PHP-Sicherheitslücke PHP2Shell: Ist Ihre Website betroffen? So prüfen Sie es
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell bekannt geworden sind. PHP ist die Programmiersprache hinter dem Großteil aller Websites – WordPress, Joomla, TYPO3, Shopware, WooCommerce und unzählige Eigenentwicklungen laufen damit. Wer eine solche Website betreibt, sollte jetzt prüfen, ob sie abgesichert ist.
Dieser Beitrag erklärt ohne Fachchinesisch, was die Lücke bedeutet, welche Versionen sicher sind und wie Sie Ihre Website auf Sicherheitslücken überprüfen – selbst oder mit unserem Website-Check.
Was ist PHP2Shell?
Hinter dem Namen stecken zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Das PHP-Sicherheitsteam bewertet beide mit 9,2 von 10 Punkten – das ist die Stufe „kritisch“. Beide erlauben im schlimmsten Fall, dass ein Fremder von außen eigene Befehle auf Ihrem Webserver ausführt. Fachleute nennen das Remote Code Execution, kurz RCE.
Vereinfacht: Bei der Verarbeitung einer Anfrage kann PHP durch eine geschickt gebaute Eingabe so aus dem Tritt gebracht werden, dass es Speicherbereiche benutzt, die schon ungültig sind. Wer das gezielt steuert, übernimmt die Kontrolle. Für Sie heißt das: Ihre Website kann gekapert werden, ohne dass Ihr CMS, Ihr Passwort oder Ihre Plugins irgendetwas falsch gemacht haben.
Warum diese Lücke besonders ernst ist
- Keine Anmeldung nötig. Der Angriff funktioniert über eine ganz normale Anfrage an Ihre Website.
- Vor Ihrem Code. Der Angriff greift, bevor Ihre Website-Software überhaupt startet. Ein WordPress-Sicherheitsplugin bekommt davon nichts mit.
- Praktisch jede PHP-Website. Betroffen sind alle üblichen Betriebsarten: PHP-FPM, Apache mit mod_php (am stärksten gefährdet), php-cgi, LiteSpeed und FrankenPHP.
- Ein funktionierender Angriff ist bekannt. Sicherheitsforscher rechnen mit vielen Vorfällen. Automatisierte Scanner suchen erfahrungsgemäß binnen Tagen das ganze Internet nach verwundbaren Servern ab – auch die Website eines Zwei-Personen-Betriebs.
Welche PHP-Versionen sind betroffen?
| PHP-Zweig | Abgesichert ab | Hinweis |
|---|---|---|
| PHP 8.5 | 8.5.12 | aktueller Zweig |
| PHP 8.4 | 8.4.27 | empfohlen für neue Projekte |
| PHP 8.3 | 8.3.36 | noch mit Sicherheitsupdates |
| PHP 8.2 | 8.2.35 | Sicherheitsupdates nur noch bis 31.12.2026 |
| PHP 8.1 und älter | keine offizielle Version | nur über Korrekturen des Linux-Anbieters oder Umstieg auf eine neuere PHP-Version |
Läuft Ihre Website noch auf PHP 7.4, 8.0 oder 8.1, ist die Lage heikler: Das PHP-Projekt liefert dafür keine fertige neue Version mehr. Manche Linux-Distributionen haben die Korrektur in ihre eigenen Pakete eingebaut – das muss Ihr Hoster aber ausdrücklich bestätigen. Auf Dauer führt kein Weg an einem Umstieg auf PHP 8.3 oder neuer vorbei.
So überprüfen Sie Ihre Website auf die PHP-Sicherheitslücke
Der entscheidende Wert ist die PHP-Version, mit der Ihre Website tatsächlich läuft. So finden Sie sie heraus:
- Im Kundenbereich Ihres Hosters. Bei fast allen Anbietern steht die PHP-Version bei den Einstellungen des Webspace, oft mit Auswahlmöglichkeit. Steht dort nur „PHP 8.2“ ohne letzte Ziffer, fragen Sie nach der genauen Version.
- In Ihrem CMS. Bei WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Joomla zeigt sie unter System → Systeminformationen.
- Mit einer phpinfo-Datei. Legen Sie per FTP eine Datei mit dem Inhalt
<?php phpinfo();an, rufen Sie sie im Browser auf und lesen Sie die Version ganz oben ab. Löschen Sie die Datei danach sofort wieder – sie verrät Angreifern viel über Ihren Server.
Vergleichen Sie die Zahl dann mit der Tabelle oben. Ist sie kleiner als die abgesicherte Version Ihres Zweigs, besteht Handlungsbedarf.
Und wenn ich gar nicht weiß, wo meine Website liegt?
Das ist häufiger, als man denkt – die Website hat vor Jahren eine Agentur oder ein Bekannter gebaut, die Rechnung kommt von irgendeinem Anbieter. Ein erster Hinweis steht in der Rechnung für Ihre Domain oder Ihr Hosting. Ansonsten finden wir das für Sie von außen heraus: im Website-Check.
Was jetzt zu tun ist
- Hoster anschreiben. Fragen Sie konkret: „Ist PHP2Shell (CVE-2026-109618 und CVE-2026-109619) auf meinem Webspace behoben, und mit welcher PHP-Version läuft meine Website?“ Ein seriöser Anbieter beantwortet das innerhalb eines Tages.
- Selbst verwalteter Server? Dann sind Sie selbst zuständig: Update auf die abgesicherte Version Ihres Zweigs oder die Pakete Ihrer Distribution einspielen und den Webserver neu starten. Bis das erledigt ist, rät das britische Cyber-Sicherheitszentrum NCSC, ungepatchte Systeme notfalls vom Netz zu nehmen.
- Web-Firewall nur als Überbrückung. Manche vorgeschalteten Schutzdienste filtern bereits bekannte Angriffswege. Das verschafft Zeit, ersetzt das Update aber nicht – das PHP-Projekt selbst nennt das Update die einzige vollständige Abhilfe.
- Auf Spuren achten. War Ihre Website längere Zeit ungeschützt, lohnt ein Blick auf unbekannte Dateien, neue Administratorkonten, fremde Weiterleitungen oder Warnungen von Google. Ein frisches Backup vor dem Aufräumen hilft, nichts zu verschlimmern.
- Gleich mitprüfen: CMS und Plugins. Die PHP-Lücke ist nur eine von vielen. Veraltete WordPress-Plugins sind nach wie vor der häufigste Einstiegspunkt bei kleinen Websites.
Website auf Sicherheitslücken überprüfen – mehr als nur PHP
Wer seine Website ohnehin gerade unter die Lupe nimmt, sollte die Gelegenheit nutzen. Diese Punkte lassen sich von außen prüfen, ohne dass jemand Zugang zu Ihrem Server braucht:
- Bekannte Lücken in CMS, Theme und Plugins – etwa veraltete WordPress-Versionen und Erweiterungen mit veröffentlichten Schwachstellen.
- Verschlüsselung: gültiges SSL-Zertifikat, automatische Weiterleitung auf https, keine Mischinhalte.
- Sicherheits-Kopfzeilen des Webservers, die gängige Angriffe im Browser erschweren.
- Offen herumliegende Dateien wie alte Sicherungen, Installationsreste oder vergessene phpinfo-Dateien.
- Einträge auf Sperrlisten – ein Hinweis darauf, dass die Website oder der Server bereits missbraucht wurde.
- Cookies vor der Zustimmung und weitere DSGVO-Punkte, die bei kleinen Websites oft übersehen werden.
Website-Check von EDV-Galli
Wir prüfen Ihre Website von außen auf Sicherheitslücken – einschließlich der aktuellen PHP-Lücke, soweit sie sich von außen feststellen lässt – und erklären Ihnen das Ergebnis verständlich.
- Prüfung ohne Zugangsdaten und ohne Eingriff in Ihre Website
- Schriftliches Prüfprotokoll mit den Befunden, nach Dringlichkeit geordnet
- Klare Empfehlung, was Sie selbst erledigen können und was Ihr Hoster tun muss
- Für Betriebe in Tulln, Krems, Grafenwörth und ganz Österreich
PHP-Updates beim Webhosting von EDV-Galli
Bei unserem Webhosting müssen Sie sich um solche Meldungen nicht selbst kümmern: Sicherheitsupdates für PHP und den Webserver spielen wir ein, sobald sie erscheinen, und informieren Sie, wenn Ihre Website davon betroffen ist. Dazu kommen tägliche Backups, SSL-Zertifikat und eine laufende Überwachung des Servers. Den Umzug Ihrer bestehenden Website übernehmen wir kostenlos – auf Wunsch gleich mit dem Umstieg auf eine aktuelle PHP-Version.
Der Unterschied zum großen Anbieter: Sie haben einen Ansprechpartner aus Grafenwörth, der Ihre Website kennt und Ihnen bei der nächsten Lücke sagt, ob sie Sie betrifft – statt eines Ticketsystems.
Häufige Fragen
Welche PHP-Versionen sind gegen PHP2Shell abgesichert?
PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie jeweils neuere Versionen. Alles darunter ist betroffen. PHP 8.1 und älter bekommt vom PHP-Projekt keine offizielle neue Version mehr.
Kann ich die PHP-Version meiner Website von außen sehen?
Manchmal. Viele Server verraten die Version in einer Kopfzeile namens X-Powered-By. Gut eingestellte Server blenden sie aber aus – aus genau diesem Grund. Fehlt die Angabe, ist das ein gutes Zeichen, aber kein Beweis für ein Update. Sicher weiß es nur Ihr Hoster.
Reicht ein Sicherheits-Plugin oder eine Firewall?
Nein. Der Angriff greift, bevor der Code Ihrer Website läuft – ein WordPress-Plugin sieht davon nichts. Vorgeschaltete Web-Firewalls können bekannte Angriffswege filtern, sind aber nur eine Überbrückung bis zum Update.
Meine Website hat gar kein Kontaktformular. Bin ich trotzdem betroffen?
Ja. Der Angriff braucht kein Formular und keine Anmeldeseite – jede Seite, die PHP verarbeitet, genügt. Reine HTML-Seiten ohne PHP sind nicht betroffen.
Bin ich verantwortlich, wenn meine Website gehackt wird?
Wer personenbezogene Daten verarbeitet – etwa über ein Kontaktformular, eine Terminbuchung oder einen Shop – muss sie nach DSGVO angemessen schützen. Ein bekanntes, aber nicht eingespieltes Sicherheitsupdate ist dabei schwer zu rechtfertigen. Klären Sie deshalb mit Ihrem Hoster schriftlich, wer die PHP-Updates einspielt.
Fazit
PHP2Shell ist eine der Lücken, bei denen Abwarten keine Option ist: kein Passwort nötig, praktisch jede PHP-Website betroffen, Angriffscode bekannt. Die Abhilfe ist dafür einfach – das PHP-Update. Finden Sie heraus, mit welcher Version Ihre Website läuft, und lassen Sie sich die Korrektur von Ihrem Hoster bestätigen. Wenn Sie dabei Unterstützung brauchen oder Ihre Website gleich gründlich auf Sicherheitslücken überprüfen lassen möchten, melden Sie sich bei uns.