EA Digital Solutions

Sicherheitsupdate vom 21.10.2026

PHP-Sicherheitslücke PHP2Shell: Ist Ihre Website betroffen?

In PHP wurden zwei kritische Lücken (CVE-2026-109618, CVE-2026-109619) geschlossen, über die Angreifer Code auf dem Server ausführen können. Seit 21.10.2026 gibt es korrigierte Versionen – PHP 8.1 und älter erhält keinen Patch.

  • CVSS v4.0: 9,2
  • Antwort in unter 24 h
  • Büro in Graz, auch remote
PHP-Soforthilfe anfragen

Kostenloser PHP-Check

Bitte prüfen Sie nur Websites, die Ihnen gehören oder für die Sie verantwortlich sind. Der Check ruft Ihre Startseite einmal ab – wie ein Browser – und liest Antwort-Header und HTML. Es werden keine Angriffe oder Testdaten gesendet.

Auch als eigenes Tool: PHP-Check öffnen

Vorweg: Oft ist es nur ein PHP-Update beim Hoster

Läuft Ihre Website auf PHP 8.2 bis 8.5, genügt in vielen Fällen das Update auf die korrigierte Version – und das spielt bei Shared Hosting meist Ihr Hoster ein. Fragen Sie dort zuerst nach. Dafür brauchen Sie uns nicht.

Sinnvoll wird Unterstützung, wenn Sie selbst keinen Zugang zur Server-Konfiguration haben, wenn die Website vor dem Update schon auffällig war, oder wenn sie noch auf PHP 8.1 oder älter läuft. Dann gibt es keinen Patch, und ein Upgrade bringt oft Anpassungen an Theme und Plugins mit sich.

Das Wichtigste in Kürze

Korrigierte Versionen

  • PHP 8.5.12 oder neuer
  • PHP 8.4.27 oder neuer
  • PHP 8.3.36 oder neuer
  • PHP 8.2.35 oder neuer

PHP 8.1 und älter: End-of-Life, kein Patch.

Wer betroffen ist

Jede PHP-Installation, die Webanfragen beantwortet: PHP-FPM, mod_php und FrankenPHP. Das höchste Risiko besteht bei mod_php. Details waren schon vor der Veröffentlichung bekannt; Cloudflare meldet erste Angriffe. Auf WordPress-Seiten wurden laut Berichten UpdraftCentral-Schlüssel genutzt, um Hintertüren einzuschleusen.

So helfen wir

Zwei Wege, je nach Ausgangslage

PHP-Soforthilfe

Für Websites auf PHP 8.2 bis 8.5.

  • PHP-Version prüfen
  • Update beim Hoster veranlassen oder selbst durchführen
  • Übergangsmaßnahme setzen, bis das Update eingespielt ist
  • Auf Hintertüren und verdächtige Dateien prüfen
  • WordPress: Plugins aktualisieren und UpdraftCentral-Schlüssel erneuern

Fixpreis nach kurzem Gespräch.

Soforthilfe anfragen

Wenn kein Patch kommt

Für Websites auf PHP 8.1 oder älter, oft mit veralteten Themes und Plugins.

  • Bestandsaufnahme: Was läuft auf einer aktuellen PHP-Version, was nicht?
  • PHP-Upgrade mit den nötigen Anpassungen an Theme und Plugins
  • Oder: Relaunch auf einem modernen, wartungsarmen Stack
  • Übergangsmaßnahme bis zur Umstellung

Welcher Weg günstiger ist, hängt vom Zustand der Website ab – das sagen wir Ihnen ehrlich. Fixpreis nach kurzem Gespräch.

Individuelle Entwicklung Website-Leasing

Checkliste zum Selbermachen

Für alle, die das Update selbst in die Hand nehmen.

  1. 1

    PHP-Version herausfinden

    Im Hosting-Panel (oft unter „PHP-Einstellungen“) oder per Anfrage beim Hoster. Der Check oben zeigt nur, was der Server nach außen meldet.

  2. 2

    Auf eine korrigierte Version aktualisieren

    PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. neuer. Bei Shared Hosting übernimmt das meist der Hoster; bei eigenem Server über die Paketverwaltung.

  3. 3

    Übergangsmaßnahme setzen, falls das Update dauert

    session.upload_progress.enabled = 0 in der php.ini, in der Hosting-Oberfläche oder – je nach Setup – in .user.ini bzw. .htaccess.

  4. 4

    Auf verdächtige Dateien prüfen

    Neu angelegte oder veränderte PHP-Dateien, besonders in Upload-Ordnern, sowie unbekannte Admin-Konten. Im Zweifel ein Backup von vor dem 21.10.2026 bereithalten.

  5. 5

    WordPress: Plugins aktualisieren, UpdraftCentral-Schlüssel erneuern

    Alle Plugins und Themes aktualisieren. Wenn Sie UpdraftCentral nutzen: bestehende Schlüssel löschen und neu anlegen.

  6. 6

    PHP 8.1 oder älter? Upgrade planen

    Für diese Versionen kommt kein Patch. Vorher prüfen, ob Theme und Plugins mit PHP 8.2 oder neuer funktionieren.

Ausführlich erklärt im Beitrag PHP2Shell: Was jetzt zu tun ist.

Häufige Fragen

Ist meine Website von PHP2Shell betroffen?

Betroffen ist jede Website, die mit PHP Webanfragen beantwortet – egal ob über PHP-FPM, mod_php oder FrankenPHP – und noch keine korrigierte Version verwendet. Dazu zählen alle WordPress-, Joomla-, Drupal- und TYPO3-Websites. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer.

Reicht es, wenn mein Hoster PHP aktualisiert?

In vielen Fällen ja. Läuft Ihre Website auf PHP 8.2 bis 8.5, ist das Update auf die korrigierte Version meist eine Sache Ihres Hosters. Zusätzlich empfehlen wir, auf verdächtige Dateien zu prüfen, weil Details schon vor dem Patch bekannt waren und frühe Angriffe gemeldet wurden.

Was ist, wenn meine Website noch PHP 8.1 oder älter verwendet?

Für PHP 8.1 und ältere Versionen gibt es keinen Patch, weil sie nicht mehr gepflegt werden. Nötig ist ein Upgrade auf PHP 8.2 oder neuer. Läuft das Theme oder ein Plugin darauf nicht, muss es angepasst werden – oder ein Neuaufbau ist der wirtschaftlichere Weg.

Gibt es eine Übergangslösung bis zum Update?

Ja. Das vorab bekannt gewordene Material deutete auf die standardmäßig aktive Funktion „Session Upload Progress“. Mit der Einstellung session.upload_progress.enabled = 0 in der PHP-Konfiguration lässt sie sich abschalten. Das ist eine Übergangsmaßnahme und ersetzt das Update nicht.

Was hat UpdraftCentral damit zu tun?

Laut Berichten haben Angreifer auf WordPress-Seiten UpdraftCentral-Schlüssel genutzt, um Hintertüren einzuschleusen. Wenn Sie UpdraftPlus mit UpdraftCentral verwenden, sollten Sie die Schlüssel erneuern.

Was kostet die Hilfe?

Das hängt von Ihrer Ausgangslage ab: Ein Update beim Hoster mit Kontrolle ist etwas anderes als ein Upgrade von PHP 7.4 mit alten Plugins. Nach einem kurzen Gespräch nennen wir Ihnen einen Fixpreis.

Quellen

Stand: 21.10.2026