Insights · Technik

PHP2Shell: Ist Ihre Website von den PHP-Lücken betroffen?

Von mowa.studio · Webdesign, Branding & Animation aus Wien · Veröffentlicht im Oktober 2026

Ja, wenn Ihre Website mit PHP läuft, etwa mit WordPress, und auf dem Server noch keine korrigierte PHP-Version installiert ist. Das PHP-Projekt hat am 21. Oktober 2026 Updates für zwei kritische Lücken veröffentlicht, die in Berichten PHP2Shell genannt werden. Abgesichert gegen beide ist PHP ab Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, außerdem ältere Versionsnummern, in die Ihr Hoster oder Ihre Linux-Distribution die Korrektur nachträglich eingebaut hat. Ein WordPress- oder Plugin-Update schließt die Lücken nicht, entscheidend ist die PHP-Version auf dem Server.

Dieser Stand ist vom 25. Oktober 2026, aktuelle Hinweise veröffentlichen php.net und CERT.at.

Was ist bei PHP passiert?

PHP ist die Programmiersprache, in der etwa WordPress, Joomla und Drupal geschrieben sind. Die Updates vom 21. Oktober schließen zwei Lücken (CVE-2026-109618 und CVE-2026-109619), über die Angreifer unter bestimmten Bedingungen ohne Anmeldung eigenen Code auf dem Server ausführen können. Das PHP-Projekt stuft beide auf der gängigen Bewertungsskala CVSS 4.0 mit 9,2 von 10 Punkten als kritisch ein.

Eine dritte Lücke (CVE-2026-115560), die das Projekt am 23. Oktober meldete, ist laut Projekt nur bei ungewöhnlichen Session-Einstellungen ausnutzbar, aber noch nicht behoben. Bis zum nächsten regulären Release empfiehlt das Projekt, in der Serverkonfiguration session.upload_progress.enabled=0 zu setzen. Bei Shared Hosting ist das eine Frage an den Hoster.

Wird PHP2Shell schon ausgenutzt?

Angriffsversuche gibt es, erfolgreiche Angriffe sind bisher nicht bestätigt. Weder die US-Cybersicherheitsbehörde CISA (Stand 23. Oktober) noch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI, Stand 22. Oktober) meldeten bestätigte erfolgreiche Angriffe. Amazon sah allerdings schon ab 17. Oktober, also vor der Veröffentlichung, Angriffsversuche auf eigene Köder-Server. Ob diese bei echten Servern Erfolg gehabt hätten, ist laut Amazon unklar. Inzwischen meldet Amazon breite Ausnutzungsversuche, laut CERT-EU kursiert erster Code, der die Lücken demonstriert.

In Österreich warnte CERT.at am 21. Oktober. Laut ORF nahmen die Universität Wien, die TU Wien und die NÖN ihre Websites vorsorglich vom Netz, konkrete Angriffe in Österreich nennt der Bericht nicht. Wer nicht sofort aktualisieren kann oder noch PHP 8.1 oder älter nutzt, sollte PHP-Systeme laut CISA bis zum Update offline nehmen, CERT.at nannte das Herunterfahren ebenfalls als Möglichkeit.

Welche PHP-Versionen sind betroffen?

Betroffen sind alle PHP-Versionen von 8.2 bis 8.5 vor den korrigierten Updates, laut CERT.at auch PHP 8.1 und älter. Gefährdet ist laut PHP-Projekt jede nicht aktualisierte Installation, die Anfragen aus dem Web beantwortet, in allen gängigen Server-Varianten. Die Supportdaten stammen von php.net:

Wie prüfe ich meine PHP-Version?

• WordPress: unter Werkzeuge > Website-Zustand > Bericht, Abschnitt Server (Anleitung von WordPress.org).
• Hosting-Paket: meist im Kundenbereich des Hosters, wo Sie die PHP-Reihe wie 8.2 oder 8.3 oft selbst wählen. Bei World4You etwa wird sie nicht automatisch umgestellt.
• Eigener Server oder Docker: Ihre IT spielt die aktualisierten Pakete ein, startet PHP neu und baut Container-Images neu.

Die Versionsnummer allein zeigt nicht immer, ob ein Server abgesichert ist: Unter Ubuntu 24.04 heißt das korrigierte Paket etwa weiterhin PHP 8.3.6, nur mit anderer Paketnummer. Fragen Sie im Zweifel Ihren Hoster.

Ein Update entfernt außerdem nichts, was Angreifer vorher eingeschleust haben könnten. Der Hoster all-inkl.com etwa rät deshalb, Websites auf unbekannte Dateien, unerwartete Änderungen und neue Benutzerkonten zu prüfen.

Hilft ein WordPress-Update gegen PHP2Shell?

Nein. Laut dem Sicherheitsteam von Wiz, das die Lücken an das PHP-Projekt gemeldet hat, stecken die Fehler in PHP selbst, eine Ebene unter WordPress und seinen Plugins. Ein Update im WordPress-Dashboard ändert an der PHP-Version nichts. Nötig bleibt es trotzdem, aus anderen Gründen, dazu weiter unten mehr.

Warum ist der 31. Dezember 2026 wichtig?

An diesem Tag endet der Sicherheitssupport für PHP 8.2, danach gibt es auch bei kritischen Lücken keine Korrekturen mehr. Laut der Statistik von WordPress.org lief am 25. Oktober rund ein Drittel der erfassten WordPress-Websites auf PHP 8.1 oder älter, knapp ein Viertel auf 8.2.

WordPress empfiehlt PHP 8.3 oder neuer, das WordPress-Hosting-Handbuch für den Produktivbetrieb 8.4 oder neuer. Wer jetzt wechselt, nimmt am besten gleich 8.4 oder 8.5, denn 8.3 bekommt nur bis Ende 2027 Sicherheitsupdates. Vorher braucht es ein Backup und einen Test, weil ältere Themes und Plugins mit neuen PHP-Versionen nicht immer funktionieren.

Wie werden Websites normalerweise gehackt?

Google nennt als gängigste Wege, auf denen Spammer Websites hacken, erratene Passwörter, versäumte Updates und unsichere Themes und Plugins, dazu Social Engineering und Datenlecks. Im Alltag heißt das:

• Lücken in Plugins: Laut dem Sicherheitsanbieter Patchstack wurden 2025 im WordPress-Umfeld 11.334 neue Schwachstellen gefunden, 91 Prozent davon in Plugins, nur sechs im WordPress-Kern. Für 46 Prozent gab es bei Veröffentlichung noch kein Update.
• Mehrfach verwendete Passwörter: Gerät ein Passwort in falsche Hände, können Angreifer laut BSI automatisiert testen, wo es noch funktioniert.
• Raubkopierte Plugins: Google warnt vor Gratis-Versionen kostenpflichtiger Plugins mit eingebautem Schadcode.
• Fehlkonfigurationen: etwa Standardkonten mit unveränderten Passwörtern. Die Sicherheitsorganisation OWASP führt sie auf Platz 2 ihrer Top 10 für Webanwendungen.

Ein Hack zeigt sich etwa durch Spam-Seiten oder den Hinweis „Diese Website wurde möglicherweise gehackt“ im Suchergebnis. Was dann in welcher Reihenfolge zu tun ist, steht in unserem Artikel Website gehackt: Was jetzt zu tun ist.

Wie schütze ich meine Website vor Hackern?

1. Alles aktuell halten, auch PHP. CMS, Themes, Plugins und PHP, laut CERT.at am besten mit automatischen Updates.
2. Automatische Backups, nicht nur auf demselben Server. Das BSI rät, Sicherungen getrennt vom gesicherten Gerät aufzubewahren und gelegentlich zu prüfen, ob sie vollständig und lesbar sind. Das Wiedereinspielen testen Sie am besten an einer Kopie der Website.
3. Zwei-Faktor-Anmeldung für alle Admin-Zugänge, auch beim Hoster. Das BSI empfiehlt sie, wo immer ein Dienst sie anbietet. In WordPress kommt sie über ein Plugin oder eine zentrale Anmeldung (SSO).
4. Lange, einzigartige Passwörter. Aus einem Passwortmanager, ohne Benutzername „admin“, und nur so viele Admin-Konten wie nötig.
5. Weniger Plugins. Ungenutzte löschen, wie der WordPress-Leitfaden zur Absicherung empfiehlt.
6. Eine Web Application Firewall (WAF) als zusätzliche Schicht. Sie filtert Anfragen, bevor sie die Website erreichen, ersetzt aber kein Update.
7. Überwachen. Die Google Search Console meldet im Bericht Sicherheitsprobleme gehackte Inhalte und Malware.
8. Zuständigkeit klären. Wer die Updates einspielt, wenn es eilt, ob intern oder per Wartungsvertrag, sollte vorher feststehen.

Für Websites, die wir betreuen, übernehmen wir mit Hosting & Wartung Updates, Backups und Sicherheits-Checks, ab etwa 40 Euro im Monat, je nach Projekt. Den genauen Umfang, etwa ob die PHP-Version am Server dazugehört, halten wir im Angebot fest. Dass eine Website nie gehackt wird, kann niemand garantieren, auch wir nicht. Eine gepflegte Website ist aber ein schwierigeres Ziel und mit einem aktuellen Backup schneller wieder online.