | keine Anmeldung, kein Zutun der Besucher |
| Bekannt geworden | 20. Oktober 2026, Details gelangten vor dem geplanten Termin an die Öffentlichkeit |
| Erster beobachteter Angriffsversuch | 17. Oktober 2026, vier Tage vor den Updates (Amazon) |
| Updates veröffentlicht | 21. Oktober 2026, 16 Uhr deutscher Zeit |
| Einstufung durch das BSI | Stufe 3 von 4 (Orange): Maßnahmen müssen unverzüglich ergriffen werden |
An der Entdeckung beteiligt waren nach Angaben des BSI die Sicherheitsfirmen Wiz und Calif sowie OpenAI. Das BSI weist zugleich darauf hin, dass Angreifer mit KI-Werkzeugen Updates heute in kurzer Zeit analysieren und daraus Angriffe bauen können. BSI-Sicherheitshinweis
Wird PHP2Shell schon ausgenutzt?
Versuche gibt es. Amazon hat in seinem Netz aus Köder-Servern einen ersten Angriffsversuch schon am 17. Oktober 2026 gesehen, vier Tage vor den Updates, und am 21. Oktober, noch vor der Veröffentlichung, mehrere Beispiel-Exploits und weitere Versuche. Das BSI meldet in Version 1.2 seines Hinweises keine bestätigten erfolgreichen Angriffe in der regulierten Wirtschaft oder der Bundesverwaltung, wertet die Berichte aber als Beleg für automatisierte Angriffsversuche. Die Zahl verwundbarer Systeme sei weiterhin sehr hoch. Deshalb zählt bei dieser Lücke jeder Tag. Amazon Threat Intelligence, BSI-Sicherheitshinweis
Welche Websites sind von der PHP-Sicherheitslücke betroffen?
Betroffen ist jede Website, deren Server PHP ausführt, gleich wie PHP dort eingebunden ist. Das höchste Risiko sieht das PHP-Projekt bei Servern mit Apache und mod_php: Dort gelang der Angriff, bevor die Website selbst eine einzige Zeile Code ausgeführt hatte. PHP-Sicherheitshinweis
Ob Ihre Website geschützt ist, entscheidet allein die PHP-Version auf dem Server:
| PHP-Version | Geschlossen ab | Was Sie tun |
|---|---|---|
| 8.5 | 8.5.12 | Version prüfen, sonst beim Hoster nachfragen |
| 8.4 | 8.4.27 | Version prüfen, sonst beim Hoster nachfragen |
| 8.3 | 8.3.36 | Version prüfen, sonst beim Hoster nachfragen |
| 8.2 | 8.2.35 | Version prüfen und Wechsel planen: nach dem 31.12.2026 gibt es für 8.2 keine Sicherheitsupdates mehr |
| 8.1, 8.0, 7.4 | keine reguläre neue Version | auf PHP 8.3 oder 8.4 umstellen |
| 7.3 und älter | keine Korrektur | auf PHP 8.3 oder 8.4 umstellen |
Für PHP 7.4, 8.0 und 8.1 hat das PHP-Projekt nur Korrekturen im Quellcode bereitgestellt, und einige Linux-Distributionen bauen eigene Updates. Für eine Website auf Shared Hosting hilft das wenig: Dort ist die Umstellung auf eine aktuelle Version der Weg, der sicher funktioniert.
Nicht betroffen sind Websites, deren Server kein PHP ausführt. Bei Baukästen und gemieteten Shopsystemen betreibt der Anbieter die Server und spielt Updates selbst ein, dort müssen Sie in der Regel nichts tun.
Das BSI erinnert außerdem daran, dass PHP auch in Geräten mit Weboberfläche steckt, etwa in Firewalls, Routern und anderen Netzwerkgeräten. Für sie sind die Firmware-Updates des Herstellers maßgeblich. BSI-Sicherheitshinweis
PHP-Version prüfen: So sehen Sie, welche Version Ihre Website nutzt
- In WordPress nachsehen.Im Dashboard unter Werkzeuge, Website-Zustand, Reiter „Bericht“, Abschnitt „Server“ steht die PHP-Version mit der vollen Nummer, zum Beispiel 8.3.36.
- Im Kundencenter des Hosters nachsehen.Auf Shared Hosting wählen Sie die PHP-Version selbst, meist in den Einstellungen des Webhosting-Pakets. Bei IONOS unter Menü, Hosting, Kachel „PHP“, „Verwalten“, im WordPress-Hosting von IONOS in den erweiterten Einstellungen unter „PHP-Version“. IONOS-Hilfe
- Den Hoster oder die Agentur fragen.Ohne eigenen Zugang schicken Sie diese Frage: „Welche PHP-Version läuft auf unserer Website, und ist das Update gegen PHP2Shell (CVE-2026-109618 und CVE-2026-109619) eingespielt?“ Lassen Sie sich die Versionsnummer schriftlich nennen.
Die Versionsnummer allein reicht nicht immer
Auf eigenen Servern kommt PHP meist aus der Paketverwaltung der Linux-Distribution. Debian, Ubuntu oder Red Hat bauen die Korrektur dann teils in eine ältere Versionsnummer ein. Das BSI empfiehlt in diesem Fall, die installierte Version mit dem Sicherheitshinweis der Distribution abzugleichen. Im Zweifel bestätigt der Hoster den Stand. BSI-Sicherheitshinweis
WordPress: PHP-Version aktualisieren
Läuft Ihre Website auf PHP 8.1 oder älter, ist die Umstellung auf eine neuere Version der einzige verlässliche Schutz. Die Umstellung selbst dauert auf Shared Hosting wenige Minuten, mehr Zeit braucht die Prüfung danach: IONOS weist ausdrücklich darauf hin, dass ein Versionswechsel die Funktion der Website beeinträchtigen kann. IONOS-Hilfe
- Sicherung anlegen.Erstellen Sie ein Backup von Dateien und Datenbank, im Kundencenter des Hosters oder mit einem Backup-Plugin.
- Plugins und Theme aktualisieren.Aktuelle Versionen laufen in der Regel problemlos auf PHP 8.3. Veraltete Plugins sind der häufigste Grund für Fehler nach dem Wechsel.
- PHP-Version umstellen.Wählen Sie im Kundencenter PHP 8.3 oder 8.4. Mit älteren Plugins ist PHP 8.3 die vorsichtigere Wahl.
- Website testen.Rufen Sie die Startseite, einige Unterseiten, das Kontaktformular und den Seiteneditor auf. Zeigt sich ein Fehler, holen Sie Hilfe, statt dauerhaft zur alten Version zurückzukehren: Die alte Version bleibt angreifbar.
Aus unserer Praxis: Am 25. Oktober 2026 haben wir eine WordPress-Website mit Elementor bei IONOS von PHP 8.0 auf 8.3 umgestellt. Die Umstellung war ein Klick im Kundencenter, danach meldete der Server PHP 8.3.36, und die Startseite lief ohne Fehler weiter.
Wenn Sie nicht sofort umstellen können
Das BSI rät, ein verwundbares System bis zum Update vorübergehend vom Internet zu trennen, weil alle bekannten Workarounds und Firewall-Regeln nur teilweise schützen. Für eine Website heißt das: offline nehmen oder eine statische Wartungsseite ohne PHP schalten. Ein Wartungsmodus-Plugin hilft nicht, weil es selbst in PHP läuft. BSI-Sicherheitshinweis
Was tun, wenn die Website angreifbar war?
Wer ab dem 17. Oktober 2026 mit einer verwundbaren Version online war, sollte nicht nur aktualisieren, sondern auch nachsehen. Amazon rät ausdrücklich, ab diesem Datum zu suchen, nicht erst ab der Veröffentlichung der Updates. Das BSI empfiehlt, sicherzustellen, dass keine Kompromittierung stattgefunden hat. Eindeutige Erkennungsmerkmale speziell für PHP2Shell gibt es laut BSI nicht, deshalb helfen die allgemeinen Anzeichen für einen gehackten Webserver. Amazon Threat Intelligence, BSI-Sicherheitshinweis
- Bei konkretem Verdacht zuerst Protokolle und Dateien sichern, dann bereinigen, sonst fehlen die Spuren für die Aufklärung.
- Passwörter ändern: WordPress-Administratoren, Kundencenter des Hosters, SFTP- und Datenbankzugänge. Auch die Sicherheitsschlüssel (Salts) in der wp-config.php und API-Schlüssel von Zahlungs- oder Maildiensten erneuern, weil ein Angreifer die Konfiguration lesen konnte.
- Unter „Benutzer“ prüfen, ob unbekannte Administratorkonten angelegt wurden.
- Die Website mit einem Sicherheits-Plugin wie Wordfence oder Sucuri scannen lassen.
- Auf neue oder veränderte PHP-Dateien mit Datum ab dem 17. Oktober 2026 achten, besonders im Upload-Ordner wp-content/uploads.
- Beim Hoster nachfragen, ob die Zugriffsprotokolle Auffälligkeiten zeigen.
- Bei konkreten Spuren eine Sicherung von vor dem 17. Oktober 2026 einspielen, sofort PHP aktualisieren und alle Passwörter und Schlüssel neu setzen.
- Sind personenbezogene Daten betroffen, etwa Kundenkonten oder Formularanfragen, muss die Datenschutzbehörde in der Regel innerhalb von 72 Stunden informiert werden (Art. 33 DSGVO).
Was der Hoster übernimmt und was Sie selbst tun müssen
| Hosting-Art | Wer das PHP-Update einspielt | Ihre Aufgabe |
|---|---|---|
| Shared Hosting, z. B. IONOS oder Strato | der Hoster, für die Versionen, die er anbietet | eine aktuelle PHP-Version auswählen und prüfen |
| Managed WordPress | der Anbieter | den Stand beim Anbieter erfragen |
| Eigener Server oder VPS | Sie oder Ihr Dienstleister | Pakete aktualisieren, PHP-Dienste neu starten, Version im Webserver prüfen: php -v zeigt nur die Kommandozeile |
| Docker-Container | Sie oder Ihr Dienstleister | Images neu bauen und ausrollen |
| Baukasten oder gemieteter Shop | der Anbieter | in der Regel nichts |
Wichtig bei Shared Hosting: Der Hoster aktualisiert die Versionen, die er regulär unterstützt. Wer im Kundencenter noch PHP 8.0 oder 8.1 eingestellt hat, bleibt womöglich ungeschützt, bis er selbst umstellt. Genau das haben wir bei einer Kundenseite vorgefunden. IONOS etwa meldet, das Update auf allen selbst betriebenen Plattformen eingespielt zu haben, und bietet für alte Versionen einen kostenpflichtigen Extended Support an. Ob eine alte Version darüber die PHP2Shell-Korrektur bekommen hat, sagt Ihnen nur der Hoster. Die Umstellung auf PHP 8.3 oder 8.4 erspart die Frage. IONOS-Newsroom, IONOS Extended Support
Die dritte PHP-Lücke CVE-2026-115560
Am 23. Oktober 2026 hat das PHP-Projekt auf eine weitere Schwachstelle hingewiesen. Sie tritt nur bei einer ungewöhnlichen Kombination aus Einstellungen und Programmcode auf und wird deshalb mit dem nächsten regulären Update geschlossen, ohne Notfall-Release. Bis dahin empfiehlt das PHP-Projekt, die Einstellung session.upload_progress.enabled auf 0 zu setzen. Das ist Sache des Hosters oder Server-Administrators, auf Shared Hosting können Sie danach fragen. PHP-Hinweis vom 23.10.2026
Berichte, die Korrekturen gegen PHP2Shell seien unvollständig und ließen sich umgehen, hat das BSI als widerlegt eingestuft. Das Update auf eine der genannten Versionen schützt vor den beiden PHP2Shell-Lücken, die dritte schließt erst das nächste reguläre Update. BSI-Sicherheitshinweis
Sind Privatpersonen von der PHP-Sicherheitslücke betroffen?
Kaum direkt. PHP2Shell betrifft Server, nicht Smartphones, Computer oder Banking-Apps. Wer eine Website besucht, muss nichts installieren. Indirekt kann es Nutzer treffen, wenn ein Angreifer die Kundendaten eines Shops ausliest. Wer zu Hause einen Router oder Netzwerkspeicher mit Weboberfläche betreibt, spielt die Firmware-Updates des Herstellers ein. Wer eine eigene Nextcloud betreibt, aktualisiert PHP auf dem eigenen Server.
Warum Websites ohne PHP-Server nicht betroffen sind
Eine Website braucht nicht zwingend PHP. Neue Kundenseiten bauen wir mit Next.js: Die Seiten werden vorab erzeugt und über Vercel ausgeliefert, auf dem Server läuft kein PHP. Eine Lücke wie PHP2Shell hat dort keinen Angriffspunkt, für diese Kunden war wegen PHP2Shell nichts zu tun.
Pflegefrei sind solche Seiten trotzdem nicht: Auch Next.js und seine Bausteine bekommen Sicherheitsupdates, im Oktober 2026 haben wir Next.js auf unserer eigenen Website wegen mehrerer Sicherheitshinweise aktualisiert. Der Unterschied liegt darin, wie viel offen im Internet läuft. Ein Content-Management-System mit Plugins, Datenbank und Login auf demselben Server bietet mehr Angriffsfläche als vorab erzeugte Seiten. Wie wir Websites bauen, steht unter Webdesign. Im kostenlosen Website-Check prüfen wir mit, ob Ihr Server eine PHP-Version nennt und ob sie geschlossen ist.
Häufige Fragen
Was tun bei der PHP-Sicherheitslücke PHP2Shell?
PHP-Version der Website prüfen. Steht dort 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder eine neuere Version desselben Zweigs, ist die Lücke geschlossen. Bei PHP 8.1 und älter im Kundencenter auf 8.3 oder 8.4 umstellen. Danach Passwörter und Schlüssel ändern und die Website ab dem 17. Oktober 2026 auf unbekannte Administratoren und Dateien prüfen.
Welche Seiten sind von der PHP-Sicherheitslücke betroffen?
Alle Websites, deren Server PHP ausführt und noch keine korrigierte Version nutzt. Dazu gehören viele Seiten mit WordPress, TYPO3, Joomla, Drupal und Magento. Websites ohne PHP auf dem Server sind nicht betroffen.
Reicht ein WordPress-Update gegen PHP2Shell?
Nein. Die Lücke steckt in PHP, nicht in WordPress oder einem Plugin. Aktualisiert werden muss die PHP-Version auf dem Server. Ein Plugin, das Schutz vor PHP2Shell verspricht, ersetzt das PHP-Update nicht.
Wie kann ich die PHP-Version meiner WordPress-Website anzeigen?
Im WordPress-Dashboard unter Werkzeuge, Website-Zustand, Reiter „Bericht“, Abschnitt „Server“. Alternativ im Kundencenter des Hosters in den Einstellungen des Webhostings.
Ist die PHP-Sicherheitslücke bei Strato und IONOS behoben?
IONOS meldet, das Update auf allen selbst betriebenen Plattformen eingespielt zu haben. Auf Kundenseiten, die wir am 25. Oktober 2026 geprüft haben, meldeten IONOS-Server PHP 8.3.36 und Strato-Server PHP 8.2.35. Geschützt ist Ihre Website aber nur, wenn in Ihrem Paket eine dieser aktuellen Versionen eingestellt ist. Bei PHP 8.1 und älter stellen Sie selbst um.
Bin ich als Privatperson von der PHP-Sicherheitslücke betroffen?
In der Regel nicht direkt. Die Lücke betrifft Server, nicht Smartphones oder Computer. Wer einen Router oder Netzwerkspeicher betreibt, spielt die Firmware-Updates des Herstellers ein, wer eine eigene Nextcloud betreibt, aktualisiert PHP auf dem eigenen Server.
Ist die PHP-Sicherheitslücke behoben?
Für die beiden PHP2Shell-Lücken ja, seit dem 21. Oktober 2026 mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Geschützt ist eine Website aber erst, wenn eine dieser Versionen auf ihrem Server läuft. Eine dritte, deutlich seltenere Lücke (CVE-2026-115560) wird mit dem nächsten regulären Update geschlossen.
Hinweis
Dieser Beitrag gibt den Stand vom 25. Oktober 2026 wieder. Die Lage ändert sich laufend, maßgeblich sind die Sicherheitshinweise des PHP-Projekts und des BSI.