PHP2Shell: Ist deine Website von der PHP-Lücke betroffen?

Was ist PHP2Shell?

PHP ist die Programmiersprache, mit der WordPress, Joomla, Drupal, Shopware, Magento und die meisten Websites kleiner Betriebe laufen. Unter dem Namen PHP2Shell wurden zwei Fehler in PHP selbst bekannt, also nicht in einem Plugin oder Theme, sondern in der Technik darunter:

• CVE-2026-109618: Ein Fehler bei der Behandlung von Speichermangel. Teilweise vorbereitete Anfragedaten werden beim Aufräumen als gültig behandelt.
• CVE-2026-109619: Ein Zustand aus einer früheren Anfrage bleibt erhalten, obwohl sein Speicher schon freigegeben ist. Die nächste Anfrage kann darauf zugreifen.

Das PHP-Team bewertet beide als kritisch, mit 9,2 von 10 Punkten auf der CVSS-Skala. Betroffen sind laut PHP alle Installationen, die Webanfragen beantworten, egal ob PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed.

Was ist genau passiert?

Normalerweise werden solche Lücken still behoben und erst mit dem Update veröffentlicht. Diesmal lief es anders:

1. 20. Oktober 2026: Details zu beiden Lücken landen vorzeitig auf Hacker News. Der Beitrag wird gelöscht, Screenshots verbreiten sich trotzdem. PHP kündigt daraufhin ein Sicherheits-Update an.
2. 21. Oktober 2026: PHP veröffentlicht die reparierten Versionen, einen Tag früher als geplant. Das BSI warnt, Sicherheitsforscher zeigen am selben Tag, dass sich WordPress, Drupal und Joomla übernehmen lassen.
3. 22. Oktober 2026: Hoster spielen die Updates nach und nach ein. Erste Fehler in den neuen Versionen werden gemeldet, weitere Nachbesserungen sind angekündigt.

Laut einer Auswertung der Sicherheitsfirma Mallory meldeten am 20. Oktober rund 884.000 Server PHP 8.1 oder älter. Das sind 59 % aller Server, die ihre PHP-Version öffentlich anzeigen.

Was können Angreifer damit anrichten?

Beide Lücken erlauben eine Remote Code Execution: Ein Angreifer schickt eine präparierte Anfrage an deine Website und führt danach eigenen Code auf deinem Server aus. Ein Login ist dafür nicht nötig. Bei Apache mit mod_php greift ein bekannter Angriff sogar, bevor die Website selbst überhaupt startet.

• Die Website wird übernommen, verändert oder verteilt Schadsoftware an Besucher.
• Passwörter, Zugangsschlüssel und Kundendaten aus Formularen oder dem Shop können ausgelesen werden.
• Der Server versendet Spam oder greift andere Systeme an, ohne dass du es merkst.

Für dich als Betreiber heißt das auch: Werden über deine Website personenbezogene Daten abgegriffen, ist das eine Datenpanne. Die DSGVO verlangt angemessene technische Schutzmaßnahmen, und dazu gehören aktuelle Software-Versionen.

Welche PHP-Versionen sind sicher?

Repariert sind nur diese Versionen und alles, was danach erscheint:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Für PHP 8.1, 8.0, 7.x und älter gibt es vom PHP-Projekt kein offizielles Update mehr. Einige Hoster und Linux-Distributionen haben die Korrektur in ihre eigenen Pakete übernommen. Ob das bei deinem Paket der Fall ist, kann dir nur dein Hoster sagen. Die sichere Lösung bleibt der Umstieg auf eine unterstützte Version.

Wie finde ich heraus, welche PHP-Version meine Website nutzt?

Das geht ohne Technikkenntnisse in wenigen Minuten:

1. Im Hosting-Kundenbereich: Bei Strato, IONOS, All-Inkl, Hetzner und anderen steht die PHP-Version in den Einstellungen deines Pakets oder deiner Domain.
2. In WordPress: Unter Werkzeuge → Website-Zustand → Bericht → Server steht die genaue PHP-Version.
3. Im Browser: Öffne deine Website, drücke F12, wähle Netzwerk, lade neu und klicke auf den ersten Eintrag. Steht unter den Antwort-Headern X-Powered-By: PHP/…, siehst du die Version direkt.
4. Vergleichen: Liegt deine Version unter den reparierten Versionen oben, ist deine Website betroffen.

Ist die Version nirgends zu sehen, frag deinen Hoster schriftlich, ob dein Paket gegen CVE-2026-109618 und CVE-2026-109619 abgesichert ist.

Was tun, wenn meine Website betroffen ist?

• Update einspielen: Im Hosting-Kundenbereich lässt sich die PHP-Version meist selbst umstellen. Danach Website, Formulare und Shop kurz durchklicken.
• Bei PHP 8.1 oder älter umsteigen: Der Wechsel auf 8.2 oder neuer kann ältere Plugins und Themes stören. Am besten erst auf einer Testkopie prüfen.
• Keine inoffiziellen Fix-Plugins: Die Sicherheitsfirma Patchstack rät ausdrücklich von Schnelllösungen aus dem Netz und kopierten Code-Schnipseln ab.
• Alle Installationen bedenken: Testseiten, alte Subdomains und Kundenbereiche laufen oft auf einer eigenen PHP-Version.
• Wenn ein Update nicht sofort geht: Bei einer Website mit Kundendaten lieber vorübergehend in den Wartungsmodus schalten, als sie ungeschützt laufen zu lassen.

Auffällig sind laut Patchstack gehäufte Fehler 500, ungewöhnliche Upload-Anfragen und unerklärliche Neustarts. Das ist kein Beweis für einen Angriff, aber ein Grund, genauer hinzusehen.

Häufige Fragen