Kritische PHP-Sicherheitslücke: Aktueller Stand und Wissenswertes
Kritische PHP-Sicherheitslücke – PHP2Shell
Am 21. Oktober 2026 wurden Informationen zu zwei schwerwiegenden Sicherheitslücken in PHP bekannt, die unter dem Namen PHP2Shell derzeit große Aufmerksamkeit erregen. Bereits einen Tag zuvor hatte das PHP-Team ein außerplanmäßiges Sicherheitsupdate angekündigt. Da PHP die technische Basis für einen erheblichen Teil moderner Websites darstellt, war für uns eine schnelle Reaktion von entscheidender Bedeutung.
Seit dem Bekanntwerden der Sicherheitslücke haben wir in enger Zusammenarbeit mit unserem Hostingpartner umgehend alle erforderlichen Maßnahmen eingeleitet, um die Sicherheit der von uns betreuten Websites zu gewährleisten. Unser Hostingpartner hat unmittelbar nach Veröffentlichung entsprechende Sicherheitsvorkehrungen und Patches implementiert. Parallel dazu haben wir die Websites unserer Kunden überprüft, die eingesetzten PHP-Versionen kontrolliert und dort, wo es notwendig sowie technisch umsetzbar war, PHP-Updates durchgeführt.
Die Prüfungen und Aktualisierungen erstreckten sich am 21. und 22. Oktober bis in die Abendstunden und werden auch am heutigen 23. Oktober 2026 in einzelnen Fällen fortgesetzt.
Dies bedeutet nicht, dass jede Website automatisch kompromittiert oder unmittelbar gefährdet ist. Angesichts einer Sicherheitslücke dieser Größenordnung ist es jedoch entscheidend, rasch zu handeln, die eigene Infrastruktur genau zu kennen und nicht untätig zu bleiben oder pauschal zu versichern, „bei uns seid ihr sicher“.
Stand dieses Beitrags: 23. Oktober 2026
Wer bereits alle gewünschten Informationen erhalten hat: ausgezeichnet. Für alle anderen gilt: Wer erfahren möchte, was hinter PHP2Shell steckt, welche PHP-Versionen aktuell relevant sind und warum regelmäßige Website-Wartung in solchen Fällen einen entscheidenden Unterschied macht – sollte unbedingt weiterlesen.
Was ist PHP2Shell überhaupt?
PHP2Shell basiert auf zwei schwerwiegenden Sicherheitslücken in PHP, die offiziell unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 geführt werden.
PHP ist eine serverseitige Programmiersprache, die als technische Basis für zahlreiche Websites und Webanwendungen dient. Auch das Content-Management-System WordPress basiert vollständig auf PHP.
Wichtig ist deshalb zunächst: PHP2Shell ist keine Sicherheitslücke in WordPress und auch kein Problem eines bestimmten WordPress-Plugins.
Die Schwachstellen liegen tief im technischen Fundament und betreffen vereinfacht den Umgang von PHP mit Speicher sowie internen Zuständen während der Verarbeitung von Webanfragen. Unter bestimmten Bedingungen kann ein Angreifer diese Fehler ausnutzen, um ohne vorherige Authentifizierung eigenen Code auf einem Server auszuführen.
Genau das macht die beiden Schwachstellen so relevant.
Wer die technische Einordnung noch detaillierter nachlesen möchte, findet dazu unter anderem eine Cybersicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Welche PHP-Versionen sind aktuell empfehlenswert?
Am 21. Oktober hat das PHP-Projekt Sicherheitsupdates für die derzeit unterstützten PHP-Versionen herausgegeben.
Die Sicherheitslücken sind in folgenden Versionen geschlossen:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Wer eine dieser PHP-Reihen verwendet, sollte also mindestens auf der jeweils genannten Version sein.
Etwas komplizierter wird es bei älteren PHP-Versionen.
PHP 8.1 und ältere Versionen bekommen vom PHP-Projekt keine regelmäßigen Sicherheitsupdates mehr. Dazu zählen etwa PHP 8.1, PHP 8.0 und PHP 7.4, die weiterhin auf älteren Websites im Einsatz sind.
Das heißt jedoch nicht automatisch, dass jede Website mit einer solchen Version derzeit ungeschützt ist. Hostinganbieter, Linux-Distributionen oder sogenannte LTS-Anbieter können Sicherheitsupdates teilweise auf ältere PHP-Versionen zurückportieren.
Wer eine veraltete PHP-Version nutzt, sollte beim eigenen Hostinganbieter nachfragen, ob ein entsprechender Sicherheitspatch installiert wurde.
Langfristig ist es dennoch die bessere Lösung, von veralteten PHP-Versionen auf eine moderne Umgebung umzusteigen.
Übrigens nähert sich auch PHP 8.2 dem regulären Supportende: Am 31. Dezember 2026 läuft für diesen Versionszweig der offizielle Sicherheitssupport aus.
Warum kann man PHP nicht einfach auf die neueste Version aktualisieren?
Theoretisch klingt die Lösung ziemlich einfach:
Neue PHP-Version auswählen, speichern und fertig.
Bei einer modernen und gut gepflegten Website klappt das meist problemlos. Bei älteren Websites kann ein solcher Versionssprung jedoch Auswirkungen auf WordPress, Plugins, Themes oder individuelle Anpassungen haben.
Ein Plugin, das seit Jahren keine Updates mehr bekommen hat, kann mit einer aktuellen PHP-Version möglicherweise nicht mehr funktionieren. Das Gleiche gilt für ältere Themes oder individuell erstellte Funktionen.
Daher sollte man bei einem PHP-Update nicht allein auf die Versionsnummer achten.
Bevor eine größere Umstellung erfolgt, sollte geprüft werden, ob das verwendete System und seine Erweiterungen kompatibel sind, ob ein aktuelles Backup existiert und ob die Website danach weiterhin einwandfrei läuft.
Hier zeigt sich ein typisches Problem vieler Websites, die über Jahre hinweg kaum technisch betreut wurden. Wir haben bereits ausführlich erläutert, wann eine ältere Website zu einem technischen Risiko werden kann.
Was wir seit der Entdeckung von PHP2Shell unternommen haben
Für die von uns betreuten Websites haben wir nach Bekanntwerden der Sicherheitslücke nicht darauf vertraut, dass sich das Problem von selbst erledigt.
Zusammen mit unserem Hostingpartner haben wir die Lage überprüft und die angebotenen Sicherheitsmaßnahmen verfolgt. Gleichzeitig haben wir geprüft, welche PHP-Versionen unsere Kunden tatsächlich nutzen und wo es Handlungsbedarf gibt.
Wo ein PHP-Update erforderlich und umsetzbar war, haben wir es durchgeführt und anschließend überprüft, ob die jeweiligen Websites weiterhin reibungslos funktionieren.
Bei älteren Systemen ist diese Überprüfung besonders wichtig, denn ein Sicherheitsupdate nützt wenig, wenn die Website anschließend wegen inkompatibler Komponenten nicht mehr funktioniert.
Deshalb zählen technische Pflege, Updates und regelmäßige Kontrollen für uns auch nach dem Go-live zu einer Website dazu. Mehr zu unserem Ansatz in Sachen Webdesign, Wartung und Support finden Sie auf unserer Webdesign-Seite.
Warum ein Wartungsvertrag in solchen Fällen sinnvoll ist
Eine Website ist kein fertiges Projekt.
WordPress entwickelt sich ständig weiter. Plugins ändern sich, PHP-Versionen erreichen ihr Supportende, Sicherheitslücken werden entdeckt und behoben, und Hostingumgebungen werden regelmäßig aktualisiert.
Vieles davon läuft im Hintergrund ab, und Website-Betreiber bekommen im Alltag verständlicherweise kaum etwas davon mit.
Solange alles reibungslos läuft, ist das in der Regel kein Problem.
Interessant wird es in Situationen wie bei PHP2Shell.
Plötzlich stellt sich die Frage: Welche PHP-Version läuft eigentlich auf unserer Website? Ist sie betroffen? Kann man sie aktualisieren? Sind WordPress und die Plugins auf dem neuesten Stand? Und wer übernimmt dafür die Verantwortung?
Für Websites mit einem laufenden Wartungsvertrag müssen unsere Kunden diese Fragen nicht selbst beantworten.
Wir kennen die betreuten Systeme, halten sie regelmäßig auf dem neuesten Stand und können bei Sicherheitsmeldungen schnell reagieren. Ein Wartungsvertrag kann zwar nicht verhindern, dass irgendwo eine neue Sicherheitslücke auftaucht, sorgt aber dafür, dass jemand genau hinsieht, wenn es darauf ankommt.
Und genau das ist bei der IT-Sicherheit oft genauso wichtig wie das eigentliche Update.
Verwendet meine Website eine veraltete PHP-Version?
Wer seine Website selbst verwaltet und derzeit nicht sicher ist, welche PHP-Version verwendet wird, sollte dies jetzt überprüfen.
In WordPress kann die genutzte PHP-Version zum Beispiel über den Website-Zustand im Backend angezeigt werden. Alternativ findet man sie meist direkt in der Verwaltungsoberfläche des Hosting-Anbieters.
Wenn dort noch PHP 8.1, PHP 8.0, PHP 7.4 oder eine ältere Version läuft, lohnt es sich, genauer hinzusehen.
Es geht dabei nicht nur um PHP2Shell. Eine veraltete PHP-Version ist generell ein Hinweis darauf, dass der technische Unterbau einer Website überprüft werden sollte.
Ein direktes Upgrade auf die neueste verfügbare PHP-Version ist bei älteren Websites nicht immer die beste Wahl. Im Zweifelsfall sollte zuerst überprüft werden, ob Website, Theme, Plugins und individuelle Erweiterungen damit kompatibel sind.
Kein Grund zur Panik, aber ein guter Anlass, genauer hinzuschauen.
PHP2Shell ist eine bedeutende Sicherheitslücke. Die bereitgestellten Updates sollten daher möglichst schnell installiert werden.
Es gibt dennoch keinen Anlass, pauschal zu vermuten, dass jede PHP-Website bereits angegriffen oder kompromittiert wurde.
Wichtiger ist jetzt, die eigene Lage zu verstehen: Welche PHP-Version läuft? Hat der Hostinganbieter die nötigen Patches installiert? Muss ein Update durchgeführt werden? Und bleibt die Website danach weiterhin problemlos funktionsfähig?
Für unsere Wartungskunden wurden diese Prüfungen seit Bekanntwerden der Sicherheitslücke bereits durchgeführt und laufen aktuell weiter.
Wer bei seiner eigenen Website feststellt, dass er weder die eingesetzte PHP-Version kennt noch weiß, wann zuletzt technische Updates durchgeführt wurden, hat mit PHP2Shell zumindest einen guten Grund, sich das einmal genauer anzuschauen.
Falls Fragen entstehen oder eine ältere Website technisch geprüft werden muss, einfach kurz bei uns melden.
