Kritische PHP-Sicherheitslücke „PHP2Shell“: Millionen Webseiten gefährdet – jetzt handeln!
22. Oktober 2026 | IT-Sicherheit, WordPress & Webhosting
Zwei neu entdeckte Sicherheitslücken in der Programmiersprache PHP sorgen derzeit weltweit für erhebliche Besorgnis. Die unter dem Namen PHP2Shell bekannt gewordenen Schwachstellen ermöglichen es Angreifern unter bestimmten Voraussetzungen, Schadcode auf Webservern auszuführen – und das möglicherweise ohne vorherige Anmeldung.
Betroffen sind zahlreiche Webseiten, darunter auch Installationen mit WordPress, WooCommerce, Joomla und Drupal. Die Sicherheitslücken wurden am 21. Oktober 2026 offiziell veröffentlicht und als kritisch eingestuft.
Webseitenbetreiber sollten deshalb dringend prüfen, welche PHP-Version auf ihrem Server eingesetzt wird, und verfügbare Sicherheitsupdates installieren.
Was ist PHP2Shell?
PHP gehört zu den weltweit am häufigsten verwendeten Programmiersprachen für Webseiten. Zahlreiche Content-Management-Systeme, Onlineshops und Webanwendungen basieren darauf.
Die nun entdeckten Sicherheitslücken befinden sich nicht in einem bestimmten WordPress-Plugin oder Theme, sondern direkt im Kern der PHP-Programmiersprache.
Das macht die Situation besonders brisant: Selbst eine vollständig aktualisierte WordPress-Installation kann betroffen sein, wenn der Server eine verwundbare PHP-Version verwendet.
Die beiden Schwachstellen tragen die offiziellen Kennzeichnungen:
- CVE-2026-109618: Ein Fehler bei der Speicherverwaltung kann unter bestimmten Bedingungen zur Ausführung von Schadcode führen.
- CVE-2026-109619: Ein Fehler beim Umgang mit bereits freigegebenem Speicher kann ebenfalls die Ausführung von Schadcode ermöglichen und sensible Speicherinhalte offenlegen.
Beide Sicherheitslücken wurden mit einem CVSS-v4.0-Wert von 9,2 von 10 Punkten bewertet. Sie gelten damit als kritisch.
Welche Gefahren bestehen für Webseitenbetreiber?
Gelingt es einem Angreifer, eine der Schwachstellen auszunutzen, könnte er unter anderem:
- Schadsoftware auf dem betroffenen Server ausführen
- Vertrauliche Daten und Zugangsinformationen auslesen
- Dateien auf dem Server verändern oder löschen
- Webseiten manipulieren oder für betrügerische Zwecke missbrauchen
- Weitere Angriffe auf die betroffene Infrastruktur vorbereiten
Besonders problematisch ist, dass für einen erfolgreichen Angriff unter bestimmten Voraussetzungen kein Benutzerkonto und keine Anmeldung erforderlich sind.
Das bedeutet allerdings nicht, dass jede betroffene Webseite automatisch kompromittiert wurde. Ob ein Angriff erfolgreich ist, hängt unter anderem von der jeweiligen Serverkonfiguration und den vorhandenen Schutzmaßnahmen ab.
Welche PHP-Versionen sind betroffen?
Die Schwachstellen betreffen zahlreiche PHP-Versionen, darunter auch bisher aktuelle Versionen.
Die PHP-Entwickler haben am 21. Oktober 2026 Sicherheitsupdates veröffentlicht.
| PHP-Version | Sichere Version |
|---|---|
| PHP 8.5 | ab 8.5.12 |
| PHP 8.4 | ab 8.4.27 |
| PHP 8.3 | ab 8.3.36 |
| PHP 8.2 | ab 8.2.35 |
| PHP 8.1 und älter | Upgrade dringend empfohlen |
Wichtig: PHP 8.1 und ältere Versionen erhalten vom offiziellen PHP-Projekt keine regulären Sicherheitsupdates mehr. Einzelne Linux-Distributionen und kommerzielle Anbieter können allerdings eigene Sicherheitskorrekturen bereitstellen.
Bei solchen Systemen muss deshalb geprüft werden, ob der jeweilige Anbieter bereits einen entsprechenden Sicherheitspatch ausgeliefert hat.
Achtung: Eine ältere Versionsnummer bedeutet bei Linux-Distributionen nicht zwangsläufig, dass der Server ungeschützt ist. Manche Anbieter integrieren Sicherheitskorrekturen in bestehende Versionspakete, ohne die ursprüngliche PHP-Versionsnummer zu verändern.
Sind WordPress und WooCommerce betroffen?
Ja, grundsätzlich können auch WordPress- und WooCommerce-Webseiten betroffen sein.
Dabei handelt es sich jedoch nicht um eine Sicherheitslücke in WordPress oder WooCommerce selbst.
Die Schwachstelle liegt eine Ebene darunter, nämlich in der PHP-Laufzeitumgebung des Webservers.
Deshalb genügt es nicht, ausschließlich WordPress, Themes und Plugins auf dem neuesten Stand zu halten.
Auch die PHP-Version des Servers muss regelmäßig aktualisiert werden.
Für Betreiber von Onlineshops ist das besonders wichtig, da dort häufig personenbezogene Kundendaten, Bestellungen und andere geschäftskritische Informationen verarbeitet werden.
Was sollten Webseitenbetreiber jetzt tun?
1. PHP-Version überprüfen
WordPress-Nutzer können die verwendete PHP-Version normalerweise direkt im Administrationsbereich überprüfen.
Dazu unter Werkzeuge → Website-Zustand → Bericht → Server nachsehen.
Alternativ lässt sich die PHP-Version häufig im Kundenbereich des Hostinganbieters oder in Verwaltungsoberflächen wie Plesk und cPanel ermitteln.
2. Sicherheitsupdates installieren
Steht eine korrigierte PHP-Version zur Verfügung, sollte diese zeitnah installiert werden.
Bei Managed-Hosting-Angeboten übernimmt der Hostinganbieter häufig die Aktualisierung der Serverpakete. Dennoch empfiehlt es sich, den tatsächlichen Update-Status zu überprüfen.
Wer einen eigenen Server oder VPS betreibt, muss sich gegebenenfalls selbst um die Aktualisierung kümmern.
Wichtig ist außerdem, dass die aktualisierte PHP-Version nach dem Update tatsächlich von den laufenden Serverprozessen verwendet wird. Dafür kann ein Neustart der entsprechenden PHP-Dienste erforderlich sein.
3. Vor dem Update ein Backup erstellen
Vor größeren Änderungen an der Serverumgebung sollte immer eine aktuelle Datensicherung vorhanden sein.
Das gilt insbesondere für komplexe WordPress-Installationen und WooCommerce-Shops.
Nach dem Update empfiehlt sich ein kurzer Funktionstest der Webseite, einschließlich Kontaktformularen, Bestellvorgängen und wichtigen Plugins.
4. Sicherheitsprotokolle kontrollieren
Serverbetreiber sollten ihre Zugriffs- und Fehlerprotokolle auf ungewöhnliche Aktivitäten überprüfen.
Besonders relevant sind auffällige HTTP-Anfragen, unerwartete Prozessabstürze und ungewöhnliche Änderungen an Dateien.
Ein fehlender Hinweis in den Protokollen ist allerdings kein sicherer Beweis dafür, dass kein Angriff stattgefunden hat.
5. Zusätzliche Schutzmaßnahmen nutzen
Eine Web Application Firewall (WAF) kann helfen, bestimmte Angriffsversuche bereits vor dem Webserver abzufangen.
Cloudflare hat beispielsweise Schutzregeln gegen bekannte PHP2Shell-Angriffswege bereitgestellt.
Solche Maßnahmen können das Risiko reduzieren, ersetzen jedoch kein Sicherheitsupdate der betroffenen PHP-Version.
Was gilt für Plesk-Server und andere Hostingumgebungen?
Auch Server mit Plesk sind grundsätzlich betroffen, sofern sie verwundbare PHP-Versionen einsetzen.
Plesk hat die Sicherheitslücken in einer eigenen Sicherheitsmitteilung bestätigt und angekündigt, entsprechende Korrekturen über seine PHP-Pakete bereitzustellen.
Für Administratoren bedeutet das: Nicht nur die Plesk-Oberfläche selbst, sondern insbesondere die installierten und tatsächlich verwendeten PHP-Pakete müssen überprüft werden.
Dasselbe gilt für Server mit Apache, Nginx in Verbindung mit PHP-FPM, LiteSpeed und anderen unterstützten PHP-Laufzeitumgebungen.
Wie wurden die Sicherheitslücken entdeckt?
Eine Besonderheit des aktuellen Vorfalls ist der Einsatz künstlicher Intelligenz bei der Sicherheitsforschung.
Das Sicherheitsunternehmen Wiz entdeckte die Schwachstellen mithilfe KI-gestützter Analysen und arbeitete gemeinsam mit weiteren Beteiligten an der Untersuchung und Behebung der Probleme.
Der Vorfall zeigt, welche Bedeutung KI inzwischen auch für die IT-Sicherheit hat.
Künstliche Intelligenz kann dabei helfen, bislang unentdeckte Schwachstellen in komplexer Software aufzuspüren. Gleichzeitig wird deutlich, wie wichtig schnelle Sicherheitsupdates und eine professionelle Serververwaltung sind.
Fazit: Jetzt handeln, aber nicht in Panik geraten
Die neu entdeckten PHP-Sicherheitslücken gehören aufgrund ihrer möglichen Auswirkungen zu den besonders ernst zu nehmenden Sicherheitsproblemen.
Da PHP auf einem großen Teil aller Webseiten eingesetzt wird, ist die potenzielle Reichweite entsprechend hoch.
Die wichtigste Maßnahme ist ein zeitnahes Update auf eine abgesicherte PHP-Version beziehungsweise ein nachweislich korrigiertes Paket des jeweiligen Serveranbieters.
Wer eine WordPress-Webseite oder einen WooCommerce-Shop betreibt, sollte sich nicht ausschließlich auf automatische Plugin-Updates verlassen.
Auch die zugrunde liegende Serverumgebung muss regelmäßig gewartet und abgesichert werden.
Unterstützung bei WordPress-Sicherheit und Serverwartung
Du bist unsicher, ob deine Webseite von PHP2Shell betroffen ist? Oder benötigst du Unterstützung bei der Aktualisierung deiner PHP-Version, bei WordPress-Sicherheitsupdates oder bei der Wartung deines Webservers?
Ich unterstütze dich bei der technischen Betreuung, Wartung und Absicherung deiner WordPress-Webseite und deines WooCommerce-Onlineshops.
Weitere Informationen unter https://computermobil.com
Quellen
- PHP – Offizielle Sicherheitswarnung vom 21. Oktober 2026
https://www.php.net/archive/2026.php - CERT.at – Kritische Sicherheitslücken in PHP: Updates verfügbar (21.10.2026)
https://www.cert.at/de/warnungen/2026/10/kritische-sicherheitslucken-in-php-updates-verfugbar - ENISA – Gemeinsame Stellungnahme zu den kritischen PHP-Sicherheitslücken
https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities - Wiz Research – PHP2Shell: AI uncovers critical RCE vulnerabilities
https://www.wiz.io/blog/php2shell-php-rce - Cloudflare – Schutzmaßnahmen gegen PHP2Shell
https://blog.cloudflare.com/php-vulnerabilities-waf-protection/ - Plesk – Sicherheitsinformation zu CVE-2026-109618 und CVE-2026-109619
https://support.plesk.com/hc/en-us/articles/44397729587351-Vulnerability-CVE-2026-109618-and-CVE-2026-109619-Remote-code-execution-in-PHP-shipped-with-Plesk
Stand: 22. Oktober 2026