PHP2Shell und Ihre Webseite was Sie jetzt sofort tun sollten

Was PHP2Shell ist

• Zwei Lücken
• Fremder Code
• Ohne Anmeldung

PHP ist die Programmiersprache, mit der ein großer Teil aller Webseiten auf dem Server läuft, darunter jede Seite mit WordPress. PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind mit 9,2 von 10 Punkten als kritisch eingestuft.

Kritisch heißt hier: Ein Angreifer braucht weder ein Passwort noch ein Konto. Ein präparierter Aufruf an den Server kann genügen, damit dort fremder Code läuft. Wer Code auf dem Server ausführt, kann Inhalte ändern, Daten auslesen oder die Seite für Angriffe auf andere missbrauchen.

Was dahinter steckt

• Speicher
• Alte Daten
• Jeder Aufruf

Beide Lücken stecken in der Art, wie PHP bei jedem Aufruf einer Seite seinen Arbeitsspeicher verwaltet. Der Code Ihrer Webseite ist dafür nicht verantwortlich, der Fehler liegt in PHP selbst.

1. 01Abgebrochen mitten im AufbauCVE-2026-109618: Erreicht ein Aufruf die Speichergrenze, die PHP ihm zugesteht, bricht PHP ihn ab. Dabei können Daten halb vorbereitet zurückbleiben, die das Aufräumen danach für gültig hält.
2. 02Reste eines früheren AufrufsCVE-2026-109619: Daten eines Aufrufs können weiterbestehen, obwohl ihr Speicher schon freigegeben ist. Der nächste Aufruf, den derselbe PHP-Prozess bearbeitet, greift dann auf diese Reste zu.

Beide Fehler lassen sich so ausnutzen, dass am Ende Code des Angreifers ausgeführt wird. Sicherheitsfirmen wie watchTowr beobachten seit dem 21. Oktober 2026 bereits erste Angriffe.

Welche Seiten betroffen sind

• Jede PHP-Seite
• Webhosting
• Ohne PHP

Betroffen ist jede Installation, die mit PHP Webseiten ausliefert, gleich ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Am höchsten schätzen die Entwickler das Risiko bei Apache mit mod_php ein, einer bei Webhosting-Paketen verbreiteten Einrichtung.

Verwundbar sind alle Versionen vor PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es vom PHP-Projekt keine neue Version mehr; manche Anbieter von Linux-Systemen liefern den Schutz trotzdem nach.

Nicht betroffen ist eine Webseite, auf deren Server gar kein PHP läuft, etwa eine Seite aus fertigen Dateien. Läuft PHP dort nur für ein Kontaktformular, gilt die Lücke aber auch für diesen einen Teil.

Das Update ist die Lösung

• Neue Version
• Neu starten
• Nachprüfen

Die Entwickler von PHP sagen es deutlich: Es gibt keine vollständige Abhilfe außer dem Update. Nur das Update schützt vollständig.

1. 01Auf die neue VersionAktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, je nachdem, welche Reihe Sie heute nutzen.
2. 02Alle Prozesse neu startenLaufende PHP-Prozesse arbeiten mit dem alten Stand weiter, bis sie neu gestartet werden. Erst danach gilt der Schutz.
3. 03Pakete genau prüfenAnbieter von Linux-Systemen liefern den Schutz oft unter ihrer alten Versionsnummer aus. Ob ein Paket geschützt ist, steht in den Hinweisen des Anbieters, nicht in der Nummer allein.

Wer das Update einspielt

• Webhosting
• Eigener Server
• Nachfragen

Liegt Ihre Webseite in einem gewöhnlichen Webhosting-Paket, spielt in der Regel der Anbieter die neuen PHP-Versionen auf seinen Servern ein. Welche Reihe Ihre Seite nutzt, also etwa 8.3 oder 8.1, wählen Sie dort aber oft selbst im Kundenbereich.

Läuft Ihre Seite auf einem eigenen oder gemieteten Server, sind Sie oder Ihr Dienstleister selbst zuständig. Im Zweifel fragen Sie Ihren Anbieter schriftlich, ob seine Server gegen PHP2Shell geschützt sind und ab wann.

So prüfen Sie Ihre Seite

• Kundenbereich
• WordPress
• Vergleichen

Die Version, mit der Ihre Seite läuft, finden Sie meist mit wenigen Klicks.

1. 01Im KundenbereichDie meisten Webhosting-Anbieter zeigen die PHP-Version je Domain in den Einstellungen Ihres Pakets.
2. 02In WordPressUnter Werkzeuge, Website-Zustand, Bericht steht im Bereich Server die PHP-Version Ihrer Seite.
3. 03VergleichenLiegt die Nummer unter den geschützten Versionen oder bei 8.1 und älter, sprechen Sie mit Ihrem Anbieter.

Wie Sie die Version wechseln und worauf Sie dabei achten, steht im Beitrag PHP-Version prüfen und aktualisieren.

Wenn das Update noch dauert

• Einstellungen
• Abschirmen
• Nur kurz

Für Server, die nicht sofort aktualisiert werden können, nennen die Entwickler einige Einstellungen, die einzelne Angriffswege versperren. Sie machen eine Installation aber nicht sicher und gelten nur für den Übergang.

1. 01SpeichergrenzeDie Speichergrenze wird in der Server-Einstellung aufgehoben, so dass Anwendungen sie nicht wieder setzen können, und Formulardaten und Uploads werden klein gehalten.
2. 02Upload-FortschrittDie Anzeige des Upload-Fortschritts für Sitzungen wird abgeschaltet, danach werden alle PHP-Prozesse neu gestartet.
3. 03AbschirmenLässt sich ein Server nicht sofort aktualisieren, raten Fachleute, den Zugriff aus dem Internet auf ihn zu beschränken, bis er geschützt ist.

Kam es schon zu einem Angriff, können auch Daten Ihrer Kunden betroffen sein. Was dann gilt, steht im Beitrag Datenpanne melden.