Was ist die aktuelle PHP-Sicherheitslücke?

PHP ist eine Programmiersprache, mit der viele Websites und Webanwendungen betrieben werden. Sie verarbeitet beispielsweise Formulare, stellt Inhalte aus Datenbanken bereit und übernimmt technische Funktionen im Hintergrund.

Die jetzt bekannt gewordenen Sicherheitsprobleme betreffen PHP selbst und nicht nur eine bestimmte Website-Software.

Konkret wurden zwei Schwachstellen veröffentlicht:

CVE-2026-109618: Durch einen Fehler bei der Speicherverwaltung kann PHP unter bestimmten Bedingungen auf ungültige Speicherbereiche zugreifen. Daraus kann sich eine Möglichkeit zur Ausführung von Schadcode ergeben.

CVE-2026-109619: Hier kann PHP unter bestimmten Umständen auf Speicherinformationen aus einer vorherigen Anfrage zugreifen, die eigentlich nicht mehr verwendet werden dürften. Auch daraus kann eine Möglichkeit zur Ausführung von Schadcode entstehen.

Die technischen Details unterscheiden sich. Für Website-Betreiber ist vor allem eines entscheidend: Beide Fehler können unter bestimmten Bedingungen aus der Ferne ausgenutzt werden, ohne dass ein Angreifer Zugangsdaten benötigt.

Deshalb empfehlen das PHP-Projekt und mehrere Cybersicherheitsbehörden eine unverzügliche Aktualisierung.

Welche Websites sind von PHP2Shell betroffen?

Entscheidend ist, ob Ihre Website mit einer anfälligen PHP-Version betrieben wird und ob der erforderliche Sicherheitspatch bereits installiert wurde.

PHP wird unter anderem von folgenden Systemen eingesetzt:

• WordPress
• TYPO3
• Joomla
• Drupal
• Shopware
• Magento beziehungsweise Adobe Commerce
• Individuell entwickelten PHP-Websites und Webanwendungen

Auch Onlineshops, Kundenportale, interne Anwendungen und andere Systeme mit PHP-Komponenten können betroffen sein.

Nicht jede Website verwendet allerdings PHP. Eine rein statische Website, die ohne PHP auf dem Server auskommt, ist durch diese konkreten PHP-Schwachstellen nicht unmittelbar betroffen. Externe Integrationen oder zusätzliche PHP-Dienste müssen gegebenenfalls getrennt geprüft werden.

Ist meine WordPress-Website betroffen?

WordPress verwendet PHP und gehört deshalb zu den Systemen, bei denen eine Überprüfung sinnvoll ist.

Ob eine bestimmte WordPress-Website tatsächlich anfällig ist, hängt jedoch von der verwendeten PHP-Umgebung und ihrem Patchstatus ab.

Ein aktuelles WordPress bedeutet nicht automatisch, dass auch PHP gegen PHP2Shell abgesichert ist.

WordPress hat am 21. Oktober 2026 ausdrücklich darauf hingewiesen, dass für diese beiden PHP-Schwachstellen kein eigenes WordPress-Update erforderlich oder geplant ist.

Die Sicherheitsprobleme müssen auf PHP-Ebene behoben werden.

Sind Websites bei IONOS, STRATO oder anderen Hostern betroffen?

Auch bei Hosting-Anbietern wie IONOS, STRATO, ALL-INKL oder anderen Dienstleistern kommt es auf die tatsächlich eingesetzte PHP-Version und deren Sicherheitsupdate-Status an.

Allein der Name des Hosting-Anbieters lässt keinen Rückschluss darauf zu, ob eine bestimmte Website betroffen ist.

Bei einem klassischen Webhosting-Paket übernimmt der Anbieter einen Teil der Serververwaltung. Je nach Vertrag und Konfiguration können PHP-Updates automatisch installiert werden oder eine Anpassung durch den Kunden erfordern.

Fragen Sie Ihren Hosting-Anbieter daher ausdrücklich, ob die Sicherheitsupdates für CVE-2026-109618 und CVE-2026-109619 auf Ihrer Website bereits wirksam sind.

Welche PHP-Versionen sind betroffen und welche sind sicher?

Am 21. Oktober 2026 wurden vier PHP-Versionen veröffentlicht, die beide Sicherheitslücken schließen.

PHP-VersionsreiheAnfällige VersionenVersion mit SicherheitsupdatePHP 8.2Vor 8.2.358.2.35PHP 8.3Vor 8.3.368.3.36PHP 8.4Vor 8.4.278.4.27PHP 8.5Vor 8.5.128.5.12

Diese Angaben beziehen sich auf die offiziellen PHP-Veröffentlichungen. Innerhalb der jeweiligen Versionsreihe sind die genannten und späteren Versionen gegen die beiden beschriebenen Schwachstellen gepatcht.

Achtung bei PHP 8.1 oder älter: Diese Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Einige Betriebssystem- und Langzeit-Support-Anbieter stellen jedoch eigene Sicherheitskorrekturen bereit, ohne die angezeigte PHP-Versionsnummer entsprechend zu erhöhen.

Deshalb muss bei solchen Installationen zusätzlich der Patchstatus des jeweiligen Anbieters geprüft werden.

PHP 8.2 erhält vom PHP-Projekt außerdem nur noch bis zum 31. Dezember 2026 Sicherheitsunterstützung. Wer diese Version einsetzt, sollte rechtzeitig einen Wechsel auf eine länger unterstützte Versionsreihe planen.

Wie finde ich heraus, welche PHP-Version meine Website verwendet?

Sie müssen dafür nicht programmieren können. Bei vielen Websites lässt sich die PHP-Version im Verwaltungsbereich anzeigen.

PHP-Version in WordPress überprüfen

1. Melden Sie sich im WordPress-Administrationsbereich an.
2. Öffnen Sie den Menüpunkt Werkzeuge.
3. Wählen Sie Website-Zustand.
4. Wechseln Sie zum Reiter Info.
5. Öffnen Sie den Abschnitt Server.
6. Suchen Sie den Eintrag PHP-Version.

Dort sehen Sie, welche PHP-Version WordPress für Ihre Website verwendet.

Vergleichen Sie die angezeigte Versionsnummer mit der Tabelle im vorherigen Abschnitt.

Berücksichtigen Sie dabei, dass ein vom Hosting-Anbieter separat eingespielter Sicherheitspatch nicht zwangsläufig an der Versionsnummer erkennbar ist.

PHP-Version beim Hosting-Anbieter überprüfen

Viele Hosting-Anbieter zeigen die verwendete PHP-Version direkt im Kundenbereich an.

Suchen Sie dort nach Bereichen wie „PHP“, „PHP-Version“ oder „PHP-Einstellungen“.

Wenn Sie keinen entsprechenden Menüpunkt finden oder der Update-Status unklar bleibt, kontaktieren Sie den Support.

Sie können dafür folgende Nachricht verwenden:

Guten Tag, ich möchte prüfen lassen, ob meine Website gegen die am 21. Oktober 2026 veröffentlichten PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 abgesichert ist. Können Sie mir bitte bestätigen, welche PHP-Version meine Website aktuell verwendet und ob beide Sicherheitsupdates bereits wirksam installiert wurden?

Was tun bei einer individuell entwickelten Website?

Bei individuell programmierten Websites sollte die zuständige Entwicklung oder Serveradministration prüfen, welche PHP-Version tatsächlich für die Website verwendet wird.

Das gilt insbesondere bei eigenen Servern, Containern oder speziellen Hosting-Umgebungen. Dort ist nicht immer dieselbe PHP-Version für alle Anwendungen im Einsatz.

Eine einfache Versionsabfrage allein reicht außerdem nicht in jedem Fall aus, um separat installierte Sicherheitspatches zu erkennen.

PHP-Sicherheitslücke: Was sollten Website-Betreiber jetzt tun?

Wer eine potenziell betroffene Website betreibt, sollte strukturiert vorgehen.

1. PHP-Version und Sicherheitsstatus feststellen

Prüfen Sie zunächst, ob Ihre Website PHP verwendet und ob beide Schwachstellen bereits behoben wurden.

Ist die PHP-Version älter als eine der oben aufgeführten Sicherheitsversionen, besteht Handlungsbedarf, sofern kein entsprechender Hersteller-Patch installiert wurde.

2. PHP-Sicherheitsupdate unverzüglich einspielen lassen

Ist Ihre Website anfällig, muss die PHP-Umgebung aktualisiert werden.

Bei einem verwalteten Hosting-Paket kann Ihr Hosting-Anbieter zuständig sein. Bei einem eigenen Server oder einer individuell betriebenen Anwendung ist die verantwortliche IT-Abteilung beziehungsweise Serveradministration gefragt.

Vor einer Versionsumstellung sollten wichtige Daten gesichert und die Kompatibilität der Website berücksichtigt werden. Diese Vorbereitungen sollten das notwendige Sicherheitsupdate jedoch nicht unnötig verzögern.

Nach dem Update sollten die wichtigsten Funktionen überprüft werden, beispielsweise Kontaktformulare, Kunden-Logins und Bestellprozesse.

3. Prüfen, ob es Hinweise auf einen Angriff gibt

Ein eingespieltes Sicherheitsupdate schützt gegen die beschriebenen Schwachstellen. Es beseitigt jedoch nicht automatisch mögliche Folgen eines früheren erfolgreichen Angriffs.

Wenn die Website vorher anfällig war, sollte die zuständige IT insbesondere bei verdächtigen Aktivitäten prüfen, ob Hinweise auf eine Kompromittierung vorliegen.

Dazu gehören beispielsweise auffällige Serverprotokolle, unerklärliche Dateiänderungen oder ungewöhnliche Prozesse.

Diese Prüfung gehört bei einem konkreten Sicherheitsverdacht in die Hände von IT-Sicherheitsexperten.

4. Wenn kein Update möglich ist: Risiko umgehend klären

Nicht jede Website lässt sich ohne Weiteres aktualisieren. Insbesondere ältere Anwendungen können technische Abhängigkeiten haben.

Das bedeutet jedoch nicht, dass die Schwachstelle ignoriert werden sollte.

Das PHP-Projekt hat vorübergehende technische Maßnahmen veröffentlicht, die einzelne Angriffswege erschweren können. Ein vollständiger Ersatz für das Sicherheitsupdate sind diese Maßnahmen nicht.

Wenn keine ausreichend wirksame Absicherung möglich ist, empfehlen Cybersicherheitsbehörden, die betroffenen Systeme gegebenenfalls vorübergehend vom öffentlichen Netz zu nehmen.

Die Entscheidung sollte mit der zuständigen IT oder einem Sicherheitsdienstleister getroffen werden.

5. Technische Zuständigkeiten dauerhaft klären

Bei vielen Unternehmenswebsites sind mehrere Parteien beteiligt: Hosting-Anbieter, Website-Entwickler, interne IT und externe Dienstleister.

Damit notwendige Sicherheitsupdates nicht liegen bleiben, sollte eindeutig geregelt sein, wer für die PHP-Umgebung, das Hosting und technische Aktualisierungen verantwortlich ist.

Gerade bei geschäftskritischen Websites ist diese Abstimmung wichtig.

Häufige Fragen zur PHP-Sicherheitslücke 2026

Was ist PHP2Shell?

PHP2Shell ist die Bezeichnung für zwei kritische PHP-Sicherheitslücken aus Oktober 2026. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und können unter bestimmten Bedingungen die Ausführung von Schadcode ohne Anmeldung ermöglichen.

Ist PHP2Shell dasselbe wie wp2shell?

Nein. PHP2Shell bezeichnet die beiden PHP-Schwachstellen aus Oktober 2026. „wp2shell“ bezeichnet dagegen eine andere Sicherheitsproblematik in WordPress, die im Juli 2026 behoben wurde. Beide Ereignisse sollten nicht miteinander verwechselt werden.

Muss ich WordPress aktualisieren, um PHP2Shell zu beheben?

Nein, ein reines WordPress-Update behebt diese beiden Sicherheitslücken in PHP nicht. Die verwendete PHP-Umgebung muss aktualisiert beziehungsweise durch einen entsprechenden Sicherheitspatch abgesichert werden. Unabhängig davon sollten auch WordPress und seine Erweiterungen aktuell gehalten werden.

Ist meine Website nach einem PHP-Update wieder sicher?

Das Update schließt die beiden beschriebenen PHP-Schwachstellen. Es garantiert jedoch weder die allgemeine Sicherheit Ihrer Website noch, dass zuvor kein erfolgreicher Angriff stattgefunden hat.

Reicht ein WordPress-Sicherheitsplugin oder eine Firewall?

Nein. Sicherheitsplugins und Web Application Firewalls können zusätzliche Schutzmaßnahmen bieten, ersetzen aber nicht die PHP-Sicherheitsupdates. Das PHP-Projekt weist ausdrücklich darauf hin, dass ein Update die einzige vollständige Behebung dieser Schwachstellen ist.

Was tun, wenn meine Website aktuell nicht erreichbar ist?

Eine nicht erreichbare Website ist nicht automatisch gehackt. Technische Wartungsarbeiten, vorübergehende Schutzmaßnahmen oder andere Störungen können ebenfalls eine Ursache sein. Kontaktieren Sie Ihren Hosting-Anbieter und lassen Sie die Ursache prüfen.

Kann ich selbst feststellen, ob meine Website gehackt wurde?

Sie können zunächst die PHP-Version prüfen und nach ungewöhnlichen Veränderungen suchen. Daraus lässt sich jedoch nicht zuverlässig ableiten, ob ein Angriff stattgefunden hat. Eine belastbare Sicherheitsprüfung benötigt gegebenenfalls Zugriff auf Serverprotokolle, Dateien und weitere technische Informationen.

Wie dringend ist das PHP-Sicherheitsupdate?

Sehr dringend. Beide Schwachstellen wurden mit dem kritischen CVSS-4.0-Wert 9,2 bewertet. Das PHP-Projekt sowie europäische und nationale Cybersicherheitsbehörden empfehlen, betroffene Systeme unverzüglich zu aktualisieren.

Fazit: PHP-Sicherheitslücke prüfen und Updates nicht aufschieben

Die PHP-Sicherheitslücken vom 21. Oktober 2026 sind ein ernstzunehmendes Risiko für Websites und Anwendungen, die mit einer anfälligen PHP-Version betrieben werden.

Für Betreiber zählt jetzt vor allem, den tatsächlichen Sicherheitsstatus ihrer Website zu kennen und notwendige Updates unverzüglich durchführen zu lassen.

Wer WordPress oder ein anderes PHP-basiertes System verwendet, sollte nicht allein davon ausgehen, dass die Website automatisch geschützt ist. Eine konkrete Bestätigung des Hosting-Anbieters oder der zuständigen IT schafft Klarheit.

Auch langfristig gilt: Zur professionellen Website-Entwicklung gehören klare technische Zuständigkeiten und eine verlässlich gepflegte Systemumgebung.

Wenn Sie Ihre Website technisch weiterentwickeln oder neu aufstellen möchten, finden Sie weitere Informationen unter davidbock.agency.