PHP 8.1 oder älter: Was nach PHP2Shell noch hilft

Die Lücken PHP2Shell hat das PHP-Projekt nur für PHP 8.2 bis 8.5 mit einem Update geschlossen. Läuft deine Website auf PHP 8.1 oder älter, kommt von dort keins. Das heißt nicht, dass du nichts tun kannst. Aber du musst selbst aktiv werden.

Was das PHP-Projekt bereitstellt

• PHP 8.2 bis 8.5: fertige Updates, PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
• PHP 7.4, 8.0 und 8.1: kein Update, aber die Korrektur im Quellcode. Das PHP-Projekt hat sie wegen der Schwere der Lücken ausnahmsweise veröffentlicht. Damit kann jemand, der PHP selbst baut, eine abgesicherte Version erstellen. Für eine Website beim Hoster heißt das: Der Hoster muss das tun.
• PHP 7.3 und älter: nichts. Es gibt keine offizielle Korrektur. Ein Hoster muss sie selbst entwickeln oder von einem Anbieter beziehen.

Hilft der Extended Support meines Hosters?

Viele Hoster bieten für alte PHP-Versionen einen kostenpflichtigen Extended Support an, etwa IONOS oder mittwald. Du zahlst dafür, dass die alte Version weiterläuft. Ob sie auch gegen PHP2Shell abgesichert ist, steht damit noch nicht fest.

Die Hoster gehen sehr unterschiedlich damit um. Am Abend des 21. Oktober 2026 sah es so aus:

• netcup hat nach eigenen Angaben alle angebotenen Versionen gepatcht, für die alten mit einer eigenen Korrektur.
• mittwald hatte PHP 7.2 bis 8.5 gepatcht. Für PHP 5.6, 7.0, 7.1 und 8.0 lief die Arbeit noch, Websites darauf waren so lange nicht erreichbar.
• Hostinger spielt laut eigenem Blog gepatchte Versionen ein, die sein PHP-Lieferant für PHP 5.2 bis 8.5 zugesagt hat.
• DomainFactory sagt bisher nicht, welche Versionen gepatcht sind.

Was dein Hoster genau sagt, haben wir auf eigenen Seiten zusammengetragen: PHP2Shell beim Hoster.

Steht dein Hoster nicht dabei oder ist seine Aussage unklar, frag konkret: „Ist meine PHP-Version gegen CVE-2026-109618 und CVE-2026-109619 abgesichert?“ Lass dir die Antwort schriftlich geben. Die Versionsnummer auf deinem Server ändert sich dabei oft nicht, sie ist also kein Beweis.

Welche Wege es gibt

1. Auf eine aktuelle PHP-Version umstellen. Das ist der einzige Weg, der auch bei der nächsten Lücke hilft. Oft muss dabei auch WordPress, TYPO3, Joomla oder der Shop auf eine neuere Version, weil die alte mit neuem PHP nicht mehr läuft. Nimm dabei gleich PHP 8.4 oder 8.5: PHP 8.2 bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates, PHP 8.4 bis Ende 2028, PHP 8.5 bis Ende 2029.
2. Langzeitpflege von einem Anbieter. Firmen wie TuxCare liefern abgesicherte Pakete für alte PHP-Versionen. Das lohnt sich vor allem, wenn du einen eigenen Server betreibst. Frag auch hier nach, ob PHP2Shell schon abgedeckt ist.
3. Linux-Distribution mit Langzeitpflege. Betreibst du den Server selbst, liefern Distributionen wie Debian, Ubuntu oder Red Hat für ihre Versionen oft eigene Korrekturen. Das PHP-Projekt hat ihnen die Korrekturen vorab gegeben.
4. Website vorübergehend vom Netz nehmen. Eine einfache Wartungsseite ohne PHP schließt die Lücke, bis die Umstellung fertig ist. Das BSI rät dazu, das zu erwägen, wenn das Update nicht sofort geht.
5. Ganz ohne PHP weitermachen. Änderst du an deiner Website kaum etwas, kann sie auch als statische Website laufen: gleiches Design, aber ohne PHP und ohne CMS auf dem Server.

Eine Firewall vor der Website, etwa von Cloudflare, blockiert bekannte Angriffe. Sie ist eine Brücke für ein paar Tage, keine Lösung.

Warum ein PHP-Update oft liegen bleibt

Meist nicht aus Nachlässigkeit. Häufig steckt eines davon dahinter:

• Die Agentur, die die Website gebaut hat, gibt es nicht mehr oder sie meldet sich nicht.
• Die Agentur hat gerade keine Zeit, und das Update wird immer wieder verschoben.
• Plugins oder eigener Code laufen mit der neuen Version nicht, und niemand weiß, was ein Update bricht.

Für alle drei Fälle gilt: Wir übernehmen das, auch wenn wir die Website nicht gebaut haben. Wir prüfen sie, stellen auf einer Kopie um und aktualisieren dabei auch CMS, Shop und Erweiterungen, wenn es nötig ist. Live geht sie erst, wenn alles läuft. Wenn es schnell gehen muss, kommt die Website so lange hinter eine Wartungsseite. Schreib uns, welche Website es ist und auf welcher PHP-Version sie läuft.

Quellen

• PHP-Projekt: Security advisory: Critical remote code execution vulnerabilities, update now, 21. Oktober 2026
• PHP-Projekt: Supported Versions
• BSI: IT-Sicherheitshinweis 2026-297981-1132, Version 1.1 vom 21. Oktober 2026
• CERT-EU: Security Advisory 2026-018
• IONOS: PHP Extended Support
• netcup-Status: CVE-2026-109618 / -109619: Information für netcup-Kunden
• mittwald-Status: Vorsorgliche Einschränkungen aufgrund der aktuellen PHP-Sicherheitslücke
• Hostinger-Blog: Hostinger deploys protections against php2shell PHP vulnerabilities
• DomainFactory-Status: Wartung des Hostings
• TuxCare: PHP Extended Support
• Cloudflare: WAF-Schutz gegen die PHP-Lücken