PHP2Shell: Kritische PHP-Lücke, was Betriebe jetzt tun sollten

22. Oktober 20263 Min. LesezeitGentian Rusani · Rusantech

Am 21. Oktober sind Updates für zwei kritische Lücken im PHP-Kern erschienen. Wer eine Website auf PHP-Basis betreibt, zum Beispiel mit WordPress, sollte heute nachsehen, ob der Hoster schon gepatcht hat.

Rote Fehlermeldungen auf einem schwarzen Bildschirm — Foto: Unsplash

Kurz gesagt: Die Lücken heißen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). Angreifer können damit laut BSI aus der Ferne Schadcode auf einem Webserver ausführen, ohne sich anzumelden. Die Updates sind da. Entscheidend ist, ob euer Hoster sie schon eingespielt hat.

Was bekannt ist

Wo: im Kern von PHP, also nicht in einem einzelnen Plugin. Es trifft damit jede Seite, die auf PHP läuft und Anfragen aus dem Netz annimmt.
Wie schwer: beide Lücken sind nach CVSS 4.0 mit 9,2 von 10 bewertet. Nach Einschätzung des BSI braucht ein Angriff weder Login noch Zutun eines Nutzers.
Wann: Die Entwickler hatten für den 21. Oktober gegen 16 Uhr deutscher Zeit Updates angekündigt. Einzelheiten waren vorher durchgesickert. Das BSI hat von unbestätigten Berichten über Exploits gesprochen, Presseberichte nennen bereits erste Angriffe.
Welche Updates: Genannt werden PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es nach den bisherigen Berichten keinen offiziellen Patch, manche Hoster liefern eigene Korrekturen aus.

Wen es treffen kann

Gefährdet ist jedes Projekt, das auf PHP aufsetzt. Genannt werden vor allem WordPress, Drupal, Laravel und phpBB, dazu Shops und selbst gehostete Programme wie Nextcloud. Ob eure Seite dazugehört, seht ihr meist im Hosting-Vertrag oder daran, dass ihr sie im „Dashboard“ von WordPress pflegt.

Nicht betroffen sind Seiten, die gar kein PHP verwenden. Dazu gehören statische Websites, wie Rusantech Studio sie baut, und diese Seite hier.

Was ihr jetzt tun solltet

Klären, ob ihr PHP nutzt. WordPress, Joomla, Shopware, Typo3 oder ein Kontaktformular mit Skript auf dem Hosting: dann ja. Im Zweifel fragt die Agentur oder den Hoster.
Den Hoster fragen: „Läuft auf unserem Paket eine gepatchte PHP-Version?“ Viele Hoster melden sich nicht von selbst, die Statusseiten verraten aber meist, was schon umgestellt ist.
PHP-Version selbst prüfen und hochstellen. Im Kundenbereich der meisten Hoster lässt sich die PHP-Version pro Domain umschalten. Auf eine aktuelle 8.x-Version zu wechseln ist in vielen Fällen der schnellste Weg. Danach kurz die Seite testen.
Veraltete Versionen ablösen. Läuft eure Seite noch auf PHP 8.1 oder älter, ist jetzt ein guter Zeitpunkt für die Umstellung, ohne Hektik und ohne neuen Anlass.
Auf Auffälligkeiten achten. Unbekannte Dateien, plötzliche Weiterleitungen, Spam aus eurer Domain oder eine ungewöhnlich langsame Seite sind Warnzeichen. Dann sofort den Hoster einschalten.
Backup prüfen. Wann wurde zuletzt gesichert, und lässt sich ein Stand zurückspielen? Das gehört in jedem Fall zur Hausaufgabe.

Hilft das alles nicht, weil der Hoster nicht reagiert: Die Seite zeitweise mit einem Passwortschutz versehen oder vom Netz nehmen ist unbequem, aber besser als eine übernommene Seite.

Quellen

Stand: 22. Oktober 2026. Die Lage ändert sich schnell. Versionsnummern und Hinweise zu älteren PHP-Zweigen haben wir aus Presseberichten übernommen, bitte gleicht sie vor einer Umstellung mit den Angaben von php.net und eurem Hoster ab. Das ist eine Orientierung, keine Sicherheitsberatung im Einzelfall.

Gentian Rusani, Gründer von Rusantech. Ich baue Software, Telefon-KI und Websites für Betriebe aus Handwerk, Praxis, Gastronomie und Dienstleistung im Raum Köln.

Fehler gefunden oder eine Frage offen? Schreibt mir, ich korrigiere und antworte.