PHP2Shell einfach erklärt: Was Website-Betreiber jetzt tun sollten
PHP2Shell ist der Name für zwei kritische Lücken in PHP selbst. PHP ist die Software, auf der WordPress, Shopware, Magento und viele eigene Anwendungen laufen. Seit dem 21.10.2026 gibt es Updates, und Angriffsversuche gab es schon Tage davor. Dieser Ratgeber erklärt die Lücke ohne Fachchinesisch. Er richtet sich an alle, die für eine Website verantwortlich sind, aber nicht selbst auf dem Server arbeiten, und zeigt, was Sie heute veranlassen sollten.
Stand: 22.10.2026, 08:06 MESZ. Die Lage ändert sich noch, die Quellen sind jeweils verlinkt.
Was ist PHP2Shell?
PHP2Shell fasst zwei Schwachstellen zusammen, CVE-2026-109618 und CVE-2026-109619. Das PHP-Projekt stuft beide als kritisch ein, mit 9,2 von 10 möglichen Punkten. Ein Angreifer braucht keinen Login. Eine präparierte Anfrage an die Website reicht, um eigenen Code auf dem Server auszuführen. Den Namen haben die Forscher vergeben, PHP selbst spricht nur von den CVE-Nummern.
Technisch geht es um Speicherfehler. Bricht eine Anfrage mit einem schweren Fehler ab, etwa weil der Speicher nicht reicht, bleiben Reste im PHP-Prozess liegen. Die nächste Anfrage im selben Prozess greift auf diese Reste zu. Laut Wiz Research stecken hinter den zwei CVEs vier einzelne Fehler. Über einen davon lassen sich außerdem Speicherinhalte anderer Anfragen auslesen, darunter Passwörter, API-Schlüssel und Zertifikate.
Gefunden haben die Lücken Calif, Wiz Research und das Codex-Security-Team von OpenAI. Die ersten Meldungen gingen im August 2026 an das PHP-Projekt. Welche Rolle KI dabei spielte, beschreibt unser Beitrag über KI und Sicherheitslücken am Beispiel PHP2Shell.
Warum ist die Lücke so ernst?
Die Lücke sitzt unterhalb jedes CMS. Ob Sie WordPress, Shopware oder eine eigene Laravel-Anwendung betreiben, spielt keine Rolle. Calif hat die Codeausführung ohne Login an Magento 2.4.9, WordPress, Drupal, Joomla, Laravel und Symfony gezeigt, berichtet Sansec. Ein Update von WordPress, Plugins oder Theme ändert daran nichts.
Betroffen sind fast alle PHP-Versionen der letzten zehn Jahre, zurück bis PHP 5.4. Offizielle Updates gibt es nur für 8.2 bis 8.5. Wer ältere Versionen betreibt, braucht einen sogenannten Backport. Das ist eine Korrektur, die der Hoster oder der Hersteller des Betriebssystems nachträglich in die alte Version einbaut.
Dazu kommt der Zeitpunkt. Am 20.10.2026 kündigte ein anonymer Beitrag die Lücken an, kurz darauf kursierte versehentlich ein Video eines funktionierenden Exploits. PHP zog das Release deshalb um einen Tag vor. Verteidiger und Angreifer starteten also fast gleichzeitig.
Wird PHP2Shell schon ausgenutzt?
Angriffsversuche gibt es, und sie begannen früher als gedacht. Amazon Threat Intelligence hat in der Nacht zum 22.10. berichtet, dass ein Honeypot von Amazon den ersten Versuch schon am 17.10.2026 aufgezeichnet hat. Das war vier Tage vor der Veröffentlichung. Woher der Angreifer sein Wissen hatte, ist offen. Am frühen Morgen des 21.10. folgten weitere Versuche, nach dem Patch erschienen innerhalb von Stunden neue Exploits. Amazon spricht inzwischen von breiter Ausnutzung.
watchTowr und Cloudflare meldeten am 21.10. ebenfalls Angriffe. Ob einer davon erfolgreich war, ist bisher nicht öffentlich belegt. watchTowr sah am Nachmittag des 21.10. keine erfolgreichen Versuche, erwartete aber laut SecurityWeek, dass sich das bald ändert. Das BSI spricht von unbestätigten Berichten über existierende Exploits und fordert, die Updates unverzüglich einzuspielen. Im Katalog aktiv ausgenutzter Lücken der US-Behörde CISA steht PHP2Shell noch nicht.
Rechnen Sie damit, dass auch Ihre Website Ziel von Angriffsversuchen war, wenn sie vor dem Update erreichbar war. Ob ein Versuch gelungen ist, zeigt erst eine Prüfung.
Was ist jetzt zu tun?
Die folgenden Schritte sind für Geschäftsführung, Marketing und Projektverantwortliche gedacht. Sie beschreiben, was Sie veranlassen und nachfragen. Die Befehle für Admins stehen auf unserer Seite mit allen Prüfschritten zur PHP2Shell-Sicherheitslücke.
Klären Sie, wer PHP auf Ihrem Server aktualisiert
Bei Shared Hosting und Managed Servern ist das der Hoster. Bei einem eigenen Server, einem VPS oder Docker-Containern sind es Sie oder Ihr Dienstleister. Eine Agentur, die nur WordPress pflegt, ist nicht automatisch für PHP zuständig. Fragen Sie nach, statt es anzunehmen. Was die großen Hoster bisher gemeldet haben, zeigt unsere Übersicht zum Stand bei Strato, IONOS und anderen Hostern.
Lassen Sie sich das Update schriftlich bestätigen
Fragen Sie für jede Website nach der genauen PHP-Version und danach, ob alle PHP-Prozesse neu gestartet wurden. Erst der Neustart aktiviert das Update. Korrigiert sind die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Zeigt Ihr System eine ältere Nummer, kann trotzdem ein Backport installiert sein. Den Nachweis muss dann der Betreiber liefern. Wie Sie die Nummer selbst ablesen, erklärt die Anleitung PHP-Version herausfinden.
Denken Sie an vergessene Systeme
Die Hauptwebsite ist selten das größte Problem, denn um sie kümmert sich jemand. Riskanter sind alte Microsites, Kampagnenseiten, Staging-Umgebungen, Intranet-Tools oder ein Kundenportal, das niemand mehr aktiv betreut. Das Schweizer Bundesamt für Cybersicherheit weist laut blue News darauf hin, dass PHP auch unbemerkt in internen Werkzeugen, Routern und NAS-Geräten laufen kann. Legen Sie eine Liste aller Domains und Subdomains an und tragen Sie zu jedem Eintrag ein, wer ihn betreut.
Nehmen Sie Systeme vom Netz, die sich nicht patchen lassen
BSI und CERT-EU raten, Anwendungen ohne Update vorübergehend vom Internet zu trennen. Viele Betreiber haben das am 21.10. getan. In den Niederlanden gingen laut The Hacker News DigiD und MijnOverheid vorsorglich offline, in der Schweiz Portale von Hochschulen und Kantonen. Ein paar Stunden Ausfall kosten weniger als ein kompromittierter Server. Der Wartungsmodus von WordPress oder Magento schützt dabei nicht, denn PHP verarbeitet die Anfrage, bevor die Anwendung startet.
Beauftragen Sie eine Spurensuche ab dem 17. Oktober
Ein Update schließt die Lücke, entfernt aber nichts, was ein Angreifer vorher hinterlassen hat. Amazon empfiehlt, Untersuchungen spätestens am 17.10.2026 beginnen zu lassen und nicht erst am Tag der Veröffentlichung. Klären Sie mit Ihrem Hoster oder Dienstleister, ob die Server-Logs so weit zurückreichen und wer sie auswertet. Gesucht wird nach auffälligen Anfragen, unbekannten Dateien, neuen Benutzerkonten und Programmen, die der Webserver gestartet hat.
Tauschen Sie bei einem Verdacht die Zugangsdaten
Die Lücke kann Speicherinhalte offenlegen. Gibt es Hinweise auf einen Angriff, tauschen Sie deshalb alle Geheimnisse, die der Server kannte. Dazu zählen Datenbank-Passwörter, API-Schlüssel für Zahlungsanbieter oder Newsletter-Dienste und die Schlüssel hinter dem https-Zertifikat der Website. Ohne solche Hinweise wägen Sie Aufwand und Risiko ab.
Dokumentieren Sie den Ablauf
Halten Sie fest, wann welches System gepatcht war, was geprüft wurde und mit welchem Ergebnis. Das hilft bei Rückfragen von Kunden, Partnern oder Ihrer Versicherung. Ob ein Vorfall nach der DSGVO meldepflichtig ist, bewerten Sie als Verantwortlicher mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung. Die technische Dokumentation liefert dafür die Fakten, die rechtliche Bewertung liegt bei Ihnen.
Was Sie nicht tun müssen
Ihre Arbeitsrechner und Smartphones sind nicht das Ziel, PHP2Shell betrifft Webserver. Laut blue News müssen Nutzer auf ihren eigenen Geräten nichts tun. Seien Sie aber vorsichtig bei E-Mails, die wegen PHP2Shell zu einem dringenden Update auffordern. Bekannte Lücken sind ein beliebter Aufhänger für Phishing.
Auch ein Wechsel des CMS löst nichts, denn die Lücke steckt in PHP und nicht in WordPress oder TYPO3. Und eine neue Website müssen Sie wegen PHP2Shell nicht bauen. In den meisten Fällen reicht das Update mit Neustart.
Was PHP2Shell für die nächsten Monate bedeutet
Diesmal lagen zwischen Patch und neuen Exploits nur Stunden, und die ersten Angriffe kamen sogar vor dem Patch. Amazon rät deshalb, Patch-Zeiten für kritische Lücken an Systemen im Internet in Stunden zu messen, nicht in Tagen. Für viele Unternehmen heißt das, Zuständigkeit und Erreichbarkeit vorher zu regeln, auch nachts und am Wochenende.
Wiz schreibt, dass es neben den vier gemeldeten Fehlern weitere Varianten gibt. Laut PHP-Team behebt der Patch die Ursache und damit auch diese Varianten. Rechnen Sie trotzdem mit weiteren Sicherheitsupdates in kurzen Abständen. Die PHP Foundation zählt seit dem 1. Juli 2026 schon 15 neue CVEs in PHP, wie SecurityWeek berichtet, auch weil KI-Werkzeuge mehr Lücken finden.
PHP 8.2 erhält nur noch bis zum 31.12.2026 Sicherheitsupdates. Wer jetzt bei 8.1 oder älter auf Backports angewiesen war, sollte den Wechsel planen, solange kein neuer Notfall drängt. Die Termine aller Zweige stehen im Überblick zum Support-Ende der PHP-Versionen.
Häufige Fragen zu PHP2Shell
Woran erkenne ich, ob meine Website mit PHP läuft?
WordPress, WooCommerce, Shopware, Magento, TYPO3, Joomla, Drupal, Contao und Laravel-Anwendungen laufen mit PHP. Bei Baukästen wie Wix oder Squarespace betreibt der Anbieter die Technik, dort können Sie selbst nichts patchen. Bei rein statischen Websites ohne PHP auf dem Server greift die Lücke nicht. Im Zweifel fragen Sie Ihren Hoster oder Ihre Agentur.
Betrifft PHP2Shell auch Online-Shops?
Ja. Laut Sansec sind Shops mit Magento, Shopware und WooCommerce angreifbar, auch wenn ihr eigener Code sauber ist. Für Shops kommt ein Risiko hinzu, denn auf dem Server liegen oft Schlüssel für Zahlungsanbieter und Warenwirtschaft. Testen Sie nach dem Update außerdem den Checkout, falls Ihr Hoster Uploads oder Formulare vorübergehend eingeschränkt hat.
Wie lange dauert es, die Lücke zu schließen?
Auf einer unterstützten PHP-Version reichen meist das Update und ein Neustart der PHP-Prozesse. Das dauert Minuten bis wenige Stunden, je nach Zahl der Systeme. Länger wird es bei PHP 8.1 und älter ohne Backport. Dann muss die Anwendung auf eine neuere PHP-Version umziehen, und das kann bei alter Software Wochen dauern.
Muss ich meine Kunden über PHP2Shell informieren?
Das ist eine rechtliche Frage, die wir als Digitalagentur nicht beantworten. Dringend wird sie vor allem, wenn es Hinweise auf einen Angriff gibt und personenbezogene Daten betroffen sein könnten. Klären Sie das mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung. Die technische Prüfung liefert dafür die Grundlage.
Kommen noch weitere Updates zu PHP2Shell?
Bis zum 22.10.2026, 08:06 MESZ, hat das PHP-Projekt keine weiteren Versionen und kein geändertes Advisory veröffentlicht. Weil Wiz weitere Varianten beschreibt und die Aufmerksamkeit für PHP hoch ist, sind Folge-Updates in den nächsten Wochen wahrscheinlich. Behalten Sie die Release-Seite von php.net oder die Meldungen Ihres Hosters im Blick.