PHP-Sicherheitslücke PHP2Shell: Was ist betroffen und was ist zu tun?

Vielleicht hast du in den Nachrichten davon gehört, oder dein Hoster hat dir geschrieben. Hier steht, was dahintersteckt und was du für deine Website tun solltest.

Das Wichtigste in Kürze

• Zwei kritische Lücken in PHP erlauben es, ohne Login fremden Code auf dem Server auszuführen.
• Betroffen ist fast jede Website auf PHP: WordPress, TYPO3, Joomla, Drupal, Contao, Shopware, Magento.
• Sicher sind erst PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und älter gibt es vom PHP-Projekt kein Update.
• Beim Webhosting spielt meist der Hoster das Update ein. Lass dir bestätigen, dass er es getan hat. Auf einem eigenen Server oder VPS musst du es selbst tun.

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken geschlossen. Sie stecken nicht in einem Plugin oder einem CMS, sondern in PHP selbst, der Programmiersprache, auf der deine Website läuft. In Berichten heißen sie PHP2Shell.

Was ist die PHP-Sicherheitslücke PHP2Shell?

Über die beiden Lücken kann ein Angreifer eigene Befehle auf deinem Server ausführen. Fachleute nennen das Remote Code Execution (RCE). Er braucht dafür keinen Zugang und kein Passwort, eine präparierte Anfrage an die Website reicht.

Das PHP-Projekt stuft beide Lücken als kritisch ein, mit 9,2 von 10 Punkten. Jede Lücke hat eine eigene Kennnummer, eine CVE:

• CVE-2026-109618: Geht PHP während einer Anfrage der Speicher aus, bricht es mittendrin ab. Beim Aufräumen behandelt PHP dann halb angelegte Daten als gültig.
• CVE-2026-109619: Ein PHP-Prozess behält Daten aus einer früheren Anfrage, obwohl sie schon gelöscht sind. Eine spätere Anfrage kann diese Reste benutzen.

Gefunden haben die Lücken Sicherheitsforscher von Calif und Wiz, zusammen mit OpenAI. Laut BSI ist ein Beispielangriff, ein sogenannter Proof of Concept, schon öffentlich.

Wird die Lücke schon ausgenutzt?

Cloudflare und watchTowr melden Angriffsversuche. Das BSI hatte am 21. Oktober noch keine bestätigte Ausnutzung, hält eine breite Ausnutzung aber kurzfristig für wahrscheinlich. Es stuft die Lage als orange ein: Maßnahmen müssen unverzüglich ergriffen werden.

Was ist betroffen?

Sehr wahrscheinlich, wenn deine Website auf PHP läuft und PHP noch nicht aktualisiert wurde. Laut PHP-Projekt ist jede PHP-Installation gefährdet, die Anfragen aus dem Internet beantwortet.

• Jedes System auf PHP: WordPress, TYPO3, Joomla, Drupal, Contao, Shopware, Magento und eigene PHP-Anwendungen. Die Forscher haben den Angriff unter anderem gegen WordPress, Drupal, Joomla und Magento vorgeführt.
• Jede Art, PHP zu betreiben: PHP-FPM, Apache mit mod_php, CGI, FrankenPHP und LiteSpeed. Das ist die Technik, mit der der Server PHP startet. Am größten ist das Risiko bei mod_php.
• Auch eine aktuelle Website: Ein aktuelles WordPress mit aktuellen Plugins schützt hier nicht. Die Lücke liegt eine Ebene darunter.

WordPress, TYPO3 und Drupal haben am 21. Oktober eigene Hinweise veröffentlicht. Alle drei raten, PHP sofort zu aktualisieren. WordPress und TYPO3 schreiben ausdrücklich, dass das CMS selbst kein Update braucht. WordPress rät Betreibern eigener Server mit PHP älter als 8.2, zu erwägen, den Server vom Netz zu nehmen, bis er abgesichert ist.

Sicher bist du erst mit einer dieser Versionen: PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, oder einer neueren.

Was sagt mein Hoster?

Die großen Hoster haben am 21. Oktober reagiert, sehr unterschiedlich. Einige haben alle Websites für ein paar Stunden vom Netz genommen. Was jeder Hoster selbst veröffentlicht hat, mit Stand und Quellen:

• IONOS: spielt das Update auf allen Systemen ein, rechnet mit 24 Stunden.
• STRATO: bisher keine öffentliche Aussage gefunden.
• ALL-INKL.COM: bisher keine öffentliche Aussage gefunden.
• Hetzner: PHP 7.4 und 8.0 bis 8.5 gepatcht, ältere Versionen folgen.
• netcup: alle Versionen gepatcht, auch alte. Das Control Panel bleibt offline, bis Plesk patcht.
• mittwald: PHP 7.2 bis 8.5 gepatcht, sehr alte Versionen folgen.
• Hostinger: Firewall-Regeln, gepatchte Versionen laut Hostinger zugesagt.
• DomainFactory: aktualisiert, nennt aber keine Versionen.

Steht dein Hoster nicht dabei, frag ihn, ob deine PHP-Version gegen CVE-2026-109618 und CVE-2026-109619 abgesichert ist.

Nextcloud, phpMyAdmin, Router: Was ist mit anderer Software?

Betroffen ist jede Software, die auf einem Server mit PHP läuft, nicht nur Websites.

• Nextcloud: Die Forscher von Calif haben den Angriff gegen Nextcloud 35.0.1 vorgeführt, ebenso gegen phpMyAdmin, Roundcube und MediaWiki. IONOS hat seine Nextcloud-Instanzen am 21. Oktober vorsorglich abgeschaltet, Hetzner hat Storage Share gepatcht. Betreibst du Nextcloud selbst, gilt dasselbe wie für jede Website: PHP aktualisieren.
• Firewalls und Geräte: Laut BSI sind auch Produkte wie pfSense und OPNsense mit PHP entwickelt. Laut BSI kann es dann nötig werden, dass Hersteller neue Firmware mit gepatchtem PHP veröffentlichen.
• Fritzbox: Von AVM haben wir bis zum 22. Oktober keine Aussage gefunden. Die Lücke betrifft Geräte nur, wenn sie PHP ausführen. Ob das bei deinem Gerät so ist, kann nur der Hersteller sagen. Schau in die Sicherheitshinweise von AVM und spiel Updates ein, sobald sie erscheinen.

Meine Website ist plötzlich offline. Liegt das an PHP2Shell?

Gut möglich. Mehrere Hoster haben ihre Server vorsorglich vom Netz genommen, bis das Update eingespielt war. Websites auf sehr alten PHP-Versionen blieben teils länger offline. Was du dann tust und welche anderen Gründe es geben kann, steht in Website plötzlich offline.

Was du jetzt tun solltest

1. Finde heraus, welche PHP-Version läuft. Das steht im Kundenbereich deines Hosters. In WordPress findest du sie unter Werkzeuge, Website-Zustand, Bericht, Server.
2. PHP 8.2 bis 8.5: Frag deinen Hoster, ob er das Update eingespielt hat. Lass dir das schriftlich bestätigen, mit den beiden CVE-Nummern. Manche Hoster und Linux-Distributionen spielen die Korrektur ein, ohne dass sich die Versionsnummer ändert. Die Nummer allein sagt dann nichts. Was große Hoster dazu veröffentlicht haben, steht unter PHP2Shell beim Hoster.
3. PHP 8.1 oder älter: Für diese Versionen gibt es vom PHP-Projekt kein Update mehr. Was du dann noch tun kannst, steht in unserem Beitrag PHP 8.1 oder älter: Was nach PHP2Shell noch hilft.
4. Wenn das Update nicht sofort geht: Nimm die Website vom Netz oder zeig eine einfache Wartungsseite ohne PHP. Das BSI rät dazu, eine vorübergehende Trennung vom Internet zu erwägen. Eine Wartungsseite aus WordPress oder Magento selbst hilft nicht, weil dabei weiter PHP läuft.
5. Nach dem Update auf Spuren prüfen. Laut Cloudflare gab es schon vor dem Update Angriffe. Ungewohnte Dateien, neue Admin-Zugänge oder Weiterleitungen sind Zeichen, dass jemand drin war.

Eine Firewall vor der Website, etwa von Cloudflare, blockiert die bekannten Angriffe. Laut Cloudflare ersetzt sie das Update aber nicht.

Für Admins: Übergangslösungen

Wer den Server selbst betreibt und nicht sofort aktualisieren kann: Das PHP-Projekt nennt Einstellungen, die bekannte Angriffswege schließen. Es sagt ausdrücklich, dass sie eine Installation nicht sicher machen.

; php.ini, FPM-Pool oder Server-Konfiguration, nicht per ini_set() oder .user.ini
memory_limit = -1
post_max_size = 8M          ; 32M, wenn Uploads gebraucht werden
session.upload_progress.enabled = 0
fatal_error_backtraces = 0  ; nur PHP 8.5

Danach alle Worker neu starten. memory_limit = -1 heißt: Eine einzelne Anfrage kann den ganzen Speicher des Servers belegen. Setz deshalb eine Grenze über den Container oder die cgroup, nicht über RLIMIT_AS oder RLIMIT_DATA. Die vollständige Liste steht in der Meldung des PHP-Projekts.

Brauchst du Hilfe?

Wir prüfen, ob deine Website betroffen ist, stellen PHP um und aktualisieren dabei WordPress, TYPO3, Joomla oder deinen Shop mit, wenn es nötig ist. Danach schauen wir nach, ob schon jemand drin war. Auch wenn wir deine Website nicht gebaut haben und deine Agentur gerade nicht erreichbar ist. Ändert sich an deiner Website ohnehin kaum etwas, kann sie auch ganz ohne PHP laufen.

Schreib uns, welche Website es ist und auf welcher PHP-Version sie läuft. Wir melden uns schnell, innerhalb weniger Stunden.

Quellen

• PHP-Projekt: Security advisory: Critical remote code execution vulnerabilities, update now, 21. Oktober 2026
• PHP-Projekt: Sicherheitsmeldungen GHSA-w8hw-w9fx-j79w (CVE-2026-109618) und GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• BSI: IT-Sicherheitshinweis 2026-297981-1132, Version 1.1 vom 21. Oktober 2026
• CERT-EU: Security Advisory 2026-018
• Calif: PHP2Shell
• WordPress.org: Critical PHP Security Release, 21. Oktober 2026
• TYPO3: TYPO3-PSA-2026-001, 21. Oktober 2026
• Drupal: PSA-2026-10-20, 21. Oktober 2026
• Cloudflare: WAF-Schutz gegen die PHP-Lücken
• watchTowr: FAQ zu CVE-2026-109618 und CVE-2026-109619