PHP2Shell: Was die neue PHP-Lücke für Ihre Website bedeutet, ohne Panik

Seit dem 21. Oktober 2026 gibt es Sicherheitsupdates für zwei schwere Lücken in PHP. Das ist die Programmiersprache hinter sehr vielen Websites, zum Beispiel WordPress. Die Lücken heißen CVE-2026-109618 und CVE-2026-109619, in den Medien „PHP2Shell“.

Was ist passiert?

Beide Lücken können es Angreifern ermöglichen, auf einem Webserver eigenen Code auszuführen, ohne sich einzuloggen. Ein funktionierender Angriff ist bekannt. Amazon hat laut Medienberichten schon vier Tage vor der Veröffentlichung einen ersten Versuch beobachtet. Das klingt dramatisch, ist aber gut beherrschbar: Die PHP-Entwickler haben die Lücken geschlossen.

Betrifft das auch Sie?

Betroffen ist der Server, nicht Ihr Design oder Ihre Texte. Wenn Ihre Website mit PHP läuft, sollten Sie nachfragen. Wichtig: Ein Update von WordPress oder Plugins reicht nicht, denn PHP selbst muss auf dem Server aktualisiert werden. Das übernimmt in der Regel Ihr Hoster.

Die Lücke steckt im Server, nicht in Ihrer Website. Deshalb hilft nur ein Update der PHP-Version.

Was Sie heute tun können

1. Fragen Sie Ihren Hoster oder Ihre Agentur, welche PHP-Version bei Ihnen läuft.
2. Die behobenen Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, oder neuer.
3. Läuft noch PHP 8.1 oder älter? Diese Versionen werden offiziell nicht mehr unterstützt. Fragen Sie nach einem Wechsel auf eine aktuelle Version.
4. Lassen Sie sich schriftlich bestätigen, wann das Update eingespielt wurde.

Eine vorgeschaltete Firewall wie Cloudflare schützt zusätzlich, ersetzt das Update aber nicht.

Wie wir helfen

Für Tage wie diese gibt es unser Care-Paket: Wir halten Updates, Backups und Überwachung im Blick, damit Sie keine Sicherheitsmeldungen lesen müssen. Und wenn Sie nur wissen möchten, ob Ihre Website betroffen ist, schauen wir gemeinsam nach.

Unsicher, ob Ihre Seite betroffen ist? Sprechen wir 30 Minuten, kostenlos.

Stand: 24. Oktober 2026. Die Lage kann sich ändern, bitte prüfen Sie auch die Meldungen Ihres Hosters.
Quellen: Help Net Security, Cloudflare.