Sicherheit · Hosting & Wartung
PHP2ShellSchwere Sicherheitslücke in PHP — was Website-Betreiber jetzt wissen müssen
Am 21. Oktober 2026 wurden zwei schwere Sicherheitslücken in PHP bekannt — der Technik, auf der die meisten Websites laufen, auch fast alle WordPress-Seiten. Angreifer können darüber die Kontrolle über eine Website übernehmen. Die gute Nachricht: Ein Update ist bereits verfügbar. Hier lesen Sie verständlich, was das für Sie bedeutet und was zu tun ist.
- Was
- Zwei Lücken in PHPgemeinsam „PHP2Shell“ genannt
- Gefahr
- Kritisch9,2 von 10 Punkten, BSI-Warnstufe Orange
- Betroffen
- Rund 70 % aller Websitesalle, die mit PHP laufen — auch WordPress
- Lösung
- PHP-Updateist bereits verfügbar
Stand: 23. Oktober 2026. Die Lage entwickelt sich weiter. Maßgeblich sind die aktuellen Angaben des PHP-Projekts und des BSI.
Das Wichtigste in Kürze
PHP ist die Programmiersprache, die im Hintergrund der meisten Websites arbeitet — ähnlich wie der Motor eines Autos. Sie sehen ihn nicht, aber ohne ihn läuft nichts. Genau in diesem Motor wurden zwei schwere Fehler gefunden.
- Angreifer können die Kontrolle über eine Website übernehmen — ohne Passwort und ohne dass Sie es zunächst bemerken
- Betroffen ist fast jede Website, die mit PHP läuft: WordPress, WooCommerce, Shopware, TYPO3, Joomla und viele mehr
- Es gibt bereits ein Update, das die Lücken schließt
- Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt ausdrücklich und rät zu sofortigem Handeln
- Kriminelle suchen bereits gezielt nach ungeschützten Websites
Wenn Sie nur eine Sache tun
Fragen Sie noch heute Ihren Hoster oder Ihre Webagentur: „Ist das PHP-Update gegen PHP2Shell auf meiner Website eingespielt?“ Lassen Sie sich die Antwort am besten schriftlich bestätigen.
Was ist passiert?
Sicherheitsforscher haben zwei Fehler im Inneren von PHP entdeckt. Zusammen tragen sie den Namen „PHP2Shell“ (offizielle Kennungen: CVE-2026-109618 und CVE-2026-109619).
Vereinfacht gesagt: Ein Angreifer ruft Ihre Website mit einer speziell präparierten Anfrage auf — so ähnlich, wie ein Browser eine Seite öffnet. Durch den Fehler in PHP kann er dabei eigene Befehle auf Ihrem Server ausführen. Ein Passwort braucht er dafür nicht.
Ein Vergleich aus dem Alltag
Stellen Sie sich vor, nicht Ihr eigenes Türschloss ist kaputt, sondern ein Schloss-Modell, das der Hersteller in Millionen Häuser eingebaut hat. Wie sorgfältig Sie abschließen, spielt dann keine Rolle. Die Lösung ist ein verbessertes Schloss vom Hersteller — genau das ist das PHP-Update.
Was Angreifer anrichten können
Daten stehlen
Kundendaten, Bestellungen und Passwörter auslesen — im Ernstfall mit Meldepflicht nach DSGVO.
Website verändern
Schadsoftware, Spam oder Weiterleitungen auf fremde Seiten einbauen. Google und Browser warnen dann vor Ihrer Website.
Website lahmlegen
Website oder Shop sind nicht mehr erreichbar — mit direkten Folgen für Umsatz und Ruf.
Hintertür einbauen
Einen versteckten Zugang anlegen, der auch nach dem Update bestehen bleibt.
Warum die Eile? Das BSI rechnet damit, dass Angriffe in großem Stil schon wenige Stunden nach Erscheinen der Updates beginnen. Mehrere Behörden, Kliniken und Hoster haben ihre Websites vorsorglich offline genommen, bis alles abgesichert war.
Ist meine Website betroffen?
Läuft Ihre Website mit WordPress, WooCommerce, Shopware, TYPO3, Joomla oder einer individuell programmierten PHP-Lösung, dann ja — solange das Update nicht eingespielt ist. Theme, Plugins oder WordPress-Version spielen dabei keine Rolle. Entscheidend ist allein die PHP-Version auf dem Server.
| Ihre PHP-Version | Geschützt ab | Status |
|---|---|---|
| PHP 8.5 | 8.5.12 | Update verfügbar |
| PHP 8.4 | 8.4.27 | Update verfügbar |
| PHP 8.3 | 8.3.36 | Update verfügbar |
| PHP 8.2 | 8.2.35 | Update verfügbar |
| PHP 8.1 und älter | nur Notfall-Korrekturen | Veraltet |
Nutzen Sie noch PHP 8.1 oder älter, ist ein Umstieg auf eine aktuelle Version ohnehin überfällig. Viele Hoster liefern außerdem eigene, angepasste PHP-Versionen — die Nummer kann dann leicht von der Tabelle abweichen. Im Zweifel fragen Sie nach.
So finden Sie Ihre PHP-Version heraus
- In WordPress: Werkzeuge → Website-Zustand → Bericht → Server
- Im Kundenkonto Ihres Hosters, meist unter „PHP-Einstellungen“ oder „PHP-Version“
- Oder ganz einfach: Fragen Sie Ihren Hoster oder Ihre Webagentur
Keine Lust auf Technik? Wir übernehmen das.
Synext IT prüft Ihre PHP-Version, spielt das Update ein oder klärt es mit Ihrem Hoster und kontrolliert Ihre Website anschließend auf Auffälligkeiten.
Was Sie jetzt tun sollten
Für die meisten Website-Betreiber sind es drei Schritte. Den technischen Teil übernimmt in der Regel Ihr Hoster oder Ihre Agentur.
Update bestätigen lassen
Bei einem Hosting-Paket ist der Anbieter für das Update zuständig. Fragen Sie nicht nur „Ist alles sicher?“, sondern konkret nach der PHP-Versionsnummer. Viele professionelle Hoster haben das Update bereits eingespielt.
Alle Websites einbeziehen
Denken Sie auch an Nebenschauplätze: alte Testseiten, eine zweite Domain, einen früheren Shop. Gerade vergessene Installationen sind ein beliebtes Einfallstor.
Auf Auffälligkeiten prüfen lassen
Das Update schließt die Tür — wer vorher schon eingedrungen ist, bleibt aber drin. Lassen Sie prüfen, ob es unbekannte Administrator-Konten, veränderte Dateien oder seltsame Weiterleitungen gibt. Bei Verdacht: alle Passwörter ändern und ein sauberes Backup bereithalten.
Einstellungen ändern reicht nicht
Im Netz kursieren Tipps, die Lücke über einzelne Einstellungen zu entschärfen. Das erschwert Angriffe höchstens. Laut PHP-Projekt und BSI hilft nur das Update.
Für Ihren Administrator: technische Hinweise
Version prüfen:
php -v
php-fpm -v- Nach dem Update PHP-FPM bzw. den Webserver neu starten — laufende Prozesse nutzen sonst weiter den alten Code. Danach die Version erneut prüfen.
- Betroffen sind PHP-FPM, Apache mit
mod_php(höchstes Risiko), php-cgi, FrankenPHP und LiteSpeed — laut BSI zurück bis mindestens PHP 5. - Bei Distributions- oder Hoster-Paketen zählt die Paketversion, nicht die Nummer von php.net. Für 7.4, 8.0 und 8.1 gibt es Quellcode-Backports.
- INI-Anpassungen (z. B.
session.upload_progress.enabled) und WAF-Regeln sind nur Überbrückung, kein Ersatz für das Update.
Checkliste: Ist Ihre Website geschützt?
Haken Sie ab, was bereits erledigt ist. So sehen Sie auf einen Blick, ob noch etwas fehlt.
Ihre Checkliste
0 von 5 erledigt
Häufige Fragen
Reicht es, WordPress und alle Plugins zu aktualisieren?
Nein. Die Lücke steckt nicht in WordPress, sondern in PHP auf dem Server. WordPress- und Plugin-Updates ändern daran nichts. Nötig ist das Update von PHP selbst — bei einem Hosting-Paket durch den Anbieter.
Mein Hoster kümmert sich um alles. Muss ich trotzdem etwas tun?
Ja, aber nur wenig: Lassen Sie sich das Update mit Versionsnummer bestätigen. Viele Hoster haben bereits reagiert — eine kurze Rückfrage gibt Ihnen Gewissheit und eine Bestätigung für Ihre Unterlagen.
Woran erkenne ich, ob meine Website schon angegriffen wurde?
Warnzeichen sind unbekannte Administrator-Konten, plötzlich veränderte Inhalte, Weiterleitungen auf fremde Seiten oder Warnungen von Google oder Ihrem Browser. Oft ist ein Angriff aber von außen nicht sichtbar. Bei Verdacht sollten Sie alle Passwörter ändern und eine Fachfirma prüfen lassen.
Kann Synext IT das für mich übernehmen?
Ja. Wir prüfen die PHP-Version Ihrer Websites, spielen das Update ein oder stimmen uns mit Ihrem Hoster ab und kontrollieren anschließend auf Auffälligkeiten. Auf Wunsch erhalten Sie eine schriftliche Bestätigung. Ist Ihre Website bei Synext IT gehostet, ist das Update bereits erledigt.
Quellen
- PHP-Projekt: Sicherheitshinweis und Updates vom 21. Oktober 2026, php.net
- BSI: Cyber-Sicherheitswarnung zu PHP, BITS-H Nr. 2026-297981-1032, bsi.bund.de
- Wiz Research: Analyse zu PHP2Shell, wiz.io
- CERT-EU: Advisory zu CVE-2026-109618 und CVE-2026-109619
Alle Angaben nach bestem Wissen zum Stand 23. Oktober 2026. Dieser Beitrag ersetzt keine individuelle Sicherheitsberatung.
Nächster Schritt
Update verfügbar. Jetzt absichern lassen.
Sie möchten sich nicht selbst mit der Technik beschäftigen? Wir prüfen Ihre Website, klären den Stand mit Ihrem Hoster und sichern ab — kurzfristig.
- Kurzfristige Prüfung Ihrer Website
- Update und Abstimmung mit Ihrem Hoster
- Schriftliche Bestätigung für Ihre Unterlagen
Leistung
Wartung & Hosting
Updates, Backups, Überwachung und schnelle Hilfe bei Sicherheitsvorfällen — damit die nächste Lücke kein Notfall wird.
Leistungen ansehensynext-it.de · Antwort in 24 Stunden
German 
English