PHP2Shell: Ist meine Website von der PHP-Sicherheitslücke betroffen?
Zwei kritische Lücken in PHP bedrohen Millionen Websites, ein Update von WordPress hilft dagegen nicht. Wer betroffen ist, warum ein Patch allein nicht reicht und wie ich Ihre Website prüfe.
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, bekannt als PHP2Shell. Über sie können Angreifer ohne Anmeldung eigenen Code auf Webservern ausführen. PHP steckt hinter knapp 70 Prozent aller Websites, auch hinter WordPress, Joomla und den meisten Shops. Ob Ihre Seite betroffen ist, hängt nicht vom CMS ab, sondern davon, wo und mit welcher PHP-Version sie läuft.
Quellen: PHP-Sicherheitshinweise (CVSS 4.0), W3Techs, Qualys Threat Research, Stand Oktober 2026.
Was ist PHP2Shell?
PHP ist die Programmiersprache, mit der der Webserver eine Seite zusammensetzt, bevor sie im Browser ankommt. Die beiden Lücken stecken in der Art, wie PHP eingehende Anfragen verarbeitet und danach aufräumt. Mit einer präparierten Anfrage, zum Beispiel einem manipulierten Formular-Upload, lässt sich PHP dazu bringen, Speicher falsch zu verwenden. Am Ende führt der Server Code aus, den der Angreifer mitgeschickt hat. Eine Anmeldung braucht er dafür nicht. Gezeigt wurde außerdem, dass sich Inhalte aus dem Arbeitsspeicher auslesen lassen, darunter Passwörter und Zugangsschlüssel.
Die Details sind am 20. Oktober vor dem geplanten Termin öffentlich geworden, die Updates kamen am 21. Oktober gegen 16 Uhr. Amazon hat erste Angriffsversuche schon am 17. Oktober beobachtet, Cloudflare zählte Millionen Versuche. Viele Behörden, Hochschulen und Kliniken haben ihre Websites vorsorglich abgeschaltet, darunter die Charité, Teile von berlin.de und mainz.de. Wer nicht gepatcht hat, muss davon ausgehen, dass automatisierte Angriffe seine Seite längst gefunden haben.
Ist meine Website von der PHP-Sicherheitslücke betroffen?
Grundsätzlich betrifft die PHP-Sicherheitslücke jede Website, die mit PHP läuft. Wer handeln muss, hängt davon ab, wie sie betrieben wird:
Der Hoster aktualisiert PHP auf seinen Servern. Hetzner hat das im Webhosting für alle angebotenen Versionen bis zum Morgen des 22. Oktober erledigt, auch IONOS und All-Inkl melden Vollzug. Prüfen sollten Sie trotzdem, welche PHP-Version für Ihre Seite eingestellt ist und ob die Seite vor dem Update angegriffen wurde.
Hier ist niemand außer Ihnen zuständig, auch wenn der Server bei Hetzner, IONOS oder Strato steht. Das Update muss eingespielt und PHP danach vollständig neu gestartet werden. Läuft ein alter PHP-Prozess weiter, bleibt die Lücke offen.
PHP 8.1 und älter bekommt vom PHP-Projekt keine fertigen Updates mehr. Ob Ihre Version abgesichert ist, hängt davon ab, ob Hoster oder Distribution eine Korrektur nachgebaut haben. Die Versionsnummer verrät das nicht. Auf Dauer hilft nur der Umstieg auf eine unterstützte Version.
Die Seite hat eine Agentur gebaut, die Domain liegt irgendwo, und seit Jahren hat niemand hineingeschaut. Das ist der häufigste Fall und der gefährlichste, weil sich niemand zuständig fühlt.
Warum ein Update von WordPress nicht reicht
WordPress, Joomla, Typo3 oder ein Shopsystem laufen auf PHP, so wie ein Programm auf einem Betriebssystem. Die Lücke liegt eine Ebene darunter. Ein Update des CMS oder der Plugins ist trotzdem sinnvoll, ändert an PHP2Shell aber nichts. Entscheidend ist die PHP-Version auf dem Server, und die stellt der Hoster oder der Betreiber des Servers ein, nicht die Website selbst.
Gepatcht, also alles in Ordnung?
Nicht unbedingt. Zwischen dem 17. und dem 22. Oktober waren praktisch alle PHP-Seiten offen, und die Angriffe liefen automatisiert. Wer in dieser Zeit eingedrungen ist, hat oft eine kleine Hintertür hinterlassen, eine sogenannte Webshell. Sie bleibt nach dem Update bestehen und funktioniert weiter. Die normalen Zugriffsprotokolle helfen wenig, weil sie den Inhalt solcher Anfragen nicht speichern.
Anzeichen für einen Einbruch sind neue oder veränderte Dateien im Verzeichnis der Website, unbekannte Administratorkonten, neue zeitgesteuerte Aufgaben auf dem Server oder PHP-Prozesse, die Programme starten, die dort nichts zu suchen haben. Seit dem 23. Oktober ist außerdem eine weitere Session-Lücke bekannt, CVE-2026-115560, die die Updates vom 21. Oktober nicht schließen. Sie betrifft nur Sonderfälle, sollte aber mitgeprüft werden.
Was eine vernachlässigte Website anrichten kann
Ich habe mehrfach erlebt, dass über solche Lücken Schadsoftware auf Kundenseiten gelangt ist, um die sich niemand mehr gekümmert hat. Häufig verschickt sie danach massenhaft Spam. Die Folge reicht weit über die Website hinaus: Die Domain landet auf internationalen Sperrlisten, und Mailserver auf der ganzen Welt nehmen keine Nachrichten mehr von ihr an.
Gelangen bei einem Einbruch personenbezogene Daten in fremde Hände, etwa aus einem Kontaktformular oder einem Shop, kann außerdem eine Meldepflicht gegenüber der Datenschutzaufsicht entstehen. Nach Art. 33 DSGVO gilt dafür eine Frist von 72 Stunden ab Kenntnis.
So prüfe ich Ihre Website
Ich prüfe auch Seiten, die ich nicht gebaut habe und deren Hosting ich nicht kenne. Sie brauchen dafür nur die Zugänge zum Hosting oder zum Server, soweit vorhanden.
- Bestandsaufnahme: Wo liegt die Seite, wer betreibt den Server, welche PHP-Version läuft, und ist sie gegen PHP2Shell abgesichert?
- Absichern: Wo das Update fehlt, spiele ich es ein oder setze die Übergangsmaßnahmen des PHP-Projekts, bis es möglich ist. Im Webhosting stelle ich auf eine unterstützte PHP-Version um.
- Spurensuche: Ich prüfe Dateien, Administratorkonten und Server auf Anzeichen eines Einbruchs und entferne, was dort nicht hingehört.
- Ergebnis: Sie bekommen eine kurze Einschätzung, was ich gefunden habe, was erledigt ist und wo weiterer Handlungsbedarf besteht.
Mit dem Patch ist es auf Dauer nicht getan. PHP2Shell wird nicht die letzte Lücke dieser Art sein. Die nächste PHP-Sicherheitslücke kommt bestimmt. Eine Website braucht wie jeder Rechner regelmäßige Updates und jemanden, der hinschaut. Diese laufende Website-Betreuung übernehme ich auf Wunsch zu einer monatlichen Pauschale.
Häufige Fragen
Bin ich als Besucher einer Website gefährdet?
Nicht direkt. Die Lücken liegen auf den Webservern, nicht auf Ihrem Rechner oder Smartphone. Gefährdet sind die Betreiber von Websites und die Daten, die dort gespeichert sind.
Wie finde ich heraus, welche PHP-Version meine Website nutzt?
Im Webhosting steht die Version meist in der Verwaltung des Hosters bei den Einstellungen der Domain. In WordPress zeigt das Menü „Werkzeuge → Website-Zustand → Bericht“ die PHP-Version an. Auf einem eigenen Server reicht die Versionsnummer allein nicht, weil Linux-Distributionen Korrekturen oft einbauen, ohne sie zu ändern.
Muss ich meine Website vom Netz nehmen?
Wenn das Update eingespielt ist, nein. Läuft die Seite auf einem eigenen Server ohne Update oder auf einer alten PHP-Version ohne Korrektur, rät das BSI, sie im Zweifel vorübergehend abzuschalten. Das ist unangenehm, aber weniger schlimm als ein Einbruch.
Quellen
- Lücken, Versionen, Übergangsmaßnahmen: PHP – Sicherheitshinweis GHSA-w8hw-w9fx-j79w, PHP – Sicherheitshinweis GHSA-6wmf-4rv5-p3rp (Stand: Oktober 2026)
- Warnung des BSI: BSI – PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit (Version 1.2, 22. Oktober 2026)
- Warnstufe des BSI, abgeschaltete Websites, Angriffsversuche: heise online – php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen, ZDFheute – Sicherheitslücke bei PHP: Millionen Webseiten bedroht (Stand: 22. Oktober 2026)
- Verbreitung, Anteil alter Versionen: Qualys – PHP2Shell: Find, Mitigate, and Patch Now, W3Techs – Usage statistics of PHP (Stand: Oktober 2026)
- Zeitleiste, Spuren eines Einbruchs: watchTowr – PHP2Shell FAQ, TuxCare – PHP2Shell Patch Guide (Stand: Oktober 2026)
- Stand bei Hetzner: Hetzner Status – PHP security issues CVE-2026-109618 and CVE-2026-109619 (Stand: 22. Oktober 2026)
- Stand bei IONOS und All-Inkl: IONOS Newsroom, ALL-INKL.COM – Wichtig zu wissen (Stand: 22. Oktober 2026)
Hornetsecurity für Microsoft 365: Wann zusätzlicher E-Mail-Schutz sinnvoll ist
Warum ich bei Kunden mit Business Standard meist Hornetsecurity für den E-Mail-Schutz einsetze, wie die Umstellung abläuft und wann ich stattdessen zu Business Premium rate.
Artikel lesen→
IT in der Arztpraxis: Praxissoftware, Netzwerk und Datensicherung abstimmen
Was die IT-Sicherheitsrichtlinie der KBV von Praxen verlangt, wo die Aufgabe des TI-Dienstleisters endet und wie ich Praxisnetz und Datensicherung aufbaue.
Artikel lesen→
Ransomware-Angriff aus der Praxis: Wiederanlauf für 60 Mitarbeitende in 48 Stunden
Alle Rechner und Freigaben verschlüsselt, die Sicherungen nicht. Wie eine Offline-Sicherung ein Unternehmen ohne Lösegeld zurückgebracht hat, in welcher Reihenfolge wiederhergestellt wurde und was sich danach geändert hat.
Artikel lesen→