PHP2Shell – Sicherheitslücke
PHP2Shell:
Ist Ihre Website betroffen?
Zwei kritische PHP-Schwachstellen ermöglichen unter Umständen Angriffe ohne Anmeldung. Betroffen sein können auch Websites mit WordPress, Drupal oder TYPO3. Entscheidend ist die PHP-Laufzeit auf dem Server – nicht allein Ihr CMS.
Das Wichtigste in 60 Sekunden.
PHP2Shell steht für zwei kritische Fehler in der PHP-Laufzeit. Angreifer können unter bestimmten Bedingungen Code auf betroffenen Servern ausführen. Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht. Ein aktuelles CMS allein schützt nicht.
Die Lücke liegt in PHP.
Ein WordPress-, Drupal- oder Plugin-Update ersetzt kein Update der PHP-Laufzeit. Auch individuell entwickelte Anwendungen können betroffen sein.
Patchen hat Priorität.
Die veröffentlichten PHP-Sicherheitsversionen beziehungsweise nachweislich gepatchte Herstellerpakete sind die vollständige Abhilfe.
Update ist nicht gleich Entwarnung.
Nach der Aktualisierung sind Funktionstests sinnvoll. Besteht ein Verdacht auf einen Vorfall, braucht es zusätzliche Log- und Integritätsprüfungen.
Ob Sie selbst oder Ihr Hoster das PHP-Update durchführen, hängt vom Hostingmodell ab. Lassen Sie den tatsächlichen Patchstand der produktiven Web-PHP-Umgebung bestätigen – nicht nur die Version der Kommandozeile.
Vier Schritte, die wirklich wichtig sind.
Technisch sauber vorgehen, statt unkoordiniert Systeme umzustellen. Besonders wichtig sind Backups, Zuständigkeiten und die Prüfung der produktiven Umgebung.
Technische Hilfe anfragen ↗PHP-Installation identifizieren
CMS, Hosting-Tarif und die PHP-Version ermitteln, die tatsächlich Webanfragen verarbeitet. Bei mehreren Sites auch einzelne Pools und Container berücksichtigen.
Patchstatus und Zuständigkeit klären
PHP-Release oder Hersteller-Backport verifizieren. Bei Managed Hosting den Provider einbeziehen; auf eigenem VPS einen Wartungs- und Updateplan festlegen.
Gesichert aktualisieren
Ein verwendbares Backup sicherstellen, Kompatibilität berücksichtigen und dann auf eine gepatchte PHP-Version beziehungsweise ein entsprechendes Sicherheitspaket aktualisieren.
Funktionen und Auffälligkeiten prüfen
Kritische Funktionen testen, Fehlerprotokolle kontrollieren und bei Verdachtsmomenten eine weitergehende Untersuchung veranlassen. Ein Patch entfernt keine bereits bestehende Kompromittierung.
Welche PHP-Versionen schließen PHP2Shell?
Diese Releases enthalten die Korrekturen für CVE-2026-109618 und CVE-2026-109619. Ältere Zweige werden nicht mehr regulär vom PHP-Projekt unterstützt; für manche Systeme sind Hersteller-Backports verfügbar.
Stand: 22.10.2026. Bitte tagesaktuell die offiziellen Hinweise und die Paketinformationen Ihres Anbieters prüfen.
| Versionszweig | Ab Release | Status |
|---|---|---|
| PHP 8.2 | 8.2.35 | Gepatcht ✓ |
| PHP 8.3 | 8.3.36 | Gepatcht ✓ |
| PHP 8.4 | 8.4.27 | Gepatcht ✓ |
| PHP 8.5 | 8.5.12 | Gepatcht ✓ |
Die Angaben gelten für die offiziellen PHP-Releases der genannten Zweige. Für distributionsspezifische Pakete kann ein Security-Backport abweichende Versionsbezeichnungen haben. Version allein ist kein Nachweis einer vollständig sicheren Website.
Von der Prüfung bis zur technischen Umsetzung.
Wir unterstützen Website-Betreiber bei der Einordnung, Koordination und Umsetzung der erforderlichen Maßnahmen. Der konkrete Umfang richtet sich nach Systemzugang, Hostingmodell und Zuständigkeiten.
Bestandsaufnahme
CMS, Serverumgebung, verwendete PHP-Versionen und potenzielle Angriffsfläche einordnen.
Patchplan
Updateweg, notwendige Sicherungen, Risiken und Provider-Zuständigkeiten klären.
Update & Tests
Technische Aktualisierung nach Vereinbarung begleiten oder durchführen und Kernfunktionen prüfen.
Nachsorge
Ergebnis dokumentieren, Auffälligkeiten bewerten und weitere Wartungsmaßnahmen ableiten.
Wir können auch bei Systemen unterstützen, die nicht von uns entwickelt wurden – sofern die notwendigen Zugänge und Zuständigkeiten geklärt sind.
Akute Schwachstelle. Dauerhafte Verantwortung.
Eine einzelne Sicherheitslücke ist oft nur der sichtbare Anlass. Technische Website-Sicherheit und laufende Wartung gehören zusammen, verfolgen aber unterschiedliche Ziele.
Website-Sicherheit
Schwachstellen früh erkennen, Update-Stände und Konfigurationen überprüfen, Risiken priorisieren und nachvollziehbar reduzieren.
Mehr über Website-Sicherheit erfahren ↗Website-Wartung
CMS und Erweiterungen kontrolliert aktualisieren, Backups organisieren, Funktion und Verfügbarkeit im Blick behalten.
Mehr über Website-Wartung erfahren ↗Häufige Fragen.
Klare Antworten.
Antworten auf typische Fragen zur Sicherheitsmeldung und zum Vorgehen.
Ist meine WordPress- oder Drupal-Website automatisch betroffen?
Nicht automatisch. Entscheidend ist, ob die produktiv eingesetzte PHP-Laufzeit einen wirksamen Patch enthält. Das verwendete CMS allein erlaubt keine sichere Aussage.
Reicht ein WordPress-, Drupal- oder Plugin-Update?
Nein. Die beiden beschriebenen Schwachstellen liegen in PHP selbst. Die PHP-Laufzeit beziehungsweise das Herstellerpaket muss gepatcht werden.
Sind Websites auf Managed Hosting ebenfalls betroffen?
Auch Managed-Hosting-Umgebungen können prinzipiell betroffen gewesen sein. Dort übernimmt in vielen Fällen der Anbieter die Systemupdates. Entscheidend ist die konkrete Bestätigung des Patchstands.
Was ist mit PHP 7.4, 8.0 oder 8.1?
Diese Versionen erhalten vom PHP-Projekt keine regulären Releases mehr. Manche Hersteller liefern Security-Backports. Ohne nachweislichen Patch ist ein Wechsel auf eine unterstützte Version einzuplanen.
Kann eine Firewall die PHP2Shell-Lücke vollständig abwehren?
Nein. Zusätzliche Maßnahmen können einzelne Angriffswege erschweren, ersetzen aber nicht den relevanten PHP-Sicherheitspatch.
Ist mit dem Update alles erledigt?
Der Patch behebt diese bekannten Schwachstellen. Bei Hinweisen auf eine frühere Kompromittierung sind gesonderte Untersuchungen und Bereinigungsmaßnahmen erforderlich.
Wie schnell kann Orange Services helfen?
Wir stimmen Dringlichkeit, Zugänge, Umfang und mögliche Termine individuell ab. Ein pauschales Sofort- oder 24/7-Versprechen geben wir nicht.
Die Informationen basieren auf der offiziellen PHP-Sicherheitsmeldung vom 21. Oktober 2026 und den dazu veröffentlichten Empfehlungen. Veröffentlichung dieser Seite: 22.10.2026. Inhalte werden bei neuen bestätigten Erkenntnissen aktualisiert.
PHP Security Team – Offizielle Sicherheitsmeldung ↗ · NCSC – PHP-Sicherheitshinweis ↗
Website prüfen lassen.
Bevor ein Sicherheitsproblem zum Geschäftsausfall wird.
Schildern Sie uns kurz die Website, das verwendete System und Ihr Anliegen. Wir melden uns zur Abstimmung des möglichen Vorgehens. Leistungen und Reaktionszeiten nach Vereinbarung.
PHP2Shell-Prüfung anfragen