Was ist passiert?
Unter dem Namen PHP2Shell sind zwei Schwachstellen in PHP bekannt geworden: CVE-2026-109618 und CVE-2026-109619. PHP ist die Programmiersprache, auf der ein großer Teil aller Websites läuft — allein WordPress wird laut ZDF auf schätzungsweise 400 bis 500 Millionen Seiten betrieben.
Das Gefährliche: Eine einzige präparierte Anfrage an den Server — etwa ein absichtlich abgebrochener Datei-Upload — kann ausreichen, um eigenen Code auszuführen. Und zwar bevor Ihre Website-Software überhaupt startet. Angreifer brauchen weder ein Passwort noch ein Benutzerkonto. Wer den Server so übernimmt, kann Hintertüren installieren, Kundendaten abgreifen, Spam versenden oder die Seite verschlüsseln.
Ein Bild dafür: Nicht das Schloss an Ihrer Haustür (WordPress) ist kaputt, sondern das Fundament, auf dem das ganze Haus steht.
Die Lage ist ernst genug, dass das BSI, die US-Behörde CISA und das EU-Notfallteam CERT-EU gleichzeitig warnen. Das BSI rät ausdrücklich, Server im Zweifel vom Netz zu nehmen, bis das Update eingespielt ist. Amazon hat bereits am 17. Oktober — vier Tage vor der Veröffentlichung — einen Angriffsversuch in seinen Honeypots registriert.
Am 23. Oktober kam eine dritte Lücke hinzu (CVE-2026-115560). Sie betrifft laut PHP-Team nur ungewöhnlich konfigurierte Anwendungen und wird mit dem nächsten regulären Update geschlossen; bis dahin empfiehlt CERT-EU, die PHP-Einstellung session.upload_progress.enabled abzuschalten.
Bin ich betroffen? Der 5-Minuten-Check
- Läuft Ihre Website auf PHP? WordPress, WooCommerce, Joomla, TYPO3, Contao, Shopware, Drupal und Moodle: ja. Auch eine selbst betriebene Nextcloud läuft auf PHP. Bei Baukästen wie Wix, Jimdo oder Squarespace betreibt der Anbieter die Server — dort können und müssen Sie selbst nichts patchen.
- Welche PHP-Version ist aktiv? In WordPress finden Sie sie unter Werkzeuge → Website-Zustand → Bericht → Server. Alternativ im Kundenmenü Ihres Hosters (Strato, IONOS, all-inkl. & Co.) unter „PHP-Version". Wichtig ist die vollständige Nummer, also z. B. 8.3.36 — nicht nur 8.3.
- Abgleich mit der Tabelle unten: Liegt Ihre Version unter dem Wert „sicher ab", ist Ihre Website angreifbar.
- Wer ist zuständig? Beim klassischen Webhosting spielt meist der Hoster die PHP-Updates ein — aber nur für Versionen, die er noch pflegt. Bei einem eigenen Server (VPS/Root) sind Sie bzw. Ihr Dienstleister selbst verantwortlich. Betreut eine Agentur Ihre Seite: kurz nachfragen und schriftlich bestätigen lassen.
| PHP-Zweig | Sicher ab Version | Was zu tun ist |
|---|---|---|
| 8.5 | 8.5.12 | Update einspielen (lassen) |
| 8.4 | 8.4.27 | Update einspielen (lassen) |
| 8.3 | 8.3.36 | Update einspielen (lassen) |
| 8.2 | 8.2.35 | Update einspielen (lassen) |
| 8.1 und älter | kein regulärer Fix | Auf 8.2 oder neuer wechseln — dringend |
Für PHP 7.4, 8.0 und 8.1 gibt es nur minimale Quellcode-Korrekturen; ob Ihr Hoster sie einspielt, müssen Sie dort erfragen. Stand: 23. Oktober 2026.
Was jetzt zu tun ist — in dieser Reihenfolge
- Backup anlegen. Dateien und Datenbank sichern, bevor Sie etwas umstellen.
- PHP aktualisieren. Im Hoster-Menü auf einen gepflegten Zweig wechseln (8.3 oder 8.4 sind eine gute Wahl) bzw. den Server patchen. Achtung: Sehr alte Themes und Plugins vertragen neue PHP-Versionen manchmal nicht — danach die Seite einmal durchklicken.
- WordPress, Plugins und Themes aktualisieren. WordPress sollte mindestens auf 6.9.5 bzw. 7.0.2 stehen — wegen wp2shell (siehe unten).
- Kein Update möglich? Dann offline. Und zwar auf Server-Ebene (Domain/Hosting-Paket deaktivieren). Ein Wartungsmodus-Plugin schützt nicht: Es läuft selbst auf PHP, der Angriff greift vorher.
- Auf Einbruchsspuren prüfen. Unbekannte Administrator-Konten, Plugins, die Sie nicht installiert haben, neue oder geänderte Dateien (z. B.
index.php,.htaccess), ungewöhnliche ausgehende E-Mails und Warnungen in der Google Search Console unter „Sicherheitsprobleme". - Bei Verdacht: Passwörter ändern — für WordPress-Admins, FTP/SFTP, Datenbank und Hosting-Zugang. Erst nach dem Update, sonst können Angreifer sie gleich wieder abgreifen.
Firewall-Regeln (etwa von Cloudflare) sind eine Brücke, keine Lösung. Ganz geschlossen ist die Lücke nur durch das PHP-Update.
Und WordPress selbst? wp2shell war erst im Juli
PHP2Shell ist für WordPress-Betreiber schon der zweite Ernstfall in drei Monaten. Im Juli 2026 wurde wp2shell bekannt: zwei Lücken im WordPress-Kern (CVE-2026-63030 und CVE-2026-60137), die sich zu einer Übernahme der Website verketten lassen — bei einer Standard-Installation ganz ohne Plugins.
Betroffen waren die Versionen 6.9.0 bis 6.9.4 und 7.0.0 bis 7.0.1; geschlossen ist die Lücke ab 6.9.5 bzw. 7.0.2. WordPress hat dafür automatische Zwangs-Updates verteilt. Trotzdem tauchten schnell öffentliche Exploits auf, und Betroffene berichteten von fremden Administrator-Konten und untergeschobenen Plugins. Ob das Auto-Update bei Ihnen wirklich durchgelaufen ist, sehen Sie unter Dashboard → Aktualisierungen.
Einmal die Software, einmal das Fundament darunter — das ist kein Pech, sondern die Struktur einer WordPress-Website. Warum das so ist und welche Alternativen es gibt, steht im Ratgeber Website ohne WordPress.
