PHP2Shell: Ist Ihre Website von der PHP-Sicherheitslücke betroffen?
Marina Graf · Oktober 2026 · Wartung
Kurz beantwortet: Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP bekannt, über die Angreifer ohne Anmeldung Code auf Webservern ausführen können. Betroffen sind praktisch alle Websites mit PHP, also auch die meisten WordPress-Seiten. Geschützt ist, wer auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 oder neuer läuft. Prüfen Sie das jetzt oder lassen Sie es prüfen.
Was passiert ist
Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, CVE-2026-109618 und CVE-2026-109619, bekannt unter dem Namen PHP2Shell. Beide erlauben es Angreifern, mit einer einzigen Anfrage ohne Anmeldung Code auf dem Server auszuführen. Das CERT der Universität Stuttgart berichtet, dass öffentliche Exploits existieren und Angriffe bereits beobachtet wurden.
PHP ist die Programmiersprache, auf der WordPress, Joomla, Contao und viele andere Systeme laufen. Ob Ihre Website betroffen ist, hängt deshalb nicht davon ab, wie groß Ihr Unternehmen ist, sondern welche PHP-Version auf Ihrem Server läuft.
Woran Sie erkennen, ob Sie handeln müssen
| PHP-Version auf dem Server | Stand |
|---|---|
| 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer | Lücken geschlossen |
| Ältere 8.2, 8.3, 8.4 oder 8.5 | Update dringend nötig |
| 8.1, 8.0, 7.4 oder älter | Keine offiziellen Updates mehr, Umstieg auf eine aktuelle Version nötig |
In WordPress finden Sie die Version unter Werkzeuge, Website-Zustand, Bericht, Server. Bei vielen Hostern steht sie auch im Kundenbereich. Wichtig: Dass Ihr Hoster PHP aktualisiert hat, heißt nicht automatisch, dass Ihre Website die neue Version nutzt. Oft ist die Version pro Website eingestellt.
Warum ältere Websites das größte Risiko tragen
Für PHP 8.1 und älter gibt es keine regulären Updates mehr. Viele Websites, die vor einigen Jahren gebaut und danach nicht mehr betreut wurden, laufen genau auf diesen Versionen, weil ein Umstieg Themes oder Plugins zerlegen würde. Diese Seiten sind jetzt besonders angreifbar.
Ein erfolgreicher Angriff zeigt sich selten sofort. Typisch sind versteckte Weiterleitungen, Spam-Seiten oder Schadcode, den zuerst Google bemerkt. Was das für Sichtbarkeit und Vertrauen bedeutet, beschreiben wir in Warum Website-Wartung kein Luxus ist.
Was jetzt sinnvoll ist
- PHP-Version prüfen und auf eine abgesicherte Version bringen
- Vorher eine Sicherung anlegen und danach testen, ob Formulare, Shop und Buchungen funktionieren
- WordPress, Theme und Plugins auf aktuellen Stand bringen, damit sie mit neuem PHP laufen
- Bei Auffälligkeiten wie fremden Seiten, Weiterleitungen oder Warnhinweisen bei Google die Website prüfen lassen
Für eine dritte, weniger kritische Lücke (CVE-2026-115560) gibt es laut CERT der Universität Stuttgart noch kein Update, sondern eine Einstellung am Server als Schutz. Fragen Sie Ihren Hoster, ob sie gesetzt ist.
Was ein Angriff für Ihr Unternehmen bedeutet
Ein übernommener Server ist mehr als ein technisches Problem. Angreifer nutzen gehackte Websites, um Spam zu verschicken, Schadsoftware zu verteilen oder Besucher auf betrügerische Seiten umzuleiten. Für Ihr Unternehmen heißt das: Google warnt vor Ihrer Seite, Anfragen bleiben aus, und im schlimmsten Fall landen Kundendaten aus Formularen in fremden Händen.
Je länger eine Lücke offen bleibt, desto größer ist die Wahrscheinlichkeit, dass automatisierte Scanner sie finden. Bei einer so verbreiteten Software wie PHP sind das keine Wochen, sondern oft Tage.
Wie wir helfen
Wir prüfen Ihre Website, die PHP-Version und den Stand von WordPress, Theme und Plugins und sagen Ihnen klar, ob Handlungsbedarf besteht. Auf Wunsch übernehmen wir das Update mit Sicherung und Test, oder wir zeigen, ob sich bei einer sehr alten Website ein Neuaufbau mehr lohnt als die Reparatur.
Worauf es ankommt
- PHP-Version der eigenen Website kennen
- Auf 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer wechseln
- Vor jedem Update sichern und danach testen
- PHP 8.1 und älter nicht weiter betreiben
- Auffälligkeiten sofort prüfen lassen
Häufige Fragen
Wahrscheinlich ja, solange sie nicht auf einer abgesicherten PHP-Version läuft. Betroffen sind laut den Sicherheitsmeldungen alle PHP-Installationen, die Webanfragen verarbeiten.
Nein. Die Lücke steckt in PHP selbst, also in der Serversoftware. WordPress-Updates schließen sie nicht. Entscheidend ist die PHP-Version auf dem Server.
Dann sind meist veraltete Themes oder Plugins der Grund. Diese müssen aktualisiert oder ersetzt werden. Bei sehr alten Seiten ist ein Neuaufbau oft schneller und sicherer.
Oft gar nicht sofort. Hinweise sind fremde Seiten in Google, Weiterleitungen, Warnungen im Browser oder neue Benutzerkonten. Im Zweifel sollte die Website geprüft werden.
Lesetipp: Warum Updates kein Luxus sind, lesen Sie in Warum Website-Wartung kein Luxus ist. Wann sich ein Neuaufbau lohnt, zeigt Ihre Website ist drei Jahre alt?.
Über Count Media: Wir sind die inhabergeführte Marketingagentur mit Sitz in Osnabrück, deutschlandweit tätig. Strategie, Umsetzung und Technik aus einer Hand, von Website und Social Media über Performance Marketing bis Recruiting und KI-Optimierung.
Ist Ihre Website sicher?
Wir prüfen PHP-Version, WordPress und Plugins Ihrer Website und sagen Ihnen, was jetzt zu tun ist.
