Von /

PHP-Sicherheitslücke PHP2Shell: Ist meine Website betroffen?

Stand: 24. Oktober 2026. Die Lage ändert sich schnell, ich aktualisiere diesen Beitrag, sobald es Neuigkeiten gibt.

Am 21. Oktober 2026 haben die PHP-Entwickler Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden unter dem Namen „PHP2Shell“ geführt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die EU-Behörde CERT-EU haben davor gewarnt, einzelne Dienste nahmen sich vorsorglich vom Netz.

Wenn Sie als Handwerker, Dienstleister oder Unternehmer eine Website betreiben, fragen Sie sich jetzt vermutlich: Ist meine Website von der PHP-Sicherheitslücke betroffen, und was muss ich tun? Hier die Antwort ohne Fachchinesisch, mit einem Schnelltest, den Sie in wenigen Minuten selbst machen können.

Inhaltsübersicht:

1. Was ist passiert? Die PHP-Lücke kurz erklärt

PHP ist die Programmiersprache, auf der der Großteil aller Websites läuft, darunter WordPress, WooCommerce und viele Shops. Die zwei neuen Schwachstellen betreffen nicht ein einzelnes Plugin, sondern PHP selbst.

  • Schweregrad: Das BSI nennt 9,2 von 10 Punkten (CVSS v4.0), also kritisch.
  • Risiko: Angreifer könnten aus der Ferne eigenen Schadcode auf dem Server ausführen. Dafür wäre nach der Bewertung weder ein Login noch eine Aktion des Besuchers nötig.
  • Stand der Ausnutzung: Laut BSI (Meldung vom 22.10.2026) gibt es unbestätigte Berichte über Exploits, aber keine bekannte erfolgreiche Ausnutzung in der Breite.
  • Patches: Die PHP-Entwickler haben die Updates am 21.10.2026 um 16 Uhr veröffentlicht.

Heißt: Es gibt Updates, aber sie müssen auch auf Ihrem Server ankommen. Genau dort entscheidet sich, ob Ihre Website geschützt ist.

2. Ist meine Website betroffen?

Grundsätzlich ja, wenn Ihre Website auf PHP läuft. Das trifft auf WordPress-Websites, Onlineshops und viele andere Systeme zu. Betroffen ist die Installation auf dem Server, egal ob mit Apache, PHP-FPM oder einer anderen Anbindung. Nicht betroffen sind reine HTML-Seiten ohne PHP.

Wie die Lage bei Ihnen aussieht, hängt von der PHP-Version ab:

  • PHP 8.2 bis 8.5: Für diese Versionen gibt es offizielle Sicherheitsupdates (zum Beispiel 8.5.12, 8.4.27, 8.3.36 und 8.2.35). Ihr Hoster muss sie einspielen.
  • PHP 8.1 und älter: Das PHP-Projekt liefert hierfür keine regulären Updates mehr. Manche Hoster bringen eigene Korrekturen mit. Fragen Sie nach.

Wichtig: Die Lücken reichen nach Angaben der Behörden weit in die Vergangenheit zurück. Eine alte PHP-Version ist also kein Schutz, im Gegenteil.

3. Schnelltest: PHP-Version herausfinden

  1. In WordPress: Melden Sie sich an und gehen Sie auf Werkzeuge → Website-Zustand → Info → Server. Dort steht die PHP-Version.
  2. Beim Hoster: Im Kundenbereich finden Sie die Einstellung meist unter „PHP-Version“ oder „PHP-Einstellungen“.
  3. Nicht verwirren lassen: Manche Hoster und Linux-Systeme spielen Sicherheitskorrekturen ein, ohne die Versionsnummer zu ändern. Steht bei Ihnen also eine Version, die nicht in der Liste oben auftaucht, ist die Seite nicht automatisch ungeschützt. Fragen Sie im Zweifel direkt beim Hoster nach.

🛠️ Unsicher, ob Ihre Website geschützt ist?

Ich prüfe gerne gemeinsam mit Ihnen, welche PHP-Version läuft, ob Ihr Hoster die Updates eingespielt hat und ob Ihre Website Auffälligkeiten zeigt. Unverbindlich und verständlich erklärt.

Jetzt unverbindlich anfragen

4. Das sollten Sie jetzt tun

  1. Hoster kontaktieren: Fragen Sie, ob die PHP-Updates zu CVE-2026-109618 und CVE-2026-109619 auf Ihrem Server eingespielt sind. Viele Hoster haben das bereits erledigt.
  2. Backup anlegen: Sichern Sie Dateien und Datenbank, bevor Sie etwas ändern.
  3. PHP 8.1 oder älter? Lassen Sie den Umstieg auf eine unterstützte Version planen. Das kann alte Themes oder Plugins betreffen, deshalb sollte das getestet werden.
  4. Nach dem Update testen: Startseite, Kontaktformular und gegebenenfalls Shop und Login prüfen.
  5. Keine Notlösungen auf eigene Faust: Server-Einstellungen oder Dateien ohne Fachwissen zu ändern, kann mehr kaputt machen als helfen.

Falls Ihr Hoster Datei-Uploads über Webseiten zeitweise gesperrt hatte, kann das Kontaktformulare mit Dateianhang oder Shop-Funktionen beeinträchtigt haben. Fragen Sie nach, wenn bei Ihnen etwas nicht funktioniert.

5. Reicht ein WordPress-Update?

Nein. Es handelt sich nicht um eine Lücke im WordPress-Kern, sondern um eine Lücke in PHP. Ein Update von WordPress, Themes oder Plugins schließt sie nicht. Entscheidend ist die PHP-Version auf dem Server, und die gehört in der Regel Ihrem Hoster.

Plugins und Themes sollten Sie trotzdem aktuell halten, weil das die allgemeine Sicherheit verbessert. Mehr zu laufenden Kosten für Hosting und Wartung finden Sie im Beitrag Website mieten oder kaufen?.

6. Woran erkenne ich, ob etwas passiert ist?

Ein Update schließt die Lücke, entfernt aber keine Hintertür, die sich ein Angreifer schon vorher eingerichtet hat. Achten Sie in den kommenden Tagen auf diese Anzeichen:

  • unbekannte neue Dateien, besonders PHP-Dateien in Upload-Ordnern
  • neue Administrator-Konten, die Sie nicht angelegt haben
  • veränderte Theme-Dateien oder unerwartete Weiterleitungen auf andere Seiten
  • plötzlich sehr langsame Seiten oder Hinweise Ihres Hosters

Fällt Ihnen etwas auf, melden Sie sich bei Ihrem Hoster und holen Sie sich Hilfe, bevor Sie selbst Dateien löschen.

Fazit: Ruhe bewahren, aber nicht abwarten

Die PHP-Lücke ist ernst, aber kein Grund zur Panik. Die Updates sind da, und viele Hoster haben sie bereits eingespielt. Prüfen Sie Ihre PHP-Version, fragen Sie bei Ihrem Hoster nach und halten Sie in den nächsten Tagen die Augen offen. Wer das erledigt, hat das Wichtigste getan.

Häufige Fragen zum Thema PHP-Sicherheitslücke

Muss ich meine Website vom Netz nehmen?

Als die Lücke bekannt wurde und noch kein Patch verfügbar war, empfahlen Behörden wie CERT-EU diesen Schritt dort, wo nicht rechtzeitig aktualisiert werden konnte. Inzwischen sind Updates veröffentlicht. Wichtiger ist jetzt, dass Ihr Hoster sie einspielt. Klären Sie das zeitnah.

Ist meine Website bereits gehackt worden?

Dafür gibt es bisher keinen Hinweis. Laut BSI ist keine breite erfolgreiche Ausnutzung bekannt. Prüfen Sie dennoch die Anzeichen aus Abschnitt 6.

Mein Hoster nutzt PHP 7.4 oder 8.1. Was nun?

Für diese Versionen gibt es keine regulären Updates vom PHP-Projekt. Fragen Sie Ihren Hoster, ob er die Korrekturen selbst bereitstellt, und planen Sie den Umstieg auf eine aktuelle PHP-Version.

Wo finde ich offizielle Informationen?

Die Warnung des Bundesamts für Sicherheit in der Informationstechnik finden Sie unter bsi.bund.de. Ob die Updates bei Ihnen angekommen sind, sagt Ihnen Ihr Hoster.

Betrifft die Lücke auch Onlineshops?

Ja, wenn der Shop auf PHP läuft, zum Beispiel WooCommerce oder Shopware. Auch hier ist die PHP-Version auf dem Server entscheidend.

📈 Lieber auf Nummer sicher gehen?

Als Ihr persönlicher Ansprechpartner schaue ich mir Ihre Website an, kläre die PHP-Version mit Ihrem Hoster und sage Ihnen ehrlich, ob Handlungsbedarf besteht. Ohne Fachchinesisch.

Jetzt Website-Check anfragen

Weiterlesen: Website bringt keine Anfragen? Warum Sie unbemerkt Kunden verlieren

Nach oben scrollen