php2shell: Was die kritische PHP-Lücke für Ihre Website bedeutet

Laut W3Techs läuft PHP auf 69,3 Prozent aller Websites, deren Programmiersprache auf dem Server sich erkennen lässt. Die beiden Lücken stecken nicht in einem Plugin oder einem Theme, sondern in PHP selbst. Deshalb reicht es nicht, WordPress im Dashboard zu aktualisieren: Erneuert werden muss die PHP-Version auf dem Server.

Was ist passiert?

Am 21. Oktober 2026 hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei Fehler, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden und mit 9,2 von 10 Punkten als kritisch gelten. Beide liegen in der Art, wie PHP mit Fehlern während einer Anfrage umgeht: Geht PHP bei einer präparierten Anfrage der Speicher aus, räumt es danach nicht sauber auf. Mit vielen automatisierten Anfragen lässt sich dieser Zustand so ausnutzen, dass am Ende eigener Code auf dem Server läuft. Eine Anmeldung braucht der Angreifer dafür nicht.

Das Sicherheitsteam von Wiz hat in Tests aktuelle Installationen von WordPress, Drupal und Joomla übernommen. Der Fehler liegt dabei nicht in diesen Programmen: Laut Wiz kann schon eine einfache PHP-Seite angreifbar sein. Außerdem ließ sich Arbeitsspeicher des Servers auslesen, in dem Passwörter, Zugangsschlüssel und Daten aus fremden Anfragen liegen können. Betroffen sind laut Wiz alle Versionen seit PHP 5.4.

Die Fehler steckten seit mehr als zehn Jahren im Code. Dass daraus jetzt ein funktionierender Angriff wurde, führt Wiz ausdrücklich auf KI-Modelle zurück, die den Bau solcher Angriffe stark vereinfachen. Für Website-Betreiber heißt das: Zwischen dem Bekanntwerden einer Lücke und den ersten Angriffen bleibt immer weniger Zeit.

Ist Ihre Website betroffen?

Betroffen ist jede Website, die auf dem Server mit PHP läuft und noch keine der neuen Versionen nutzt. Dazu gehören unter anderem:

• WordPress-Websites, auch Shops mit WooCommerce
• Websites mit Joomla, Drupal, TYPO3 oder Contao
• Onlineshops mit Shopware, Magento oder PrestaShop
• selbst programmierte Seiten und Formulare in PHP

Was Sie jetzt tun sollten

1. PHP-Version prüfen

Klären Sie zuerst, ob Ihre Website mit PHP läuft und mit welcher Version. Bei WordPress ist die Antwort immer ja. Die genaue Versionsnummer zeigt WordPress unter Werkzeuge, Website-Zustand im Abschnitt Server. Im Kundenbereich des Hosters steht oft nur der Zweig, etwa 8.3. Ob dort schon die abgesicherte Fassung 8.3.36 läuft, sehen Sie an dieser Stelle meist nicht.

2. Update einspielen lassen

Wer das Update einspielt, hängt davon ab, wie Ihre Website betrieben wird:

• Gewöhnliches Webhosting: Hier aktualisiert der Hoster PHP. Sehen Sie auf seiner Status- oder Wartungsseite nach oder fragen Sie beim Support, ob die neuen Versionen installiert sind.
• Eigener oder verwalteter Server: Das Update liegt beim Betreiber, also bei Ihrer IT oder Ihrer Agentur. Die großen Linux-Distributionen haben die Korrekturen laut PHP-Team vorab erhalten.
• Docker-Container: Die Website braucht ein neues Image mit abgesichertem PHP, sonst läuft die alte Version im Container weiter.

Läuft Ihre Seite noch auf PHP 8.1 oder älter, gibt es vom PHP-Projekt kein reguläres Update mehr. Manche Hoster und Linux-Anbieter liefern eigene Korrekturen nach. Der saubere Weg ist der Wechsel auf eine unterstützte Version, mindestens PHP 8.3. Das betrifft mehr Seiten, als man denkt: Laut W3Techs läuft mehr als ein Drittel aller PHP-Websites noch auf Version 7 oder älter. Ältere Plugins und Themes vertragen einen solchen Sprung nicht immer, deshalb gehört vor die Umstellung ein Test auf einer Kopie der Seite.

PHP 8.2 bekommt laut PHP-Projekt nur noch bis 31. Dezember 2026 Sicherheitsupdates. Wer jetzt ohnehin umstellt, wählt besser gleich 8.4 oder 8.5 und spart sich den nächsten Wechsel in zwei Monaten.

3. Router, NAS und Firewall prüfen

PHP läuft nicht nur auf Webservern. Viele Geräte im Büro nutzen es für ihre Verwaltungsoberfläche im Browser. heise online nennt als Beispiele NAS-Systeme von Synology und QNAP sowie Router von DrayTek, Zyxel, TP-Link, Netgear und D-Link sowie die Firewall-Systeme pfSense und OPNsense. Spielen Sie dort die Firmware-Updates ein, sobald die Hersteller sie liefern, und prüfen Sie, ob die Verwaltungsoberfläche aus dem Internet erreichbar ist. In aller Regel muss sie das nicht sein.

Wenn Sie einen Angriff vermuten

Weil der Angriff unterhalb von WordPress und Co. abläuft, hinterlässt er in deren Protokollen wenig Spuren. Wiz nennt als Hinweise gehäufte Serverfehler (Status 500) zusammen mit Meldungen über ein erschöpftes Speicherlimit im Fehlerprotokoll des Servers. Ihr Hoster kann diese Protokolle für Sie prüfen. Gibt es solche Hinweise, sollten nach dem Update alle Passwörter und Zugangsschlüssel der Website erneuert werden, denn genau diese Daten können über die Lücke aus dem Speicher gelesen worden sein.

Und Websites ohne PHP?

Websites, die vorab erzeugt und ohne PHP ausgeliefert werden, betrifft php2shell nicht. Das gilt auch für invisions.at, die mit Next.js läuft. Wann sich so ein Umstieg lohnt, erklären wir im Beitrag Wenn WordPress nicht mehr reicht. Für eine bestehende WordPress-Website ist heute aber das PHP-Update der richtige Schritt, nicht der Relaunch.

Quellen

• PHP: Security Advisory zu CVE-2026-109618 und CVE-2026-109619 (21.10.2026)
• PHP: Supported Versions (Stand 21.10.2026)
• PHP auf GitHub: Advisory GHSA-w8hw-w9fx-j79w, RCE via OOM corruption
• PHP auf GitHub: Advisory GHSA-6wmf-4rv5-p3rp, RCE via stale global state
• Wiz Research: PHP2Shell (21.10.2026)
• Cloudflare: Cloudflare deploys protections against php2shell vulnerability (21.10.2026)
• heise online: php2shell, kritische Sicherheitslücken erlauben Codeeinschleusung in PHP (21.10.2026)
• W3Techs: Usage statistics of PHP for websites (Stand 21.10.2026)