--- title: "PHP Sicherheitslücke PHP2Shell: Ist deine Website betroffen?" siteName: "onlinewachsen.de" url: "https://onlinewachsen.de/news/php-sicherheitsluecke-php2shell-oktober-2026/" canonical: "https://onlinewachsen.de/news/php-sicherheitsluecke-php2shell-oktober-2026/" markdown: "https://onlinewachsen.de/news/php-sicherheitsluecke-php2shell-oktober-2026.md" describedby: "https://onlinewachsen.de/llms.txt" description: "PHP Sicherheitslücke PHP2Shell: Patches seit 21.10.2026, betroffene Versionen, Check in 5 Schritten und was du deinem Hoster jetzt schreiben solltest." datePublished: "2026-10-21T19:41:45+00:00" dateModified: "2026-10-23T19:28:32+00:00" author: name: "Mika" publisher: name: "onlinewachsen.de" url: "https://onlinewachsen.de/" language: "de" contentType: "text/markdown" image: "https://onlinewachsen.de/wp-content/uploads/2026/10/php-sicherheitsluecke-php2shell-datenleck.webp" categories: - "Development" - "News" schema: - "Answer" - "FAQPage" - "HowTo" - "HowToStep" - "HowToSupply" - "HowToTool" - "Question" --- # PHP Sicherheitslücke PHP2Shell: Ist deine Website betroffen? > PHP Sicherheitslücke PHP2Shell: Patches seit 21.10.2026, betroffene Versionen, Check in 5 Schritten und was du deinem Hoster jetzt schreiben solltest. ### Abschnitte ![PHP Sicherheitslücke PHP2Shell: Server aus Milchglas mit Riss, aus dem rote Datenfragmente austreten](https://onlinewachsen.de/wp-content/uploads/2026/10/php-sicherheitsluecke-php2shell-datenleck.webp) - News 19min - 21/10/2026 **Version 1.0: 21. Oktober 2026, 21:30 Uhr CEST** Analyse auf Basis des offiziellen Security Advisory des PHP-Projekts, der GitHub-Advisories zu beiden CVEs, der Cybersicherheitswarnung des BSI, des Advisory 2026-018 von CERT-EU, der Berichte der Entdecker Wiz Research und Calif sowie der Auswertungen von Sansec und Cloudflare. Stand der Patches und Distributionspakete: 21. Oktober 2026, abends. Nächste geplante Aktualisierung: sobald weitere Distributionen und Hoster Pakete ausliefern, spätestens am 28. Oktober 2026. ## Quick Answer: Was ist die PHP Sicherheitslücke PHP2Shell und was musst du jetzt tun? Am 20. Oktober 2026 wurden Details zu zwei kritischen Fehlern im Kern der Programmiersprache PHP vorzeitig öffentlich. Am 21. Oktober hat das PHP-Projekt die Patches veröffentlicht. Die PHP Sicherheitslücke läuft unter dem Namen PHP2Shell und betrifft praktisch jede Website, die mit PHP läuft, also auch WordPress, WooCommerce, Shopware, Joomla, Drupal und Magento. Die wichtigsten Fakten im Überblick: 1. **Zwei kritische Lücken:** CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten nach CVSS v4.0 bewertet. 2. **Kein Login nötig:** Angreifer können aus der Ferne eigenen Code auf dem Server ausführen. Eine der Lücken erlaubt zusätzlich das Auslesen von Arbeitsspeicher, in dem Passwörter, Session-Tokens und API-Schlüssel stehen können. 3. **Der Fix steckt in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.** PHP 8.1 und ältere Versionen erhalten kein offizielles Release mehr. 4. **Ein WordPress-Update hilft nicht.** Der Fehler steckt in PHP selbst. Das Update muss auf dem Server eingespielt werden, durch den Hoster oder den Serververantwortlichen. 5. **Angriffe laufen bereits.** Cloudflare hat Angriffsverkehr schon am Morgen des 21. Oktober beobachtet, also vor der offiziellen Veröffentlichung. 6. **Der fehlerhafte Code ist alt:** Er stammt aus PHP 5.4 von 2012. Gefunden wurden die Lücken mit Unterstützung von KI-Modellen. Für Unternehmen heißt das: Kläre noch heute, wer für die PHP-Version deines Servers zuständig ist, und lass dir bestätigen, dass eine gepatchte Version aktiv ist. Das BSI rät dazu, die Patches unverzüglich einzuspielen. Alle Quellen stehen am Ende des Artikels. Kostenlos und ohne Anmeldung Wie angreifbar ist deine Website gerade? Unser Website-Sicherheitscheck zeigt in unter einer Minute, ob deine Website ihre PHP-Version öffentlich verrät, ob WordPress und Plugins aktuell sind und ob es Spuren eines Angriffs gibt, etwa versteckte Links oder Weiterleitungen. Ob der PHP-Patch auf deinem Server aktiv ist, kann von außen niemand sicher feststellen. Das bestätigt nur dein Hoster oder Serververantwortlicher. [Mehr zum Website-Sicherheitscheck](https://onlinewachsen.de/website-sicherheit-pruefen.md) · Verdacht auf einen Angriff? 24/7 Notfall-Service: [**0160 91910214**](tel:+4916091910214) ## Was am 20. und 21. Oktober 2026 passiert ist Die PHP Sicherheitslücke PHP2Shell wurde nicht wie üblich zum vereinbarten Termin veröffentlicht, sondern ist vorher durchgesickert. Dadurch war das Zeitfenster zwischen Bekanntwerden und Patch ungewöhnlich gefährlich. Der Ablauf in deutscher Zeit: - **11. August 2026:** Das Sicherheitsunternehmen Calif meldet den ersten Fehler an das PHP-Sicherheitsteam und startet eine koordinierte Offenlegung. - **24. August 2026:** Wiz Research meldet die Schwachstellen ebenfalls an das PHP-Team. - **20. Oktober 2026, gegen 17:20 Uhr:** Auf Hacker News taucht ein Beitrag mit Details auf, die eigentlich noch unter Embargo standen. Der Beitrag wird entfernt, Screenshots eines Angriffstools namens „PHP2Shell“ verbreiten sich trotzdem. - **20. Oktober 2026, abends:** Die Sicherheitsfirma watchTowr bestätigt, dass sich die Lücke zur Codeausführung nutzen lässt. Das PHP-Team kündigt um 21:33 Uhr ein Notfall-Release für den nächsten Tag um 16 Uhr an, einen Tag früher als geplant. CERT-EU veröffentlicht sein Advisory 2026-018. - **21. Oktober 2026, 05:02 Uhr:** Cloudflare aktiviert verwaltete Firewall-Regeln für alle Tarife, auch den kostenlosen. - **21. Oktober 2026, 09:43 Uhr:** Cloudflare meldet erste Angriffe auf Websites seiner Kunden. - **21. Oktober 2026, Nachmittag:** Das PHP-Projekt veröffentlicht PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie ein Security Advisory mit technischen Details. Das BSI aktualisiert seine Warnung. - **21. Oktober 2026, abends:** Debian und Ubuntu liefern gepatchte Pakete aus, weitere Distributionen und Control-Panels folgen schrittweise. In den Niederlanden haben mehrere bekannte Websites vorsorglich den Betrieb eingestellt, darunter das Technikportal Tweakers, das Parlament und das nationale Cybersicherheitszentrum NCSC. Das zeigt, wie ernst die Lage in der Fachwelt eingeschätzt wurde. ## Wie gefährlich ist die PHP Sicherheitslücke für Unternehmenswebsites? Sehr gefährlich. PHP2Shell gehört zu den schwersten Lücken, die bisher in PHP gefunden wurden. Die Entdecker bei Wiz ordnen sie sogar als eine der gravierendsten Schwachstellen der Softwaregeschichte ein. Der Sicherheitsforscher Kevin Beaumont rechnet mit einer großen Zahl von Vorfällen. Drei Eigenschaften machen die Lage so ernst: **Ein Angriff braucht weder Login noch Mitwirkung.** Laut BSI ist für die Ausnutzung weder eine Anmeldung noch eine Interaktion von Nutzern nötig. Eine präparierte Anfrage an die Website reicht. **Der Angriff läuft, bevor WordPress überhaupt startet.** PHP wertet bestimmte Anfragen aus, noch bevor der Code der Website ausgeführt wird. Deshalb schützt auch der Wartungsmodus von WordPress nicht, und kein Sicherheits-Plugin kann eingreifen. Am höchsten ist das Risiko laut PHP-Team bei Servern, die PHP über das Apache-Modul mod\_php ausführen. **Daten können auch ohne Codeausführung abfließen.** Über CVE-2026-109618 lässt sich laut Wiz und Sansec Arbeitsspeicher eines PHP-Prozesses auslesen. Der Speicher landet dabei in einem Session-Cookie, das der Server an den Angreifer zurückschickt. Darin können Zugangsdaten, Tokens und Schlüssel aus Anfragen anderer Besucher stehen. Die Forscher von Calif haben gezeigt, dass Angreifer ohne Login Code auf WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, Magento 2.4.9, Nextcloud, Laravel, Symfony und weiteren Anwendungen ausführen können. Es geht also nicht um ein bestimmtes CMS, sondern um die Grundlage, auf der sie alle laufen. ## Ist deine Website von PHP2Shell betroffen? So prüfst du es in fünf Schritten Wenn deine Website mit WordPress, WooCommerce, Shopware, Joomla, Drupal oder einem anderen PHP-System läuft, ist sie betroffen, bis auf dem Server eine gepatchte PHP-Version aktiv ist. Mit diesen fünf Schritten findest du heraus, wo du stehst. ### Schritt 1: Die PHP-Version deiner Website herausfinden In WordPress findest du die Version unter **Werkzeuge, Website-Zustand, Reiter „Bericht“, Abschnitt „Server“**. Alternativ zeigt das Kundenmenü deines Hosters die PHP-Version an. Ob deine Website die Version zusätzlich öffentlich verrät, zeigt unser [Website-Sicherheitscheck](https://onlinewachsen.de/website-sicherheit-pruefen.md). Wer selbst einen Server betreibt, sollte nicht nur `php -v` auf der Kommandozeile nutzen. Das zeigt die Version der Kommandozeile, nicht zwingend die Version, mit der der Webserver deine Website ausliefert. ### Schritt 2: Die Version mit der Fix-Tabelle abgleichen Vergleiche deine Version mit der Tabelle im nächsten Abschnitt. Achtung bei Linux-Distributionen wie Debian und Ubuntu: Dort tragen gepatchte Pakete oft eigene Versionsnummern. Ubuntu 24.04 liefert den Fix zum Beispiel in einem Paket mit PHP 8.3.6 aus. Entscheidend ist dort der Sicherheitshinweis der Distribution, nicht die Versionsnummer von php.net. ### Schritt 3: Beim Hoster nachfragen Beim klassischen Shared Hosting und bei Managed WordPress Hosting spielt in der Regel der Anbieter die PHP-Updates ein. Verlass dich nicht blind darauf, sondern frag schriftlich nach. Eine fertige Vorlage findest du weiter unten im Abschnitt [Was du deinem Hoster jetzt schreiben solltest](#hoster-anfrage). Bei eigenen Servern (VPS, Dedicated Server, Cloud) bist du selbst verantwortlich. ### Schritt 4: Nach dem Update neu starten und erneut prüfen Ein installiertes Update wirkt erst, wenn alle PHP-Prozesse neu gestartet sind. Laufende Prozesse nutzen sonst weiter den alten, verwundbaren Code. Bei PHP-FPM heißt das: den Dienst neu laden, bei mod\_php den Apache neu starten. Danach die Version erneut über die Website prüfen, wie in Schritt 1 beschrieben. ### Schritt 5: Das Zeitfenster seit dem 20. Oktober prüfen Da Angriffe bereits vor dem Patch liefen, reicht das Update allein nicht in jedem Fall. Prüfe für die Zeit vom 20. Oktober bis zu deinem Update, ob es Auffälligkeiten gibt. Worauf du achten solltest, steht im Abschnitt [Woran erkennst du, ob deine Website schon angegriffen wurde](#angriff-erkennen). ## Welche PHP-Versionen sind betroffen und welche schließen die Lücke? Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten, unabhängig von der Betriebsart: PHP-FPM, Apache mit mod\_php, php-cgi, FrankenPHP und LiteSpeed. Behoben ist die PHP Sicherheitslücke nur in den folgenden Versionen: | PHP-Zweig | Verwundbar | Version mit Fix | | --- | --- | --- | | PHP 8.5 | bis 8.5.11 | **8.5.12** | | PHP 8.4 | bis 8.4.26 | **8.4.27** | | PHP 8.3 | bis 8.3.35 | **8.3.36** | | PHP 8.2 | bis 8.2.34 | **8.2.35** (Support endet am 31.12.2026) | | PHP 8.1, 8.0 und 7.4 | alle Versionen | kein offizielles Release, nur Quellcode-Backports des PHP-Teams oder Pakete von Distributionen und LTS-Anbietern | | PHP 5.4 bis 7.3 | laut Entdeckern betroffen | kein Fix, Upgrade auf einen unterstützten Zweig nötig | Wer noch auf PHP 8.1 oder älter läuft, hat jetzt ein doppeltes Problem: Die Version ist ohnehin seit Ende 2025 ohne Sicherheitsupdates, und für PHP2Shell gibt es dort nur Notlösungen. Hier ist ein Upgrade auf PHP 8.3 oder neuer der saubere Weg. Bei älteren WordPress-Themes und Plugins sollte das vorher in einer Testumgebung geprüft werden. ## Warum ein WordPress-Update die PHP Sicherheitslücke nicht schließt Eine Website besteht aus mehreren Schichten, die unterschiedlich gepflegt werden. Wer die Schichten kennt, versteht, warum diese Lücke so viele Websites gleichzeitig trifft. ### Die vier Schichten einer WordPress-Website - **Server und Betriebssystem:** zum Beispiel Debian oder Ubuntu, betreut vom Hoster oder vom Serveradmin. - **PHP-Laufzeit:** das Programm, das den PHP-Code ausführt. Genau hier steckt PHP2Shell. - **Anwendung:** WordPress, Shopware oder ein anderes System. - **Erweiterungen:** Themes, Plugins, Page Builder wie Elementor. Die meisten WordPress-Sicherheitsmeldungen betreffen die obersten beiden Schichten, also ein bestimmtes Plugin oder Theme. Dann sind nur Websites betroffen, die genau diese Erweiterung nutzen. PHP2Shell steckt dagegen eine Ebene tiefer. Eine perfekt gepflegte WordPress-Installation mit aktuellen Plugins ist genauso verwundbar wie eine vernachlässigte, solange die PHP-Laufzeit darunter alt ist. ### Was technisch schiefläuft Beide Lücken haben dieselbe Ursache. Läuft PHP während einer Anfrage der Speicher aus oder bricht es mit einem schweren Fehler ab, bleiben interne Daten halb aufgebaut oder zeigen auf Speicher, der schon wieder freigegeben ist. Die nächste Anfrage im selben PHP-Prozess arbeitet dann mit diesen kaputten Daten weiter. Fachleute nennen diesen Fehlertyp Use-after-free. Ausgelöst wird der Fehler über Anfragen im Format `multipart/form-data`. Das ist das Format, mit dem Formulare Dateien an den Server schicken. PHP liest solche Anfragen ein, bevor die Website-Software startet. Deshalb ist auch eine Website ohne Upload-Formular betroffen: Der Angreifer schickt die präparierte Anfrage einfach selbst. ## Was tun, wenn das PHP-Update nicht sofort möglich ist? Das einzige vollständige Gegenmittel ist das Update. Das sagen das PHP-Team und das BSI übereinstimmend, und laut BSI sind keine zuverlässigen Workarounds bekannt. Für Server, die sich nicht sofort aktualisieren lassen, nennt das PHP-Team aber Übergangsmaßnahmen, die einzelne Angriffswege verengen. Sie richten sich an Serveradministratoren und machen eine Installation nicht sicher. - **Session Upload Progress abschalten:** `session.upload_progress.enabled = 0` in der php.ini oder in jedem PHP-FPM-Pool setzen und alle PHP-Prozesse neu starten. Das blockiert bestätigte Angriffswege für CVE-2026-109619, aber nicht alle. Die Einstellung kann nach dem Update aktiv bleiben, wenn die Website die Funktion nicht braucht. WordPress nutzt sie im Standard nicht. - **Anfragegrößen begrenzen:** kleine Werte für `post_max_size` und `upload_max_filesize` sowie Limits am Webserver für Anfragegröße und Anzahl der Formularteile. - **Multipart-Anfragen am Webserver sperren:** wirkt vor allem bei mod\_php, legt aber Uploads in der Mediathek, Bewerbungsformulare mit Anhang und Plugin-Installationen lahm. - **Eine Web Application Firewall (WAF) nutzen:** Cloudflare hat Regeln gegen bekannte Angriffsmuster für alle Tarife aktiviert. Angreifer verändern ihre Anfragen aber gezielt, die Firewall ersetzt das Update also nicht. - **Die Website vorübergehend vom Netz nehmen:** CERT-EU empfiehlt, das für Systeme zu erwägen, die nicht zeitnah gepatcht werden können. Wichtig: Dafür muss der Webserver eine statische Wartungsseite ausliefern und PHP gestoppt sein. Der eingebaute Wartungsmodus von WordPress hilft nicht. Das PHP-Team nennt außerdem `memory_limit = -1` als Maßnahme gegen CVE-2026-109618. Ohne Speicherlimit kann allerdings ein einzelnes Skript den gesamten Server lahmlegen. Diese Einstellung gehört deshalb nur in erfahrene Hände und nur bis zum Update. ## Was du deinem Hoster jetzt schreiben solltest Wenn deine Website bei einem Hoster liegt und du nicht weißt, ob die Patches eingespielt sind, schick am besten eine kurze, konkrete Anfrage. Je klarer die Frage, desto schneller die verbindliche Antwort. Diese Vorlage kannst du übernehmen: **Betreff:** PHP2Shell (CVE-2026-109618, CVE-2026-109619): Status der PHP-Updates für meinen Vertrag Hallo, zu den am 21. Oktober 2026 veröffentlichten PHP-Sicherheitsupdates habe ich drei Fragen zu meinem Vertrag \[Vertragsnummer oder Domain\]: 1. Sind auf dem Server meiner Website die gepatchten PHP-Versionen (8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. die gepatchten Pakete der Distribution) aktiv und die PHP-Prozesse neu gestartet? 2. Falls nein: Bis wann ist das Update geplant, und welche Übergangsmaßnahmen sind bis dahin aktiv? 3. Läuft meine Website noch auf PHP 8.1 oder älter, und falls ja, wie sieht der Weg auf eine unterstützte Version aus? Vielen Dank für eine kurze Rückmeldung. Viele Hoster veröffentlichen den Stand auch auf ihrer Statusseite oder im Kundenbereich. Ein Blick dorthin lohnt sich vor der Anfrage. Wie wichtig eine klare Kommunikation zwischen Hoster und Kunde bei Störungen ist, haben wir auch bei der [IONOS WordPress Hosting Störung im Mai 2026](https://onlinewachsen.de/news/ionos-wordpress-hosting-stoerung-8-mai-2026.md) beschrieben. ## Woran erkennst du, ob deine Website schon angegriffen wurde? Ein erfolgreicher Angriff ist von außen oft nicht sichtbar. Angreifer legen meist unauffällig eine Hintertür an und nutzen sie später. Diese Anzeichen sprechen für einen Angriff seit dem 20. Oktober 2026. Was von außen sichtbar ist, also versteckte Links, verschleierten Code und Weiterleitungen, prüft unser [kostenloser Sicherheitscheck](https://onlinewachsen.de/website-sicherheit-pruefen.md) automatisch: - neue oder veränderte PHP-Dateien, vor allem im Upload-Ordner `wp-content/uploads` - neue WordPress-Benutzer mit Administratorrechten, die niemand angelegt hat - neue Cronjobs oder neue Benutzerkonten auf dem Server - PHP-Prozesse, die Programme wie `sh`, `bash`, `curl`, `wget` oder `python` starten - auffällige Upload-Anfragen in den Zugriffsprotokollen, gefolgt von Fehlern wegen Speichermangel oder wiederholten Fehlern mit dem Statuscode 500 - ungewöhnlich große oder fehlerhafte `PHPSESSID`-Cookies in den Antworten des Servers Wer solche Anzeichen findet, sollte den Server vom Netz trennen, die Protokolle von Webserver und PHP sichern und erst dann bereinigen. Das PHP-Update allein entfernt keine Hintertür, die bereits eingeschleust wurde. War der Server längere Zeit ungepatcht erreichbar, ist es sinnvoll, Passwörter, API-Schlüssel und Zugangsdaten zu Zahlungsdiensten vorsorglich zu wechseln. Was die einzelnen Fehlercodes bedeuten, erklärt unser Glossar zu [HTTP Statuscodes](https://onlinewachsen.de/glossar/seo/http-statuscodes.md). ## Welche Rolle KI bei der Entdeckung von PHP2Shell gespielt hat PHP2Shell ist einer der ersten großen Fälle, in denen KI-Modelle maßgeblich an der Entdeckung einer kritischen Infrastruktur-Lücke beteiligt waren. Wiz Research fand den ersten Fehler am 19. August 2026 mit dem eigenen Tool Wiz Atlas sowie den Modellen Gemini 4 Argon und GPT-5.6 Sol. Bereits am 20. August lief ein Angriff ohne Login gegen Drupal, am 21. August gegen WordPress. Auch OpenAI wird als Mitentdecker genannt. Die Forscher beschreiben, dass die Fehler zwar seit vielen Jahren im Code steckten, ihre Ausnutzung aber eine so lange Kette von Einzelschritten erforderte, dass sie für Menschen kaum praktikabel war. Die KI-Modelle passten den Angriff an verschiedene PHP-Versionen und Konfigurationen an und werteten Fehlschläge selbstständig aus. Laut Wiz schaffte ein einzelner Forscher so in einer Woche, wofür früher ein Spitzenteam Monate gebraucht hätte. Für Unternehmen ist das eine wichtige Entwicklung. Wenn [Sprachmodelle](https://onlinewachsen.de/glossar/gaio/llm.md) alte Fehler schneller ausnutzbar machen, wird der Abstand zwischen Entdeckung und Angriff kürzer. Das gilt für Verteidiger und Angreifer gleichermaßen. Regelmäßige Updates werden damit von einer Pflegeaufgabe zu einer Frage der Betriebssicherheit. ## Was eine gehackte Website für Google- und KI-Sichtbarkeit bedeutet Ein Angriff über PHP2Shell ist nicht nur ein Datenschutzproblem. Kompromittierte Websites werden häufig für Spam-Seiten, versteckte Links oder Weiterleitungen missbraucht. Das hat direkte Folgen für die Sichtbarkeit. **In der Google-Suche:** Erkennt Google Schadcode oder Spam, erscheint ein Hinweis im Bericht „Sicherheitsprobleme“ der Search Console, und Browser können Warnseiten vor der Website anzeigen. Eingeschleuste Spam-Seiten werden gecrawlt und indexiert und verwässern die Signale der echten Inhalte. Wie Google Seiten erfasst, erklärt unser Glossar zu [Crawling und Indexierung](https://onlinewachsen.de/glossar/seo/crawling-indexierung.md). **In KI-Antwortsystemen:** KI-Crawler lesen das HTML, das der Server ausliefert. Manipulierte Inhalte können so in die Live-Recherche von ChatGPT, Perplexity oder Gemini einfließen, oder die Systeme stufen die Domain als weniger vertrauenswürdige Quelle ein. Eine Website, die als [Quelle zitiert](https://onlinewachsen.de/glossar/geo/citation.md) werden soll, muss vor allem eines sein: verlässlich. Nach einer Bereinigung lohnt sich deshalb ein genauer Blick, ob Suchmaschinen und KI-Systeme dein Unternehmen wieder richtig darstellen. Einen ersten Eindruck liefert unser kostenloser [KI-Sichtbarkeits-Check](https://onlinewachsen.de/ki-sichtbarkeits-check.md). ## Was Unternehmen aus der PHP Sicherheitslücke lernen sollten ### Lesson 1: Kläre, wer für PHP-Updates zuständig ist Bei vielen Unternehmen ist unklar, wer für welche Schicht der Website verantwortlich ist. Die Agentur pflegt WordPress, der Hoster den Server, die IT das Firmennetz. Eine Lücke wie PHP2Shell fällt genau in diese Grauzone. Halte schriftlich fest, wer PHP aktualisiert, wer im Notfall erreichbar ist und wie schnell er reagiert. ### Lesson 2: Bleib auf einer unterstützten PHP-Version PHP 8.1 und älter bekamen für PHP2Shell kein offizielles Update. PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wer jetzt noch auf 8.2 oder älter läuft, sollte das Upgrade auf PHP 8.3 oder neuer für die nächsten Wochen einplanen. Die aktuellen Supportzeiträume stehen auf der [offiziellen Übersicht von php.net](https://www.php.net/supported-versions.php). ### Lesson 3: Behandle Wartung als laufende Aufgabe Eine Website ist nach dem Launch nicht fertig. Server, PHP, CMS und Plugins brauchen laufende Pflege, und manche Updates dulden keinen Aufschub von einer Woche. Ein Wartungsvertrag mit klaren Reaktionszeiten ist bei geschäftskritischen Websites deshalb kein Luxus, sondern Risikovorsorge. ### Lesson 4: Setz eine Schutzschicht vor die Website Ein Content Delivery Network mit Web Application Firewall, etwa von Cloudflare, hat bei PHP2Shell schon vor der offiziellen Veröffentlichung Schutzregeln ausgerollt. Das ersetzt kein Update, verschafft aber im Ernstfall Zeit. Für viele Websites ist der Einstieg kostenlos. ### Lesson 5: Halte einen Notfallplan bereit Wer im Ernstfall erst Zugangsdaten zum Hosting suchen muss, verliert wertvolle Stunden. Ein kurzer Notfallplan mit Zugängen, Ansprechpartnern, aktuellen Backups und einer statischen Wartungsseite hilft bei Sicherheitslücken genauso wie bei Ausfällen. Ähnliche Lehren haben wir auch aus dem [DNSSEC-Ausfall der .de-Domains im Mai 2026](https://onlinewachsen.de/news/dnssec-ausfall-de-domains-5-mai-2026.md) gezogen. ## Häufig gestellte Fragen zur PHP Sicherheitslücke PHP2Shell ### Was ist PHP2Shell? PHP2Shell ist der Name für zwei kritische Sicherheitslücken im Kern der Programmiersprache PHP mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten nach CVSS v4.0 bewertet. Angreifer können darüber ohne Login Code auf dem Server ausführen. Das PHP-Projekt hat die Lücken am 21. Oktober 2026 geschlossen. ### Ist meine WordPress-Website von der PHP Sicherheitslücke betroffen? Ja, solange auf dem Server keine gepatchte PHP-Version aktiv ist. Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten, unabhängig davon, wie gut WordPress, Themes und Plugins gepflegt sind. Deine PHP-Version findest du in WordPress unter Werkzeuge, Website-Zustand, Bericht, Server. ### Welche PHP-Version schließt die Sicherheitslücke? PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026. Für PHP 8.1, 8.0 und 7.4 gibt es kein offizielles Release, nur Quellcode-Backports und Pakete einzelner Linux-Distributionen. Bei Distributionspaketen entscheidet der Sicherheitshinweis der Distribution, nicht die Versionsnummer. ### Reicht es, WordPress und alle Plugins zu aktualisieren? Nein. Die Lücke steckt in PHP selbst, also eine Ebene unter WordPress. Das Update muss auf dem Server eingespielt werden, und danach müssen alle PHP-Prozesse neu gestartet werden. Kein Plugin und kein Sicherheits-Plugin kann die Lücke schließen. ### Muss ich beim Shared Hosting selbst etwas tun? Beim Shared Hosting spielt in der Regel der Hoster die PHP-Updates ein. Frag trotzdem schriftlich nach, ob die gepatchte Version aktiv ist und ob deine Website noch auf einer alten PHP-Version läuft. Bei eigenen Servern wie VPS oder Dedicated Servern bist du selbst verantwortlich. ### Wird PHP2Shell bereits ausgenutzt? Ja. Cloudflare hat Angriffe auf Kunden-Websites schon am Morgen des 21. Oktober 2026 beobachtet, mehrere Stunden vor dem offiziellen Patch. CERT-EU meldet zudem, dass erste Proof-of-Concept-Exploits kursieren. Mit breiten automatisierten Angriffen ist zu rechnen. ### Hilft der Wartungsmodus oder eine Firewall wie Cloudflare? Der Wartungsmodus von WordPress hilft nicht, weil PHP die gefährlichen Anfragen verarbeitet, bevor WordPress den Wartungsmodus prüft. Eine Web Application Firewall wie die von Cloudflare blockt bekannte Angriffsmuster und senkt das Risiko. Sie ersetzt das PHP-Update aber nicht, weil Angreifer ihre Anfragen gezielt verändern. ### Muss ich nach dem Update Passwörter ändern? Wenn dein Server längere Zeit ungepatcht aus dem Internet erreichbar war, ist das sinnvoll. Über CVE-2026-109618 lässt sich Arbeitsspeicher auslesen, in dem Passwörter, Session-Tokens und API-Schlüssel stehen können. Wechsle nach dem Update vor allem Admin-Zugänge, Datenbank-Passwörter und Schlüssel für externe Dienste. ## Fazit: Die PHP Sicherheitslücke wird auf dem Server geschlossen, nicht im CMS PHP2Shell betrifft die Grundlage eines großen Teils aller Websites. Zwei kritische Lücken im PHP-Kern erlauben Angriffe ohne Login, die laufen, bevor WordPress oder ein anderes System überhaupt startet. Die Patches sind seit dem 21. Oktober 2026 verfügbar, und Angriffe wurden bereits beobachtet. Die gute Nachricht: Die Lösung ist klar. Ein PHP-Update auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, ein Neustart der PHP-Prozesse und eine Kontrolle über die Website schließen die Lücke. Schwierig wird es dort, wo niemand weiß, wer zuständig ist, oder wo noch PHP 8.1 und älter läuft. Prüfe deshalb heute deine PHP-Version, frag bei deinem Hoster nach und kontrolliere das Zeitfenster seit dem 20. Oktober auf Auffälligkeiten. Wer jetzt handelt, verkleinert das Zeitfenster für Angreifer deutlich. Bei onlinewachsen betreuen wir Websites langfristig, von der Technik bis zur Sichtbarkeit in Google und KI-Systemen. Unsere [Scaling Dienstleistungen](https://onlinewachsen.de/scaling.md) verbinden laufende Wartung, technisches SEO und GEO. Du weißt nicht, wer bei dir für PHP zuständig ist, oder deine Website läuft noch auf einer alten Version? [Kontaktiere uns direkt](https://onlinewachsen.de/kontakt.md), wir prüfen deine Ausgangslage. ## Update Bereich Dieser Abschnitt wird aktualisiert, sobald weitere Distributionen, Control-Panels und große deutsche Hoster den Patch-Stand bestätigen oder neue Erkenntnisse zur Ausnutzung von PHP2Shell vorliegen. ## Quellen - [PHP: Security Advisory vom 21. Oktober 2026](https://www.php.net/archive/2026.php#2026-10-21-5): betroffene Betriebsarten, Fix-Versionen, Übergangsmaßnahmen, Backports für 7.4, 8.0 und 8.1 - [PHP: Vorab-Ankündigung des Security Release vom 20. Oktober 2026](https://www.php.net/archive/2026.php#2026-10-20-1): vorgezogener Veröffentlichungstermin - [GitHub Advisory GHSA-w8hw-w9fx-j79w (CVE-2026-109618)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w): technische Beschreibung der Speicherfehler bei Speichermangel - [GitHub Advisory GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp): technische Beschreibung des veralteten Zustands zwischen Anfragen - [BSI: Cybersicherheitswarnung zu PHP, Version 1.1](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.html): Bewertung der Ausnutzbarkeit ohne Anmeldung und Nutzerinteraktion, Handlungsempfehlung - [CERT-EU: Security Advisory 2026-018](https://cert.europa.eu/publications/security-advisories/2026-018): Empfehlung zur Isolierung nicht patchbarer Systeme, Hinweis auf Proof-of-Concept-Exploits - [Wiz Research: PHP2Shell](https://www.wiz.io/blog/php2shell-php-rce): Entdeckung mit KI-Modellen, Zeitachse, Speicherleck über Session-Cookies - [Calif: PHP2Shell](https://calif.io/php2shell/): Erstmeldung an das PHP-Team, Nachweise gegen WordPress, Drupal, Joomla, Magento und weitere Anwendungen - [Sansec: PHP2Shell, Critical PHP RCE](https://sansec.io/research/php2shell): betroffene Versionen seit PHP 5.4, Wirkungslosigkeit des CMS-Wartungsmodus, Abschaltungen in den Niederlanden - [Cloudflare: WAF-Schutz gegen die PHP-Schwachstellen](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/): beobachtete Angriffe, verfügbare Regeln für alle Tarife - [Help Net Security: PHP2Shell patched](https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/): Einordnung durch Sicherheitsforscher, Hinweise zu Distributionen und dem Remi-Repository - [Ubuntu Security Notice USN-8948-1](https://ubuntu.com/security/notices/USN-8948-1): gepatchte PHP-Pakete für Ubuntu 22.04 bis 26.10 - [php.net: Supported Versions](https://www.php.net/supported-versions.php): Supportzeiträume der PHP-Zweige #### Diesen Post teilen Summarize with AI ChatGPT Gemini Claude Perplexity Gemini öffnen → ## Kennt dein Unternehmen? In 2 Minuten erfährst du, ob und wie KI-Modelle über deine Marke sprechen.