PHP-Sicherheitslücke PHP2Shell: Was jetzt zu tun ist

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell bekannt geworden sind. Sie betreffen sehr viele Websites, denn WordPress, TYPO3 und viele andere Systeme laufen auf PHP. Die gute Nachricht vorweg: In vielen Fällen ist das Problem mit einem PHP-Update durch den Hoster erledigt. Dieser Beitrag erklärt ruhig und der Reihe nach, was passiert ist, wer betroffen ist und was Sie jetzt tun sollten.

Wenn Sie zuerst wissen möchten, welche PHP-Version Ihre Website nach außen meldet: Unser kostenloser PHP-Check ruft Ihre Startseite einmal ab und ordnet das Ergebnis ein.

Was ist passiert?

PHP2Shell ist die Bezeichnung für zwei Sicherheitslücken in PHP mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide ermöglichen Remote Code Execution: Ein Angreifer kann unter Umständen aus der Ferne eigenen Code auf dem Server ausführen. Das offizielle PHP-Sicherheitsteam bewertet die Lücken mit CVSS v4.0 9,2 – also als kritisch.

Ungewöhnlich ist der Ablauf: Details sind schon vor der Veröffentlichung des Patches bekannt geworden. Das durchgesickerte Material deutete auf die Funktion „Session Upload Progress“, die in PHP standardmäßig aktiviert ist. Cloudflare berichtet bereits von ersten Angriffen. Auf WordPress-Websites haben Angreifer laut Berichten UpdraftCentral-Schlüssel genutzt, um Hintertüren (Backdoors) einzuschleusen.

PHP2Shell betrifft nicht ein einzelnes Plugin, sondern PHP selbst. Entscheidend ist deshalb die PHP-Version auf Ihrem Server.

Wer ist betroffen?

Betroffen ist grundsätzlich jede PHP-Installation, die Webanfragen beantwortet – unabhängig davon, wie PHP eingebunden ist:

• PHP-FPM
• mod_php (PHP als Apache-Modul – hier ist das Risiko am höchsten)
• FrankenPHP

Damit sind praktisch alle Websites auf Basis von WordPress, Joomla, Drupal, TYPO3 oder eigener PHP-Software betroffen, solange sie noch keine korrigierte PHP-Version verwenden.

Die Korrektur steckt in diesen Versionen (veröffentlicht am 21.10.2026):

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Jede neuere Version innerhalb dieser Reihen enthält die Korrektur ebenfalls. Für PHP 8.1 und ältere Versionen gibt es keinen Patch, weil diese Versionen das Ende ihrer Wartung (End-of-Life) erreicht haben.

Was jetzt tun? Schritt für Schritt

1. PHP-Version herausfinden

Am verlässlichsten ist die Angabe in Ihrem Hosting-Panel, meist unter „PHP-Einstellungen“ oder „PHP-Version“. Alternativ fragen Sie Ihren Hoster. Unser PHP-Check zeigt, was der Server nach außen meldet – das ist ein Hinweis, aber kein Beweis. Viele Server verbergen die Version, und das ist auch gut so.

2. Auf eine korrigierte Version aktualisieren

Läuft Ihre Website auf PHP 8.2 bis 8.5, genügt in der Regel das Update auf die jeweils korrigierte Version. Bei Shared Hosting spielt das meist der Hoster ein, oft ohne Ihr Zutun. Fragen Sie trotzdem nach, ob und wann das Update erfolgt ist. Bei einem eigenen Server aktualisieren Sie PHP über die Paketverwaltung bzw. das Container-Image.

3. Übergangsmaßnahme setzen

Wenn das Update nicht sofort möglich ist, wird als Übergangsmaßnahme empfohlen, die Funktion „Session Upload Progress“ abzuschalten:

session.upload_progress.enabled = 0

Je nach Hosting setzen Sie das in der php.ini, in der Hosting-Oberfläche oder in einer .user.ini. Das ersetzt das Update nicht, verkleinert aber die Angriffsfläche, bis es eingespielt ist.

4. Auf Spuren eines Angriffs prüfen

Weil Details schon vor dem Patch bekannt waren und frühe Angriffe gemeldet wurden, lohnt ein Blick auf die Website, auch wenn das Update inzwischen eingespielt ist:

• neu angelegte oder kürzlich veränderte PHP-Dateien, besonders in Upload-Ordnern
• unbekannte Administrator-Konten
• unerwartete Weiterleitungen oder fremde Inhalte

Halten Sie im Zweifel ein Backup bereit, das vor dem 21.10.2026 erstellt wurde.

5. WordPress: Plugins aktualisieren und UpdraftCentral-Schlüssel erneuern

Für WordPress-Websites kommen zwei Punkte dazu. Aktualisieren Sie alle Plugins und Themes. Und wenn Sie UpdraftPlus zusammen mit UpdraftCentral verwenden, löschen Sie die bestehenden UpdraftCentral-Schlüssel und legen Sie neue an – denn genau solche Schlüssel wurden laut Berichten missbraucht, um Hintertüren zu platzieren.

Warum PHP 8.1 und älter ein Problem ist

PHP-Versionen werden nur eine begrenzte Zeit mit Sicherheitsupdates versorgt. PHP 8.1 und alle älteren Versionen sind über diesen Zeitraum hinaus. Für PHP2Shell bedeutet das: Es wird für diese Versionen keine Korrektur geben. Eine Übergangsmaßnahme kann das Risiko senken, löst das Problem aber nicht dauerhaft.

Der einzige Ausweg ist ein Upgrade auf PHP 8.2 oder neuer. Das klingt nach einem Klick im Hosting-Panel, ist es aber oft nicht: Ältere Themes und Plugins, die seit Jahren nicht mehr gepflegt werden, laufen auf neuen PHP-Versionen häufig nicht ohne Anpassungen. Manchmal zeigt die Website nach dem Umstellen Fehlermeldungen oder bleibt ganz leer. Testen Sie das Upgrade deshalb nach Möglichkeit zuerst auf einer Kopie der Website.

Wann ist ein Relaunch sinnvoll – und wann nicht?

Ehrlich gesagt: In den meisten Fällen ist kein Relaunch nötig. Wer auf PHP 8.2 bis 8.5 läuft und Plugins regelmäßig aktualisiert, ist mit dem Update gut bedient.

Ein Neuaufbau kann sinnvoll sein, wenn mehrere dieser Punkte zutreffen:

• Die Website läuft auf PHP 8.1 oder älter, und ein Upgrade scheitert an Theme oder Plugins.
• Wichtige Plugins werden nicht mehr weiterentwickelt.
• Die Website wurde schon länger nicht mehr gewartet, und niemand kennt den technischen Stand genau.
• Die Inhalte und das Design sind ohnehin in die Jahre gekommen.

Dann kann eine neue Website wirtschaftlicher sein als das Flicken einer alten Installation – etwa eine, die ohne PHP auskommt und damit keine Server-Updates, Plugin-Pflege und Sicherheits-Patches mehr braucht. Bei uns gibt es das ab €1.990 Fixpreis, Inhalte übernehmen wir. Ob das bei Ihnen zutrifft, lässt sich meist nach einem kurzen Blick auf die Website sagen. Mehr dazu finden Sie bei unserer individuellen Entwicklung und beim Website-Leasing.

Wie EA Digital Solutions hilft

Wenn Sie das Update nicht selbst übernehmen möchten oder keinen Zugriff auf die Server-Konfiguration haben, unterstützen wir Sie: von der Prüfung der PHP-Version über die Abstimmung mit dem Hoster und die Übergangsmaßnahme bis zur Kontrolle auf verdächtige Dateien. Für Websites auf PHP 8.1 oder älter planen wir das Upgrade oder einen Neuaufbau. Alle Details und das Anfrageformular finden Sie auf unserer Seite zur PHP-Sicherheitslücke PHP2Shell. Den Preis für die Soforthilfe nennen wir Ihnen als Fixpreis nach einem kurzen Gespräch; eine neue Website beginnt bei €1.990.

Fazit

PHP2Shell ist ernst zu nehmen, aber in den meisten Fällen gut lösbar: PHP-Version prüfen, auf eine korrigierte Version aktualisieren, bis dahin die Übergangsmaßnahme setzen und nach Spuren schauen. Schwierig wird es nur bei PHP 8.1 und älter – dort gibt es keinen Patch, und ein Upgrade oder Neuaufbau ist nötig.

Quellen

• Patchstack: PHP major vulnerability alert
• Tenable: PHP2Shell – Frequently Asked Questions
• Help Net Security: PHP2Shell vulnerabilities patched

Stand: 21.10.2026