Seit dem 21. Oktober 2026 sorgt eine neue Sicherheitslücke für Aufsehen: PHP2Shell. Sie steckt nicht in WordPress oder in einem Plugin, sondern in PHP selbst, der Programmiersprache, auf der WordPress, WooCommerce und viele andere Systeme laufen. Mehrere Kunden haben uns bereits gefragt, ob sie betroffen sind. In diesem Beitrag erfahren Sie, worum es geht und wie Sie Ihre Website in wenigen Minuten prüfen.
Was ist PHP2Shell?
PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619, jeweils 9,2 von 10 Punkten). Angreifer können darüber ohne Anmeldung eigenen Code auf dem Webserver ausführen und die Website im schlimmsten Fall komplett übernehmen.
Betroffen sind PHP-Versionen von 5.4 bis einschließlich 8.5.11. Weil PHP eine Anfrage verarbeitet, bevor WordPress überhaupt startet, braucht ein Angreifer weder ein Kontaktformular noch einen Upload auf Ihrer Website.
Hilft ein WordPress-Update?
Nein. Das ist der wichtigste Unterschied zu den meisten anderen Sicherheitslücken. Ein Update von WordPress, Plugins oder Theme schließt diese Lücke nicht, denn sie liegt eine Ebene tiefer, im Server. Geschlossen wird sie durch eine gepatchte PHP-Version. Offizielle Releases gibt es dafür nur für diese Versionen:
- PHP 8.5: Version 8.5.12 oder neuer
- PHP 8.4: Version 8.4.27 oder neuer
- PHP 8.3: Version 8.3.36 oder neuer
- PHP 8.2: Version 8.2.35 oder neuer
WordPress und Plugins sollten Sie trotzdem weiterhin aktuell halten. Das schützt vor anderen Angriffen.
Und was ist mit älteren PHP-Versionen wie 7.4, 8.0 oder 8.1?
Diese Versionen werden vom PHP-Projekt nicht mehr gepflegt und haben deshalb keine neuen Releases bekommen. Das PHP-Team hat aber Korrekturen für den Quellcode von PHP 7.4, 8.0 und 8.1 veröffentlicht. Einige Hoster haben damit auch ältere Versionen abgesichert.
Das bedeutet für Sie:
- Die Versionsnummer allein reicht nicht. Eine gepatchte PHP-Version 7.4 meldet sich oft weiterhin als 7.4.33. Ob der Patch drin ist, erfahren Sie nur von Ihrem Hoster.
- Fragen Sie konkret nach: Ist auf meinem Paket der Patch gegen CVE-2026-109618 und CVE-2026-109619 eingespielt, auch für meine PHP-Version?
- Extended Support ist keine Dauerlösung. Er kostet extra, und die Versionen bekommen künftig keine eigenen Fehlerbehebungen mehr. Fachleute raten dazu, die Gelegenheit zu nutzen und auf eine aktuelle Version zu wechseln, am besten mindestens auf PHP 8.3. PHP 8.2 wird nach aktuellem Stand Ende 2026 nicht mehr unterstützt.
- Selbst betriebene Server: Wer PHP selbst installiert hat, sollte das gepatchte Paket seiner Linux-Distribution einspielen. Ist das nicht sofort möglich, empfiehlt das PHP-Team als Übergangslösung unter anderem, die Funktion
session.upload_progresszu deaktivieren. Das ist aber keine vollständige Lösung.
Welche Hoster haben ältere PHP-Versionen abgesichert?
Nach den Meldungen der Anbieter haben mehrere große Hoster die Korrektur auch für Versionen eingebaut, die das PHP-Projekt nicht mehr pflegt (Stand: 23. Oktober 2026):
- STRATO: auch für den kostenpflichtigen PHP Extended Support (PHP 5.6, 7.0 bis 7.4, 8.0 und 8.1). Quelle: STRATO
- IONOS: auch für nicht mehr offiziell unterstützte Versionen im kostenpflichtigen PHP Extended Support. Quelle: IONOS
- Hetzner: im Webhosting und auf Managed Servern, auch für PHP 7.4, 8.0, 8.1, 7.3 und 5.6. Quelle: Hetzner Status
- ALL-INKL: für alle angebotenen PHP-Versionen. Quelle: ALL-INKL
- Mittwald: alle Versionen ab PHP 5.6. Quelle: Mittwald
- Alfahosting: nach eigenen Angaben seit dem 23. Oktober auf allen Servern. Quelle: Alfahosting
Fragen Sie im Zweifel direkt nach. Auch bei den genannten Hostern gilt: Alte Versionen bekommen dauerhaft keine eigenen Fehlerbehebungen mehr. Der Wechsel auf PHP 8.3 oder 8.4 bleibt die sichere Lösung und spart gerade bei Anbietern mit kostenpflichtigen Extended Support Geld.
So prüfen Sie Ihre PHP-Version
1. PHP-Version in WordPress anzeigen
Melden Sie sich im WordPress-Backend an und gehen Sie auf Werkzeuge > Website-Zustand > Bericht > Server. Dort steht die PHP-Version Ihres Servers.
2. Mit der Liste oben vergleichen
Läuft PHP 8.2 oder neuer, sehen Sie an der Versionsnummer, ob Ihr Server gepatcht ist. Liegt sie unter der jeweils genannten Nummer, ist er es nicht. Bei PHP 8.1 oder älter reicht die Nummer nicht aus (siehe Abschnitt oben).
3. Beim Hoster nachfragen
Ob der Hoster PHP schon aktualisiert hat, sehen Sie nicht immer von außen. Fragen Sie im Zweifel nach, welche PHP-Version aktuell eingesetzt wird und ob der Patch eingespielt ist, bei älteren Versionen auch mit Extended Support. In vielen Hosting-Paketen lässt sich die PHP-Version auch selbst im Kundenbereich umstellen.
4. Vor der Umstellung testen
Gerade ältere Themes und Plugins laufen nicht immer mit neueren PHP-Versionen. Erstellen Sie vor dem Wechsel ein Backup und testen Sie die Seite danach gründlich, bei komplexeren Websites und Online-Shops am besten zuerst in einer Staging-Umgebung.
Woran erkenne ich, dass meine Seite schon angegriffen wurde?
Die Lücke wurde sehr schnell nach Bekanntwerden öffentlich diskutiert. Achten Sie deshalb auf diese Anzeichen:
- Neue Administrator-Konten, die Sie nicht angelegt haben
- Unbekannte PHP-Dateien mit seltsamen Namen auf dem Server
- Weiterleitungen auf fremde Seiten oder Werbung, die nicht von Ihnen stammt
- Warnungen von Google oder Ihrem Browser vor Ihrer Website
- Auffällig viel Datenverkehr oder versendete Spam-Mails über Ihren Server
Treffen eines oder mehrere dieser Punkte zu, sollten Sie nicht lange warten. Sichern Sie die Seite, ändern Sie alle Passwörter und holen Sie sich Unterstützung.
Unterstützung benötigt? PHP-Update und WordPress-Wartung vom Experten
Sie sind unsicher, welche PHP-Version bei Ihnen läuft, oder möchten die Umstellung nicht auf eigene Faust machen? Wir prüfen Ihre Website, stellen PHP sicher auf eine aktuelle Version um und testen dabei, ob Theme und Plugins weiterhin funktionieren. Auf Wunsch übernehmen wir die laufende Wartung Ihrer WordPress-Seite mit regelmäßigen Updates, Backups und Sicherheitschecks.
Kontakt aufnehmen*Headerbild mit AI erstellt
