PHP-Sicherheitslücke php2shell: Ist deine Website betroffen?
Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP selbst veröffentlicht. Betroffen sein können Websites, die auf PHP laufen, etwa mit WordPress, WooCommerce, TYPO3, Joomla oder Shopware. Ein Update von WordPress oder Plugins schließt die Lücke nicht, PHP muss auf dem Server aktualisiert werden. Lass das am besten heute prüfen.
Was ist passiert?
Hinter dem Namen php2shell stecken zwei Schwachstellen in PHP: CVE-2026-109618 und CVE-2026-109619.
Stand: 21. Oktober 2026. Quellen: Sicherheitswarnung des BSI (PDF) und CERT der Universität Stuttgart.
- Angreifer können ohne Login und mit einer einzigen Anfrage eigenen Code auf dem Server ausführen, noch bevor WordPress oder eine andere Website-Software startet.
- Eine der Lücken kann außerdem Inhalte aus dem Server-Speicher preisgeben, zum Beispiel Passwörter, Zugangstokens und API-Schlüssel.
- Die Bewertung ist kritisch: CVSS 9.2 laut PHP, 9.8 laut NVD.
- Das BSI hat eine Sicherheitswarnung mit Warnstufe Orange herausgegeben und ruft zum sofortigen Handeln auf.
- Einige öffentliche Stellen in Deutschland haben Websites vorsorglich vorübergehend vom Netz genommen.
2
kritische Lücken in PHP selbst
9.8
CVSS-Score laut NVD, Höchstwert ist 10
0
Logins nötig für einen Angriff
4
korrigierte Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35
Bin ich betroffen?
Nicht jede PHP-Website ist automatisch gefährdet, entscheidend sind PHP-Version und Server-Setup. Handeln solltest du, wenn einer dieser Punkte zutrifft:
- Deine Website oder dein Shop läuft mit WordPress, WooCommerce, TYPO3, Joomla, Shopware oder einem anderen CMS auf PHP-Basis.
- Deine PHP-Version ist noch nicht auf dem korrigierten Stand: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
- Deine Seite läuft auf einem eigenen Server, einem VPS oder in Docker. Dann musst du das Update selbst einspielen.
- Du nutzt noch PHP 7.4, 8.0 oder 8.1. Diese Versionen sind End of Life, hier hilft der Wechsel auf eine unterstützte Version.
- Du hast Shared Hosting und weißt nicht, welche PHP-Version deine Seite nutzt. Meist spielt der Hoster das Update ein, ältere Versionen sind aber womöglich nicht gepatcht.
Warum du jetzt handeln solltest.
Kein Grund zur Panik. Aber ein guter Grund, es heute zu klären statt irgendwann.
Übernahme ohne Login
Über die Lücke kann ein Angreifer eigenen Code auf deinem Server ausführen. Ein Passwort braucht er dafür nicht.
Passwörter und Schlüssel
Aus dem Server-Speicher können Passwörter, Zugangstokens und API-Schlüssel abfließen.
Kundendaten und DSGVO
Wurde auf personenbezogene Daten zugegriffen, kann das nach Art. 33 DSGVO innerhalb von 72 Stunden meldepflichtig sein.
Warnhinweise und Ausfall
Google kann gehackte Websites mit einem Warnhinweis versehen. Und bis eine gehackte Seite bereinigt ist, steht sie im schlimmsten Fall still.
So helfe ich dir.
Du schickst mir die Adresse deiner Website. Ich prüfe, aktualisiere und sage dir klar, wie es um deine Seite steht.
Schneller Check
Ich prüfe, welche PHP-Version deine Website nutzt, wo sie gehostet ist und ob die korrigierte Version schon aktiv ist.
Update
Ich spiele die gepatchte PHP-Version ein oder kläre das direkt mit deinem Hoster. Danach werden PHP-FPM und Webserver neu gestartet.
Test
Ich teste, ob deine Website danach weiter sauber läuft, egal ob WordPress, TYPO3 oder Shop.
Kontrolle auf Einbruchsspuren
Ich suche nach Hinweisen auf einen Einbruch, etwa unbekannte Admin-Konten oder veränderte Dateien, und sage dir, welche Schritte als Nächstes sinnvoll sind.
Häufige Fragen zur PHP-Lücke.
Nein. Die Lücken stecken in PHP selbst, nicht in WordPress, TYPO3 oder einem Plugin. Ein Update der Website-Software schließt sie deshalb nicht. PHP muss auf dem Server aktualisiert werden, danach müssen PHP-FPM oder der Webserver neu starten.
Beim Shared Hosting spielt meist der Hoster das Update ein. Prüf trotzdem, welche PHP-Version deine Seite nutzt, denn ältere Versionen sind womöglich nicht gepatcht. Mit eigenem Server, VPS oder Docker musst du das Update selbst einspielen. Das übernehme ich gern für dich.
In WordPress unter Werkzeuge > Website-Zustand > Bericht > Server. Alternativ steht sie im Kundenbereich deines Hosters. Korrigiert sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Melde dich möglichst schnell. Ich prüfe, welche Spuren es gibt, etwa unbekannte Admin-Konten oder veränderte Dateien, und sage dir, welche Schritte jetzt sinnvoll sind. Wurde auf personenbezogene Daten zugegriffen, kann der Vorfall nach Art. 33 DSGVO innerhalb von 72 Stunden meldepflichtig sein.
Das hängt von deinem Setup ab, zum Beispiel vom Hosting und davon, wie viele Websites es sind. Bevor ich loslege, bekommst du einen Festpreis. Dann entscheidest du.
Website jetzt prüfen lassen
Schreib mir die Adresse deiner Website und wo sie gehostet ist. Ich melde mich innerhalb von 24 Stunden persönlich.
Etwas anderes