Das Wichtigste in Kürze
- Zwei kritische Lücken im Kern von PHP erlauben es Angreifern, ohne Anmeldung eigenen Programmcode auf dem Webserver auszuführen.
- Betroffen sind alle PHP Versionen ab PHP 5. Sicher sind nur PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 vom 21. Oktober 2026.
- Für PHP 8.1 und ältere Versionen gibt es vom PHP Projekt keine Korrektur mehr.
- Ein Update von WordPress oder Plugins reicht nicht. Das Update muss auf dem Server passieren.
- Als Besucher einer Website sind Sie nicht betroffen.
Was ist passiert?
PHP ist die Programmiersprache, mit der ein großer Teil aller Websites läuft. WordPress, viele Onlineshops, Buchungssysteme und fast jedes Kontaktformular nutzen sie. Sicherheitsforscher haben mit Hilfe von künstlicher Intelligenz zwei schwere Fehler im Kern von PHP gefunden. In der Fachpresse heißen sie PHP2Shell, offiziell tragen sie die Kennungen CVE-2026-109618 und CVE-2026-109619.
Über beide Lücken können Angreifer aus der Ferne eigenen Programmcode auf einem Webserver ausführen, ganz ohne Benutzername oder Passwort. Wer das schafft, kann Daten auslesen, Seiten verändern oder den Server für weitere Angriffe missbrauchen. Das Bundesamt für Sicherheit in der Informationstechnik hat deshalb eine Warnung herausgegeben, ebenso die Sicherheitsstelle der EU.
So lief es ab
Das PHP Projekt kündigt ein außerplanmäßiges Sicherheitsupdate an. Erste Details werden vorzeitig öffentlich.
Die korrigierten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erscheinen. Das PHP Team rät, sofort zu aktualisieren.
Der Netzwerkdienst Cloudflare meldet erste Angriffe. Innerhalb weniger Stunden steigt ihre Zahl in die Millionen.
Behörden in Frankreich, Dänemark, Finnland und den Niederlanden nehmen Websites vorübergehend vom Netz, um sie abzusichern. Viele Hoster spielen das Update über Nacht ein.
Ist meine Website betroffen?
Das hängt davon ab, wie Ihre Website technisch betrieben wird.
| So läuft Ihre Website | Risiko | Was zu tun ist |
|---|---|---|
| WordPress oder Shop im normalen Hosting Paket | betroffen, meist schon behoben | Der Hoster spielt das Update ein. Fragen Sie nach, ob das passiert ist. |
| Eigener Server oder eigener Container | betroffen | Sie selbst oder Ihr Dienstleister müssen sofort aktualisieren und PHP neu starten. |
| Alte PHP Version 8.1 oder älter | hoch | Es gibt keine offizielle Korrektur mehr. Ein Umstieg auf eine aktuelle Version ist dringend. |
| Baukasten wie Wix oder Jimdo | gering | Der Anbieter betreibt die Technik. Sie müssen in der Regel nichts tun. |
| Reine HTML Seite ohne PHP | nicht betroffen | Kein Handlungsbedarf durch diese Lücke. |
Was Sie jetzt tun sollten
- PHP Version prüfen. In der Verwaltung Ihres Hostings steht, welche Version läuft. Sicher sind nur die Versionen vom 21. Oktober oder neuer.
- Beim Hoster nachfragen. Eine kurze Mail genügt. Seriöse Anbieter haben das Update bereits eingespielt und können es bestätigen.
- Nicht auf ein WordPress Update verlassen. Die Lücke steckt in PHP selbst, nicht in WordPress oder einem Plugin.
- Alte Versionen ablösen. Läuft Ihre Seite noch mit PHP 8.1 oder älter, ist jetzt der Zeitpunkt für den Umstieg.
- Auffälligkeiten ernst nehmen. Neue Benutzer im Admin Bereich, unbekannte Dateien oder plötzliche Weiterleitungen sollten Sie prüfen lassen.
Warum regelmäßige Wartung zählt
PHP2Shell zeigt, wie schnell aus einer Meldung ein echtes Risiko wird. Zwischen Update und ersten Angriffen lagen nur wenige Stunden. Wer seine Website einmal bauen lässt und danach nie wieder anfasst, merkt so etwas oft erst, wenn es zu spät ist. Aktuelle Software, ein Ansprechpartner, der Warnungen verfolgt, und tägliche Sicherungen sind kein Luxus, sondern die Grundlage für eine Website, auf die sich ein Betrieb verlassen kann.
Mehr zu Hosting und Technik finden Sie im Ratgeber Domain, Hosting und E-Mail.
Quellen
Veröffentlicht am 22. Oktober 2026. Verfasst von Ümit Kocyigit, Compass Digitalagentur, Freising.