PHP2Shell: Kritische Sicherheitslücke in PHP – das musst du jetzt für deine Website tun

Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen, die unter dem Namen „PHP2Shell” bekannt geworden sind. PHP ist die Programmiersprache, die im Hintergrund auf dem Server läuft und deine Website erzeugt. Ein Grossteil aller Websites weltweit nutzt sie, darunter WordPress, Joomla und Drupal. Die Lücken stecken in PHP selbst und in keinem einzelnen Plugin. Deshalb betrifft die Sache sehr viele Websites gleichzeitig.

Was ist passiert?

  • Zwei kritische Lücken: Sie tragen die Kennnummern CVE-2026-109618 und CVE-2026-109619. Eine CVE-Nummer ist der weltweit einheitliche Name, unter dem eine Sicherheitslücke geführt wird. Beide Lücken erreichen auf der Gefahrenskala CVSS, die von 0 bis 10 reicht, den Wert 9,2 und gelten damit als kritisch.
  • Kein Login nötig: Ein Angreifer kann mit einer einzigen präparierten Anfrage an den Server eigenen Programmcode dort ausführen lassen. Die Entwickler haben einen funktionierenden Angriff vorgeführt, der bereits greift, bevor die Programme deiner Website überhaupt anlaufen.
  • Kein vollständiger Zwischenschutz: Das PHP-Team schreibt in seiner Mitteilung, dass es keine Einstellung gibt, die die Lücken vollständig abdeckt. Das Update ist der einzig sichere Weg.
  • Zugangsdaten in Gefahr: Wer fremden Code auf deinem Server ausführen kann, kommt an alles heran, was dieser Server lesen darf. Dazu gehören Passwörter, Zugänge zur Datenbank und API-Schlüssel, also digitale Schlüssel, mit denen sich Programme untereinander ausweisen.
  • Automatische Suche: Erfahrungsgemäss beginnen nach solchen Veröffentlichungen Bots, das sind automatische Programme, das Netz gezielt nach Servern abzusuchen, die noch nicht aktualisiert sind.

Wer ist betroffen?

Läuft deine Website auf PHP, ist sie grundsätzlich betroffen, bis dein Server aktualisiert wurde. Das gilt unter anderem für:

  • WordPress, Joomla und Drupal
  • Onlineshops mit Magento
  • Nextcloud, Roundcube-Webmail und phpMyAdmin
  • eigene Anwendungen auf Basis von Laravel oder Symfony

Die Lücke liegt eine Ebene unter WordPress, nämlich in der PHP-Version deines Servers. Updates von WordPress, deinem Theme (der Designvorlage) oder deinen Plugins ändern an ihr nichts.

Dazu gibt es gute Nachrichten. Grosse Hoster spielen solche Sicherheitsupdates in der Regel innerhalb weniger Tage ein. Bei Shared Hosting, wo sich viele Websites einen Server teilen und das die meisten Leser nutzen, übernimmt der Hoster diese Arbeit, und du musst an der PHP-Version selbst nichts tun.

Besonders kritisch sind alte PHP-Versionen ab 8.1 abwärts, also auch 7.x. Für sie gibt es keine regulären Updates mehr.

Das musst du tun

1. PHP-Version herausfinden

Melde dich in WordPress im Dashboard an, das ist der Verwaltungsbereich deiner Website, meist erreichbar unter deinedomain.ch/wp-admin. Klicke in der Menüleiste links auf „Werkzeuge” und dann auf „Website-Zustand”. Klicke oben auf den Reiter „Info” und scrolle nach unten bis zur Zeile „Server”. Klicke rechts auf den kleinen Pfeil, damit sich die Zeile öffnet. In der Zeile „PHP-Version” steht jetzt eine Zahl wie 8.3.12. Das ist deine Version. Ohne WordPress zeigt dir der Kundenbereich deines Hosters die Version an, meist unter einem Menüpunkt „PHP” oder „PHP-Version”.

2. Mit der Liste vergleichen

Sicher bist du mit einer dieser Versionen oder einer höheren Nummer derselben Reihe:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Steht bei dir zum Beispiel 8.3.36, bist du geschützt. Bei 8.3.35 fehlt das Update noch. Bei Linux-Servern gilt eine Besonderheit: Dort übernimmt oft das Betriebssystem die Korrektur in ein Paket, dessen Versionsnummer älter aussieht. Dann zählt die Auskunft deines Hosters oder das Sicherheitsupdate deiner Linux-Distribution.

3. Beim Hoster nachfragen

Öffne im Kundenbereich deines Hosters das Support-Formular oder schreibe eine E-Mail und frage, ob die PHP-Sicherheitsupdates vom 21. Oktober 2026 eingespielt wurden, also die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei Shared Hosting ist das die Aufgabe des Hosters.

4. Alte Version umstellen

Läuft deine Website noch mit PHP 8.1 oder älter, stellst du sie auf 8.3 oder 8.4 um. Erstelle dafür zuerst ein Backup, also eine Sicherheitskopie deiner Website. Das geht im Kundenbereich deines Hosters unter dem Menüpunkt „Backup” mit einem Klick auf „Backup erstellen” oder in WordPress mit einem Backup-Plugin. Öffne danach im Kundenbereich den Menüpunkt „PHP”, wähle im Auswahlfeld die Version 8.3 oder 8.4 und klicke auf „Speichern”. Rufe anschliessend deine Startseite, eine Unterseite, das Kontaktformular und den Login im Browser auf und prüfe, ob alles wie gewohnt funktioniert. Zeigt sich ein Fehler, kannst du übergangsweise auf die vorherige Version zurückstellen und den Hersteller deines Themes oder Plugins um eine angepasste Version bitten.

5. Eigener Server: sofort aktualisieren

Wer einen eigenen Server betreibt, aktualisiert PHP sofort auf eine der oben genannten Versionen und startet den Webserver sowie den PHP-Dienst neu. Auf Debian und Ubuntu erledigt das der Befehl sudo apt update && sudo apt install --only-upgrade 'php8.*'. Lässt sich das nicht sofort umsetzen, ist es sicherer, die Website bis zum Update offline zu schalten.

6. Zugangsdaten erneuern

War dein Server längere Zeit ungeschützt im Netz, ändere vorsorglich deine Passwörter. Klicke in WordPress links auf „Benutzer”, dann auf „Profil”, scrolle zum Abschnitt „Kontoverwaltung” und klicke auf „Neues Passwort festlegen”. Das Passwort der Datenbank änderst du gemeinsam mit deinem Hoster oder Administrator, weil es zusätzlich in der Datei wp-config.php eingetragen werden muss. Dasselbe gilt für API-Schlüssel, die du in Diensten wie Zahlungsanbietern oder Newsletter-Programmen neu erzeugen kannst. Für die Admin-Konten aktivierst du ausserdem die Zwei-Faktor-Anmeldung, bei der du beim Login zusätzlich einen Code von deinem Handy eingibst. In WordPress gelingt das mit dem Plugin „Two Factor” aus dem Plugin-Verzeichnis.

Für die meisten Websites dauert das Ganze wenige Minuten: Version prüfen, mit der Liste vergleichen und beim Hoster nachfragen. Wer das heute erledigt, hat die wichtigste Schutzmassnahme getroffen.

Grundlage dieses Beitrags ist die Sicherheitsmitteilung des PHP-Teams vom 21. Oktober 2026 auf php.net.