22/10/2026 Marc CMS

PHP2Shell: Kritische PHP-Sicherheitslücken – Ist deine Website betroffen?

Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei kritische Schwachstellen in PHP veröffentlicht. Die unter dem Namen PHP2Shell bekannten Sicherheitslücken können es Angreifern ermöglichen, Websites und Server zu kompromittieren – ohne sich vorher anmelden zu müssen.

Auch Websites mit TYPO3, WordPress oder Shopware können betroffen sein. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor den Risiken.

Doch was bedeutet das konkret für deine Website? Und musst du selbst etwas unternehmen?

Was steckt hinter PHP2Shell?

PHP ist eine Programmiersprache, auf der viele Websites und Online-Shops basieren. Sie sorgt beispielsweise dafür, dass Inhalte aus einer Datenbank geladen, Formulare verarbeitet oder Bestellungen entgegengenommen werden.

Die beiden Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 liegen im Kern von PHP. Beide können es einem Angreifer ermöglichen, ohne Anmeldung Code auf dem Server auszuführen. Dafür genügen manipulierte HTTP-Anfragen. Betroffen ist grundsätzlich jede PHP-Installation, die Webanfragen verarbeitet, egal ob PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed.

Im schlimmsten Fall können Angreifer dadurch:

• vertrauliche Daten auslesen, etwa Zugangsdaten oder Kundendaten,
• Dateien und Inhalte deiner Website verändern,
• Schadcode mit den Rechten des PHP-Benutzers ausführen und weitere Angriffe vorbereiten.

Beide Schwachstellen sind mit einem CVSS-Wert von 9,2 von 10 (CVSS v4.0) als kritisch eingestuft.

So funktioniert ein möglicher Angriff

Das folgende Video demonstriert, wie Angreifer die PHP2Shell-Sicherheitslücken ausnutzen können.

Dieses Video wird über eine externe Plattform (YouTube) gehostet. Das Laden bedarf der Zustimmung unserer Datenschutzbestimmungen.

Einstellung vornehmen

Wichtig zu wissen: Die Sicherheitslücken befinden sich direkt in PHP, nicht in TYPO3, WordPress oder Shopware. Auch ein vollständig aktualisiertes Content-Management-System kann deshalb betroffen sein, wenn auf dem Server eine verwundbare PHP-Version läuft.

Welche PHP-Versionen sind betroffen?

Die Sicherheitslücken betreffen zahlreiche PHP-Versionen, darunter auch ältere Versionen, die schon seit Jahren im Einsatz sind.

Die PHP-Entwickler haben am 21. Oktober 2026 folgende Sicherheitsupdates veröffentlicht:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Diese Versionen beheben die beiden bekannten Schwachstellen.

Veraltete PHP-Versionen: PHP 8.1 und älter werden vom PHP-Projekt nicht mehr unterstützt, es gibt dafür keine offiziellen Releases. Für 7.4, 8.0 und 8.1 hat das Projekt lediglich minimale Quellcode-Patches veröffentlicht. Läuft deine Website auf einer solchen Version, solltest du umgehend beim Hoster nachfragen, ob er einen Backport eingespielt hat. Wenn nicht, ist ein Umstieg auf eine unterstützte Version nötig. Beachte auch, dass PHP 8.2 nur noch bis zum 31. Dezember 2026 Sicherheitsupdates erhält.

Hinweis zu Versionsnummern: Linux-Distributionen wie Debian oder AlmaLinux portieren Fixes oft in ältere Versionsnummern zurück. Eine Anzeige wie „8.3.33“ bedeutet daher nicht zwangsläufig, dass die Lücke offen ist. Im Zweifel hilft die Sicherheitsmeldung deines Anbieters.

Weitere Informationen findest du in der offiziellen Sicherheitsmeldung des PHP-Projekts.

Muss ich als Website-Betreiber jetzt etwas tun?

Das hängt davon ab, wie deine Website gehostet wird.

Bei einem klassischen Webhosting-Paket oder einem Managed Server übernimmt in der Regel der Hosting-Anbieter die Sicherheitsupdates der PHP-Umgebung. Viele Anbieter haben bereits auf die Sicherheitslücken reagiert.

Das bedeutet: Du musst nicht unbedingt selbst ein PHP-Update durchführen. Du solltest aber prüfen, ob dein Anbieter die notwendigen Sicherheitskorrekturen eingespielt hat.

Bei einem selbst verwalteten Server bist du beziehungsweise dein technischer Dienstleister für die Updates verantwortlich.

Unsere Empfehlung:

1. Hosting-Status prüfen: Informiere dich, ob dein Anbieter die PHP2Shell-Sicherheitsupdates bereits installiert hat.
2. PHP-Version kontrollieren: Prüfe im Hosting-Kundenbereich, welche PHP-Version deine Website verwendet.
3. Bei Unsicherheit nachfragen: Kontaktiere deinen Hoster oder deine betreuende Webagentur, wenn du nicht sicher bist, ob deine Website abgesichert ist.

Muss ich meine PHP-Version selbst umstellen?

Nicht unbedingt. Ein Sicherheitsupdate innerhalb einer PHP-Versionsreihe, beispielsweise von PHP 8.4.26 auf 8.4.27, ist etwas anderes als ein Wechsel von PHP 8.2 auf PHP 8.4.

Ein solcher Versionswechsel kann Anpassungen an deiner Website erforderlich machen, weil ältere Erweiterungen oder Funktionen möglicherweise nicht mehr kompatibel sind.

Deshalb solltest du die PHP-Hauptversion nicht unüberlegt wechseln. Ist ein Wechsel notwendig, empfehlen wir, die Kompatibilität vorher zu prüfen.

Wo finde ich Informationen meines Hosting-Anbieters?

Viele Hosting-Anbieter haben die Sicherheitsupdates bereits eingespielt. Bei älteren PHP-Versionen sind teilweise zusätzliche Anpassungen notwendig.

Hier findest du den aktuell gemeldeten Stand verschiedener Anbieter:

• Hetzner: Die Sicherheitsupdates für PHP 5.6, 7.3, 7.4 und 8.0 bis 8.5 wurden auf allen Webhosting- und Managed-Servern eingespielt. Für andere ältere Versionen liegt keine entsprechende Bestätigung vor.
• mittwald: Die Sicherheitslücken sind laut Anbieter für nahezu alle angebotenen PHP-Versionen behoben. Ausgenommen sind derzeit Versionen unterhalb von PHP 5.6.
• Profihost: PHP 5.6 bis 8.5 wurde auf der gesamten Infrastruktur aktualisiert.
• domainfactory: Managed-WordPress-Tarife sind bereits vollständig abgesichert. Für weitere Hosting-Produkte werden die Patches derzeit ausgerollt, auch für ältere PHP-Versionen.
• centron: Der Anbieter spielt Sicherheitsupdates für unterstützte PHP-Versionen auf Managed Servern automatisch ein. Ein Abschluss für bestimmte Versionsreihen ist öffentlich noch nicht bestätigt.

Bei jweiland, ALL-INKL und loswebos liegen uns keine ausreichend konkreten öffentlichen Statusmeldungen zum Patch-Stand der einzelnen PHP-Versionen vor. Hier empfehlen wir, den jeweiligen Kundenbereich zu prüfen oder direkt beim Anbieter nachzufragen.

Wichtig: Die Angaben beziehen sich auf die öffentlich gemeldeten Hosting-Dienste. Bei selbst verwalteten Servern können Sicherheitsupdates weiterhin in deiner eigenen Verantwortung liegen.

Stand: 22. Oktober 2026 12:00 Uhr. Da die Hosting-Anbieter laufend Updates bereitstellen, findest du den jeweils neuesten Stand über die verlinkten Statusmeldungen.

Fazit: Sicherheitsupdate prüfen, aber nicht unüberlegt handeln

PHP2Shell ist eine ernst zu nehmende Sicherheitslücke. Die notwendigen Updates stehen seit dem 21. Oktober 2026 bereit.

Für viele Website-Betreiber ist zunächst entscheidend, ob der Hosting-Anbieter die Sicherheitskorrekturen bereits eingespielt hat. Ein eigenständiger Wechsel auf eine andere PHP-Hauptversion ist nicht grundsätzlich erforderlich und sollte vorher geprüft werden.

Du bist unsicher, ob deine Website geschützt ist oder deine PHP-Version aktualisiert werden sollte? Kontaktiere uns. Wir unterstützen dich dabei, den Updatebedarf zu prüfen und notwendige Anpassungen vorzunehmen.