PHP2Shell: Was die PHP-Lücke für Ihre Website bedeutet

Heute haben viele Betriebe eine Warnung bekommen, auch Versicherungsbüros von ihren Software-Anbietern: Zwei kritische Sicherheitslücken in PHP, Updates ab 16 Uhr, „erhöhte Vorsicht geboten“. Manche Fachleute rieten sogar, PHP-Server vorübergehend ganz vom Netz zu nehmen. Das klingt dramatisch. Was steckt dahinter, und was heißt das konkret für Ihre Website?

Worum es geht

PHP ist eine Programmiersprache, die auf dem Server läuft. Ein großer Teil aller Websites basiert darauf: WordPress, die meisten Webshops, viele Cloud- und Verwaltungslösungen.

In PHP selbst wurden zwei schwere Fehler gefunden (CVE-2026-109618 und CVE-2026-109619). Die Entwickler bewerten sie mit 9,2 von 10 Punkten. Über die Lücken kann ein Angreifer im schlimmsten Fall eigenen Programmcode auf dem Server ausführen, also im Grunde die Kontrolle über die Website übernehmen.

Eigentlich sollten die Details bis zum Update geheim bleiben. Weil die Existenz der Lücken vorzeitig öffentlich wurde, hat das PHP-Team die Updates auf heute, 21. Oktober, 16 Uhr vorgezogen. Seitdem können auch Angreifer die Korrekturen auswerten und nachvollziehen, wo nicht aktualisierte Systeme verwundbar sind. Genau deshalb drängt die Zeit.

Was bisher bekannt ist

Betroffen: Webserver, auf denen PHP läuft. Welche Funktion genau betroffen ist, war bis zur Veröffentlichung nicht bekannt.
Updates gibt es nur für PHP 8.2 bis 8.5. Ältere Versionen (8.1, 7.x und früher) bekommen keinen Fix mehr.
Angriffe: Bis zur Veröffentlichung waren keine Angriffe und kein öffentlicher Exploit bekannt. Das kann sich nach einem Patch erfahrungsgemäß schnell ändern.

Bin ich betroffen?

Sie haben eine WordPress-Seite oder einen Webshop? Dann läuft fast sicher PHP. Bei WordPress sehen Sie die Version unter Werkzeuge → Website-Zustand → Bericht → Server.

Wer ist für das Update zuständig?

Normales Webhosting (Ihre Seite liegt bei einem Hoster): Das Update spielt der Hoster ein. Fragen Sie nach, ob es erledigt ist, und lassen Sie sich die PHP-Version bestätigen.
Eigener Server oder gemietete virtuelle Maschine: Zuständig ist, wer den Server betreut. Das sind Sie selbst oder Ihr IT-Dienstleister.
Alte PHP-Version unter 8.2: Hier gibt es keinen Patch. Die Seite muss auf eine aktuelle PHP-Version umgestellt werden, und dabei muss geprüft werden, ob Themes und Plugins damit funktionieren.

Eine reine Informationsseite ohne PHP, etwa eine statisch erzeugte Website, ist nicht betroffen. Diese Seite hier ist ein Beispiel dafür: Sie besteht nur aus fertigen HTML-Dateien, auf dem Server läuft kein Programmcode, der angegriffen werden könnte.

Was ich heute selbst gemacht habe

Ich betreibe neben dieser Website mehrere eigene Dienste, darunter eine Cloud-Lösung, ein Dokumentations-Wiki und einen Netzwerkspeicher. Der Nachmittag sah so aus:

Bestandsaufnahme: Auf welchen Systemen läuft überhaupt PHP? Ergebnis: auf drei, dazu zwei vergessene, ungenutzte PHP-Installationen.
Ungenutztes entfernt: Was nicht installiert ist, muss nicht gepatcht werden.
Notmaßnahme vor dem Patch: Eine Einstellung abgeschaltet, über die der Angriff vermutlich läuft. Das ist kein Ersatz für das Update, verschafft aber Zeit.
Updates eingespielt, sobald sie verfügbar waren.
Was nicht sofort gepatcht werden konnte, vom Internet getrennt: Ein Dienst war noch nicht aktualisierbar. Er ist bis zum Update nur noch aus dem eigenen Netz und über ein verschlüsseltes VPN erreichbar.
Auf Einbruchsspuren geprüft: veränderte Programmdateien, fremde Dateien, ungewöhnliche Prozesse und Zugriffe. Alles unauffällig.

Was ich daraus mitnehme

Ein Überblick ist die halbe Miete. Bei der Bestandsaufnahme zeigte sich: Insgesamt warteten weit über tausend Updates auf Installation, darunter viele Sicherheitsupdates, die mit PHP gar nichts zu tun hatten. Seit heute prüft ein kleines Skript jede Woche alle Systeme und schickt mir eine Zusammenfassung.

Nicht alles muss öffentlich erreichbar sein. Jeder Dienst, der offen im Internet steht, wird rund um die Uhr von automatischen Scannern abgeklopft. Das sehe ich in meinen Protokollen täglich. Was nur Sie und Ihr Team nutzen, gehört hinter ein VPN. Dann ist eine Lücke wie diese ärgerlich, aber keine Gefahr.

Zwei-Faktor-Anmeldung hilft hier nicht. Sie schützt die Anmeldeseite. Eine Lücke im Server selbst umgeht die Anmeldung komplett. Für wirklich sensible Daten wie Kundenunterlagen lohnt sich deshalb eine Verschlüsselung direkt am eigenen Gerät, bevor die Daten überhaupt auf den Server kommen.

Alte Software ist ein Risiko. Wer noch PHP 7 oder 8.1 betreibt, bekommt diesmal keinen Fix. Das gilt für jede Software: Was nicht mehr unterstützt wird, gehört ersetzt.

Kurz zusammengefasst

WordPress oder Webshop beim Hoster: beim Hoster nachfragen, ob das PHP-Update eingespielt ist.
Eigener Server: heute noch aktualisieren oder bis dahin vom Netz nehmen bzw. nur per VPN erreichbar machen.
PHP älter als 8.2: Umstieg planen, es kommt kein Fix.

Wenn Sie unsicher sind, ob Ihre Website betroffen ist, oder wenn Sie Hilfe beim Update brauchen, melden Sie sich gerne bei mir.

Stand: 21. Oktober 2026

Quellen: