PHP2Shell: Warum Sie die PHP-Version Ihrer Website jetzt prüfen sollten

Ganz ehrlich, bei Meldungen über Sicherheitslücken geht schnell unter, was man als Website-Betreiber eigentlich machen soll. PHP2Shell ist so ein Fall. Der Name klingt erst einmal nach einem Problem für Entwickler. Wenn auf Ihrem Server PHP läuft, betrifft die Frage nach dem Sicherheitsupdate aber auch Ihren Betrieb.

Seit dem 21. Oktober 2026 sind Updates gegen zwei kritische PHP-Sicherheitslücken verfügbar. Unter bestimmten Bedingungen können Angreifer darüber eigenen Code auf dem Server ausführen, ohne sich vorher anzumelden. Meine Empfehlung: Lassen Sie jetzt prüfen, ob die tatsächlich genutzte PHP-Installation die Korrekturen enthält. Die offizielle Sicherheitsmeldung des PHP-Projekts nennt die behobenen Versionen und die nötigen Schritte.

Stand: 22. Oktober 2026. Die folgenden Angaben beziehen sich auf die zu diesem Zeitpunkt veröffentlichten Herstellerinformationen.

Was hinter PHP2Shell steckt

PHP ist eine Programmiersprache, mit der auf dem Server unter anderem Websites, Shops und Verwaltungsoberflächen ausgeführt werden. Sie sehen davon im Browser meistens nur das fertige Ergebnis. Ob Ihre Seite PHP verwendet, lässt sich deshalb an ihrem Aussehen nicht erkennen.

PHP2Shell bezeichnet eine Angriffskette rund um die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619. Die Fehler liegen in PHP selbst. Ein aktuelles CMS allein schließt diese Lücken deshalb nicht.

Vereinfacht gesagt gerät bei bestimmten Fehlern die interne Speicherverwaltung durcheinander. Bei der ersten Lücke kann PHP nach einem Speicherengpass unvollständig vorbereitete Daten weiterverwenden. Bei der zweiten bleiben Verweise auf bereits freigegebenen Speicher erhalten, auf die eine spätere Anfrage zugreifen kann. Unter passenden Bedingungen lässt sich daraus ein Angriff auf den laufenden PHP-Prozess machen. Die Einzelheiten dokumentiert das PHP-Team in den Meldungen zur Speicherknappheit und zu zurückbleibendem internem Zustand.

Für Sie als Betreiber zählt die mögliche Folge: Ein Angreifer könnte Daten lesen oder verändern, soweit der betroffene PHP-Prozess darauf zugreifen darf. Der erfolgreiche Angriff verschafft zunächst die Rechte dieses Prozesses. Welche weiteren Bereiche erreichbar wären, hängt von den Berechtigungen und der Einrichtung des Servers ab.

Welche Websites betroffen sein können

Die Forscher von Wiz haben erfolgreiche Angriffe unter anderem an Installationen von WordPress, Drupal und Joomla gezeigt. Das sind Beispiele für die Reichweite des Problems. Auch eine eigene PHP-Anwendung kann betroffen sein, selbst wenn ihr Anwendungscode sauber geschrieben ist. Das beschreibt Wiz in der veröffentlichten Untersuchung.

Dabei hängt die praktische Ausnutzbarkeit vom Serveraufbau, den Erweiterungen und der Konfiguration ab. Apache mit mod_php und PHP-FPM verhalten sich an mehreren Stellen unterschiedlich. Aus einem anderen Serveraufbau würde ich ohne Prüfung deshalb keine Entwarnung ableiten.

Eine vollständig statische Website braucht zur Auslieferung ihrer Seiten kein PHP. Trotzdem lohnt sich der Blick auf das ganze Hosting: Läuft daneben noch ein älterer Shop, ein Webmail-Zugang oder eine vergessene Testinstallation mit PHP? Dann muss dieser Dienst gesondert geprüft werden.

Diese PHP-Versionen enthalten die Sicherheitskorrekturen

Das PHP-Projekt hat am 21. Oktober folgende korrigierte Versionen veröffentlicht:

Quelle: PHP-Sicherheitsmeldung vom 21. Oktober 2026.

Eine Besonderheit sollten Sie kennen: Manche Betriebssystemanbieter übernehmen Sicherheitskorrekturen in ihre eigenen Pakete, ohne die angezeigte PHP-Grundversion auf diese Nummern anzuheben. Ubuntu führt beispielsweise korrigierte Pakete mit älteren Grundversionen auf. Entscheidend ist dann die vollständige Paketversion samt Herstellerfreigabe. Eine vermeintlich kleine Versionsnummer ist allein noch kein Beweis für eine offene Lücke. Die Ubuntu-Meldung nennt die betroffenen und korrigierten Pakete.

Was Sie jetzt konkret machen können

Klären Sie zuerst, wer PHP bei Ihnen verwaltet. Bei einem betreuten Hosting ist das häufig der Anbieter. Bei einem eigenen Server liegt die Verantwortung beim zuständigen Administrator. Die allgemeine Zusage automatischer Updates wäre mir bei dieser Meldung zu wenig. Ich würde mir den konkreten Stand bestätigen lassen.

Eine Anfrage an Ihren Hoster können Sie zum Beispiel so formulieren:

Bitte prüfen Sie für meine Domain, ob die eingesetzte PHP-Installation gegen CVE-2026-109618 und CVE-2026-109619 abgesichert ist. Welche korrigierte PHP- oder Paketversion wird tatsächlich verwendet? Wurden die betroffenen Prozesse neu gestartet, und sind auch weitere PHP-Versionen und Unterdomains meines Pakets berücksichtigt?

Lassen Sie das Update vollständig abschließen. Dazu gehört auch, die betroffenen PHP-Prozesse beziehungsweise Dienste neu zu starten und anschließend den aktiven Stand zu prüfen. Eine installierte Paketdatei hilft wenig, wenn noch ein alter Prozess arbeitet. Ubuntu weist ausdrücklich auf den erforderlichen Neustart der betroffenen Anwendungen hin.

Prüfen Sie anschließend die wichtigen Funktionen. Startseite aufrufen, Kontaktformular kontrolliert testen, Anmeldung und gegebenenfalls Bestellablauf prüfen. Bei größeren Versionswechseln sollte vorher eine passende Testumgebung genutzt werden. Ein Sicherheitsupdate innerhalb des vorhandenen Zweigs und ein Wechsel auf eine neue Hauptversion sind unterschiedliche Eingriffe.

Beziehen Sie alte Installationen ein. Gerade eine Testseite auf einer Unterdomain wird leicht vergessen, weil im Alltag niemand mehr darauf schaut. Lassen Sie erfassen, welche Anwendungen tatsächlich PHP ausführen und welche Version jeweils zugeordnet ist.

Reicht eine Firewall oder eine geänderte Einstellung?

Zusätzliche Schutzmaßnahmen können helfen, die Zeit bis zum Update zu überbrücken. Cloudflare hat beispielsweise Schutzregeln gegen bekannte Angriffsmuster veröffentlicht und empfiehlt weiterhin das PHP-Update. Ob solche Regeln bei Ihrer Website aktiv sind und alle Zugangswege abdecken, muss geprüft werden. Eine bloße Nutzung von Cloudflare würde ich deshalb nicht als Nachweis nehmen. Quelle: Cloudflares Hinweise zu PHP2Shell.

Auch das Abschalten einzelner PHP-Funktionen deckt nicht automatisch alle Varianten ab. Das PHP-Team erklärt bei der zweiten Lücke ausdrücklich, dass es keine vollständige allgemeine Absicherung allein durch Konfiguration gibt. Die zuverlässige Lösung ist eine Version mit der vollständigen Korrektur. Änderungen an Speichergrenzen oder anderen Servereinstellungen gehören in fachkundige Hände.

Ist meine Website damit schon gehackt?

Aus einer verwundbaren Version lässt sich kein erfolgter Einbruch ableiten. Andersherum beweist eine normal aussehende Website auch nicht, dass alles in Ordnung ist.

AWS berichtet von einem Angriffsversuch in seiner Honeypot-Infrastruktur bereits am 17. Oktober 2026, also vor der öffentlichen Bekanntgabe. Das belegt beobachtete Angriffsaktivität. Daraus lässt sich keine Aussage über Ihren einzelnen Server ableiten. Die Beobachtung steht im Bericht von Amazon Threat Intelligence.

Bei konkreten Auffälligkeiten sollte die zuständige Person Protokolle und Spuren sichern und den Vorfall untersuchen. Ein Update beseitigt die Sicherheitslücke, entfernt aber keine bereits eingeschleusten Dateien oder Zugänge. Welche Zugangsdaten anschließend erneuert werden müssen, hängt davon ab, worauf ein Angreifer zugreifen konnte.

Meine Einschätzung für Ihren Betrieb

Ich würde diese Meldung heute mit dem Hoster oder Administrator klären und mir das Ergebnis schriftlich geben lassen. Danach wissen Sie, welche Installation geprüft wurde, welche Korrektur aktiv ist und ob noch etwas offenbleibt. Genau diese Klarheit hilft im Tagesgeschäft.

Wenn Sie nicht wissen, wer Ihre Website technisch betreut oder welche Software dahintersteckt, schreiben Sie mir über das Kontaktformular. Ich helfe Ihnen dabei, den Aufbau einzuordnen und den nächsten sinnvollen Schritt zu klären.