PHP2Shell erklärt: Wer Ihre Website patchen muss und wie

Am 21. Oktober 2026 wurde eine kritische Sicherheitslücke in PHP bekannt, der Programmiersprache hinter rund drei von vier Websites. Regierungswebsites in den Niederlanden, Frankreich und Kanada wurden vorsorglich vom Netz genommen, und die südkoreanische Behörde KISA (Korea Internet & Security Agency) veröffentlichte Notfallhinweise. Die Security-Branche nennt den Fall PHP2Shell.

Die gute Nachricht: Patches sind verfügbar, und die meisten großen Hosting-Anbieter haben sie bereits eingespielt. Der Haken: Wer Ihre Website patcht, hängt ganz davon ab, wie sie gehostet wird. Dieser Leitfaden zeigt, wer jetzt sofort handeln muss, welche Patches es gibt und wie die großen Hoster reagiert haben.

Das Wichtigste in Kürze

• PHP2Shell sind zwei kritische Schwachstellen zur Remote-Code-Ausführung in PHP selbst (CVSS 9.2), die sich ohne Login ausnutzen lassen.
• Ein Update von WordPress oder Plugins behebt das Problem nicht. PHP selbst muss gepatcht werden.
• Gepatchte Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Für PHP 8.1 und älter gibt es kein offizielles Release.
• Bei Shared oder Managed Hosting patcht Ihr Hoster PHP, aber Sie sollten es überprüfen. Auf einem VPS oder dedizierten Server müssen Sie selbst patchen und PHP neu starten.
• Für eine dritte Lücke (CVE-2026-115560) gibt es eine Übergangslösung: session.upload_progress.enabled = 0.

Was ist PHP2Shell?

PHP2Shell ist der Sammelname für zwei Schwachstellen zur Remote-Code-Ausführung (RCE), die im PHP-Kern gefunden wurden.

• CVE-2026-109618: eine Speicherkorruption, die durch den Missbrauch von Speichermangel-Situationen ausgelöst wird
• CVE-2026-109619: eine Lücke, die bereits freigegebenen globalen Zustand wiederverwendet

Beide sind mit CVSS 9.2 von 10 bewertet, und das Beunruhigendste ist, dass sie sich ohne Login und ohne Konto ausnutzen lassen. Die Lücken stecken in der Request-Verarbeitung von PHP selbst, nicht in WordPress oder einem Plugin. Der Angriff funktioniert also, bevor der Code Ihrer Website überhaupt läuft. Ein vollständig aktuelles WordPress hilft nichts, solange PHP nicht gepatcht ist.

Vermutlich ist praktisch jede PHP-Version seit 5.4 betroffen, und laut W3Techs nutzen etwa 75 % der Websites mit bekannter serverseitiger Sprache PHP. Entdeckt wurden die Lücken von den Sicherheitsfirmen Calif und Wiz bei einer Analyse mit KI-Modellen (OpenAI GPT-5.6 Sol und Google Gemini 4 Argon), gemeldet an das PHP-Team im August. Während die Patches vorbereitet wurden, sickerten Details durch, wodurch die Veröffentlichung um einen Tag vorgezogen wurde. Echte Angriffsversuche begannen noch am Tag der Veröffentlichung, und Cloudflare meldete Millionen davon. Ein erfolgreicher Einbruch im großen Stil ist bisher nicht bestätigt, doch die Angriffswerkzeuge werden immer ausgefeilter. „Uns hat es noch nicht erwischt“ ist also kein Grund zur Entwarnung.

Am 23. Oktober wurde dann eine dritte verwandte Lücke bekannt: CVE-2026-115560. Sie greift nur bei bestimmten Konfigurationskombinationen, deshalb empfiehlt das PHP-Team statt eines Notfall-Patches eine Übergangslösung. Details finden Sie weiter unten im Abschnitt zu den Patches.

Wer muss handeln?

Alles läuft auf eine Frage hinaus: „Wer verwaltet PHP auf meiner Website?“ Die Antwort entscheidet, was Sie tun müssen.

Welche Patches gibt es?

Offizielle Patches (21. Oktober 2026)

Wenn Sie Ihren eigenen Server betreiben, ist das Update über die Pakete Ihrer Distribution der übliche Weg. Ubuntu, Debian, AlmaLinux, Amazon Linux und andere haben bereits gepatchte Pakete veröffentlicht.

# Beispiel für Debian / Ubuntu
sudo apt update
sudo apt upgrade php8.3-fpm php8.3-cli php8.3-common
sudo systemctl restart php8.3-fpm

Ohne Neustart ist der Patch nicht aktiv. Wenn Sie die Pakete aktualisieren, PHP-FPM oder Apache aber nicht neu starten, bearbeitet das alte PHP, das noch im Speicher geladen ist, weiterhin die Anfragen. Die KISA-Hinweise warnen ausdrücklich davor. Falls Sie auf einem System der CentOS-Familie das Remi-Repository nutzen: Remi hatte am Tag der Veröffentlichung kein Update. Ziehen Sie daher die Standardpakete Ihrer Distribution oder einen eigenen Build in Betracht.

PHP 8.1 oder älter: Backports

PHP 8.1, 8.0 und 7.4 haben ihr Support-Ende erreicht, offizielle Patch-Releases gibt es daher nicht. Optionen haben Sie trotzdem.

• Das PHP-Team hat minimale Quellcode-Patches (Backports) für 7.4, 8.0 und 8.1 veröffentlicht. Sie können sie anwenden, wenn Sie PHP selbst kompilieren.
• Die Ubuntu- und Debian-Pakete aus dem Repository von Ondřej Surý enthalten Backports für 5.6 bis 8.1.
• Einige Hoster (Hostinger, 20i, xCloud und andere) haben eigene gepatchte Builds veröffentlicht, auch für ältere Versionen. Prüfen Sie zuerst, ob Ihr Hoster einen Backport anbietet.

Backports sind allerdings nur eine Notlösung. Jetzt ist ein guter Zeitpunkt für den Umstieg auf PHP 8.3 oder neuer.

Dritte Lücke CVE-2026-115560: Übergangslösung bis zum Patch

Die dritte Lücke, bekannt geworden am 23. Oktober, betrifft die Funktion für den Session-Upload-Fortschritt (session upload progress) von PHP. Mit üblichen Einstellungen ist sie schwer auszulösen, deshalb gibt es keinen Notfall-Patch. Die Korrektur kommt mit dem nächsten regulären Release. Bis dahin besteht die offizielle Übergangslösung aus einer einzigen Einstellung:

; In php.ini oder der PHP-FPM-Pool-Konfiguration ergänzen, dann PHP neu starten
session.upload_progress.enabled = 0

Sofern Ihre Website keinen Upload-Fortschrittsbalken nutzt, verlieren Sie dadurch praktisch nichts. Wie die Hoster-Tabelle unten zeigt, haben die großen Anbieter diese Einstellung bereits serverseitig deaktiviert.

Vorübergehende Schutzmaßnahmen vor dem Patch (keine vollständige Lösung)

• session.upload_progress deaktivieren: wie oben. Das schließt einen bekannten Angriffsweg für CVE-2026-109619.
• Cloudflare-WAF-Regeln: Cloudflare hat kurz vor der Veröffentlichung Notfallregeln für alle Tarife eingeführt, auch für den kostenlosen. Cloudflare betont jedoch selbst, dies sei „ein vorübergehender Schutz, kein Ersatz für den Patch“, und Umgehungsversuche wurden bereits beobachtet.
• Firewall-Regeln Ihres Hosters: Werkzeuge wie ModSecurity blockieren Angriffsmuster vor dem Server. Sie verschaffen Zeit, lösen das eigentliche Problem aber nicht.

Die offizielle Position des PHP-Teams ist eindeutig: „Es gibt keine vollständige Schutzmaßnahme. Ein Update ist die einzige sichere Option.“

Wie die großen Hosting-Anbieter reagiert haben

Zum Glück haben die bekannten Hoster schnell reagiert. Unten finden Sie den Stand jedes Anbieters laut seinen offiziellen Mitteilungen. Das gemeinsame Muster: Angriffe zuerst mit Firewall-Regeln und Einstellungen blockieren, dann den Patch sofort nach Erscheinen auf alle Server ausrollen.

Der Stand der einzelnen Hoster ändert sich laufend. Wenn Ihr Hoster nicht aufgeführt ist oder Sie unsicher sind, prüfen Sie direkt dessen Statusseite und Mitteilungen. Umgekehrt gilt: Wenn Ihr Hoster schweigt und gar keine Mitteilung veröffentlicht hat, ist das bereits ein Warnsignal.

So prüfen Sie Ihre Website (3 Minuten)

1. PHP-Version prüfen: Gehen Sie in WordPress zu Werkzeuge → Website-Zustand → Bericht → Server und sehen Sie sich die PHP-Version an.
2. Mit den gepatchten Versionen vergleichen: 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 oder neuer bedeutet, dass Sie gepatcht sind.
3. Eine niedrigere Nummer heißt nicht automatisch, dass Sie verwundbar sind: Manche Hoster wie Hostinger behalten die Versionsnummer bei und patchen den Build. Entscheidend ist dann, ob das Build Date im PHP Info Ihres Hosting-Panels der 21. Oktober 2026 oder später ist.
4. Bei PHP 8.1 oder älter: Prüfen Sie die Mitteilungen Ihres Hosters oder fragen Sie nach, ob ein Backport angeboten wird. Falls nicht, planen Sie ein Upgrade.
5. Auf einem VPS oder dedizierten Server: Führen Sie im Terminal php -v aus und stellen Sie sicher, dass es sich um dasselbe PHP handelt, das Ihr Webserver tatsächlich nutzt (laut phpinfo). Oft laufen mehrere PHP-Versionen parallel auf einem Server.

Mit dem Patch ist es nicht getan: Prüfungen danach

Ein Patch blockiert nur künftige Angriffe. Wurde Ihre Website vor dem Patch kompromittiert, macht der Patch das nicht rückgängig. Da Details schon vor dem Patch durchgesickert sind und Angriffe bereits vor der Veröffentlichung begannen, empfiehlt die KISA Folgendes:

• Logs prüfen: Suchen Sie in den Logs von Webserver und PHP nach verdächtigen Anfragen, auch für den Zeitraum vor dem Patch.
• Nach Web-Shells suchen: Prüfen Sie, ob es kürzlich erstellte oder geänderte PHP-Dateien, unbekannte Admin-Konten oder fremde Cronjobs gibt.
• Zugangsdaten ändern: Ändern Sie auf exponierten Servern Datenbankpasswörter, API-Schlüssel und Admin-Passwörter.
• Backups sichern: Bewahren Sie getestete, wiederherstellbare Backups von vor und nach dem Patch extern auf.
• Finden Sie Hinweise auf einen Einbruch, starten Sie den Server nicht neu (sonst gehen Beweise im Arbeitsspeicher verloren). Trennen Sie die Netzwerkverbindung und melden Sie den Vorfall einem Fachmann.

Abschließende Checkliste

• PHP-Version Ihrer Website und Zuständigkeit für PHP klären
• Prüfen, ob eine gepatchte Version (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35) läuft oder das Build-Datum der 21. Oktober oder später ist
• Auf VPS oder dedizierten Servern PHP selbst aktualisieren und den PHP-Dienst immer neu starten
• Bei PHP 8.1 oder älter nach einem Backport fragen und ein Upgrade auf 8.3 oder neuer planen
• session.upload_progress wegen der dritten Lücke deaktivieren (oder prüfen, ob der Hoster es getan hat)
• Logs prüfen und nach Web-Shells aus der Zeit vor dem Patch suchen
• Vergessene Test-, Staging- und Event-Websites ins Inventar aufnehmen

Häufige Fragen

Schützt mich ein WordPress-Update vor PHP2Shell?

Nein. Die Lücken stecken in PHP selbst, nicht in WordPress oder Plugins. Nur ein gepatchter PHP-Build schützt Ihre Website.

Ich nutze Shared Hosting. Muss ich etwas tun?

In der Regel patcht Ihr Hoster PHP für Sie, prüfen Sie es aber trotzdem. Stellen Sie sicher, dass Ihre PHP-Version gepatcht ist oder das Build-Datum von PHP der 21. Oktober 2026 oder später ist.

Reicht Cloudflare, um meine Website zu schützen?

Nein. Die WAF-Regeln von Cloudflare sind ein vorübergehender Schutz, und Umgehungsversuche wurden bereits beobachtet. Ihr Origin-Server braucht trotzdem den PHP-Patch.

Sind Plattformen ohne PHP wie Wix betroffen?

Nein. PHP2Shell ist eine Lücke in PHP auf dem Server. Plattformen, die nicht auf PHP laufen, wie Wix, und statische Websites sind nicht betroffen.

Brauchen Sie Hilfe?

Wenn Sie mehrere Websites betreiben oder nicht sicher sind, ob Ihr Hoster gepatcht hat, kontaktieren Sie We Design Orange. Wir helfen bei allem: von der Prüfung der PHP-Version und des Builds jeder Website über das Patchen Ihres VPS und die Suche nach Einbruchsspuren bis zum Test Ihrer Website nach einem PHP-Upgrade.

Dieser Artikel fasst öffentlich verfügbare Informationen mit Stand 23. Oktober 2026 zusammen. Es handelt sich um technische Informationen, nicht um eine Sicherheitsbewertung oder Rechtsberatung. Der Stand der Hoster beruht auf deren offiziellen Mitteilungen und kann sich ändern. Bei Verdacht auf einen Einbruch wenden Sie sich an ein Sicherheitsunternehmen oder das nationale Computer-Notfallteam (CERT) Ihres Landes.