PHP2Shell im Online-Shop: Was Shopware, Magento, WooCommerce und PrestaShop jetzt betrifft

Ein Online-Shop ist für Angreifer besonders interessant: Kundendaten, Zugänge, Zahlungen. PHP2Shell trifft jeden Shop auf PHP, egal wie aktuell Shopware, Magento, WooCommerce oder PrestaShop sind.

Das Wichtigste in Kürze

• Die Lücken stecken in PHP, nicht im Shop. Ein Update des Shops oder der Plugins hilft nicht.
• Die Forscher haben die Übernahme ohne Login gegen Magento 2.4.9 vorgeführt.
• Sicher bist du erst mit PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12.
• Ein Wartungsmodus im Shop schützt laut Sansec nicht, weil dabei weiter PHP läuft.

Was die Hersteller sagen

• PrestaShop: „These vulnerabilities are not in PrestaShop, nor in any PrestaShop module.“ Ein Update von PrestaShop oder Modulen behebt sie nicht. PrestaShop rät, die PHP-Version im Backend zu prüfen und sich die Korrektur vom Hoster schriftlich bestätigen zu lassen.
• WooCommerce: Kein Update von WooCommerce oder WordPress nötig, PHP sofort aktualisieren. Wer einen eigenen Server mit alter PHP-Version betreibt, sollte erwägen, ihn vom Netz zu nehmen.
• Shopware, Adobe (Magento), OXID und JTL: Bis zum Abend des 21. Oktober haben wir keine Aussage gefunden.
• Sansec, eine auf Online-Shops spezialisierte Sicherheitsfirma: „You cannot fix PHP2Shell from within your store code.“ Auch Shops, deren eigener Code sauber ist, sind angreifbar.

Was du jetzt tun solltest

1. PHP-Version prüfen und beim Hoster bestätigen lassen, dass PHP gegen CVE-2026-109618 und CVE-2026-109619 abgesichert ist. Was die großen Hoster dazu sagen: PHP2Shell beim Hoster.
2. Wenn das nicht sofort geht: den Shop vom Netz nehmen oder eine Wartungsseite ohne PHP zeigen. Laut Sansec helfen die Wartungsmodi von Magento und WordPress nicht.
3. Nach dem Update eine Testbestellung machen. Hat der Hoster als Übergang Uploads gesperrt, können Formulare im Checkout betroffen sein.
4. Nach Spuren suchen. Laut Cloudflare gab es Angriffe schon vor dem Update. Unbekannte Admin-Konten, neue Dateien oder geänderter Code im Checkout sind Warnzeichen. Was dann zu tun ist: Website gehackt.

Läuft dein Shop auf PHP 8.1 oder älter, hängt meist auch die Shop-Version mit dran. Shopware 6 braucht heute PHP 8.2 oder neuer, Magento 2.4.9 PHP 8.5, WooCommerce verlangt ab Version 11.6 PHP 8.1. Wir stellen beides zusammen um, auf einer Kopie, mit Testbestellung, bevor es live geht.

Quellen

• PHP-Projekt: Security advisory, 21. Oktober 2026
• PrestaShop: PHP security updates October 2026, 21. Oktober 2026
• WooCommerce: PHP security release, 21. Oktober 2026
• Sansec: PHP2Shell
• Adobe: Systemanforderungen Adobe Commerce
• WooCommerce: PHP 8.1 requirement