PHP2Shell-Sicherheitslücke: Ist Ihre Website betroffen?
Zwei kritische Schwachstellen in PHP können Angriffe ohne Anmeldung ermöglichen. Wir zeigen, welche PHP-Versionen geschützt sind, was Website-Betreiber jetzt tun sollten und wie Orange Services bei Prüfung und Updates unterstützt.
Bin ich von PHP2Shell betroffen?
Mit diesen drei Fragen können Sie den Handlungsbedarf besser einschätzen. Eine verlässliche Entwarnung ist erst nach Prüfung des tatsächlichen PHP-Patchstands möglich.
Läuft Ihre Website mit PHP?
WordPress, Drupal, TYPO3, Joomla und zahlreiche Shopsysteme nutzen PHP. Entscheidend ist die Server-Laufzeit, nicht das sichtbare CMS.
Welche PHP-Version ist aktiv?
Prüfen Sie im Hosting-Panel oder mit Ihrem Dienstleister, welche Version die produktiven Webanfragen verarbeitet – einschließlich möglicher Security-Backports.
Wer kann das Update einspielen?
Bei Shared Hosting häufig Ihr Anbieter, bei eigenen Servern Ihr Administrator. Vor Änderungen sind Backup und Funktionstests wichtig.
PHP2Shell: Was Sie jetzt wissen müssen.
PHP2Shell bezeichnet zwei kritische Schwachstellen in der PHP-Laufzeit. Die Sicherheitsupdates vom 21. Oktober 2026 schließen die bekannten Lücken in den unterstützten Versionszweigen. Ein aktuelles WordPress, Drupal oder TYPO3 allein ersetzt kein PHP-Update.
Die Lücke liegt in PHP.
Ein WordPress-, Drupal- oder Plugin-Update ersetzt kein Update der PHP-Laufzeit. Auch individuell entwickelte Anwendungen können betroffen sein.
Patchen hat Priorität.
Nur die veröffentlichten PHP-Sicherheitsversionen beziehungsweise nachweislich gepatchte Herstellerpakete beheben die beiden bekannten Lücken. Zusätzliche Sicherheitsmaßnahmen ersetzen den Patch nicht.
Update ist nicht gleich Entwarnung.
Nach der Aktualisierung sind Funktionstests sinnvoll. Besteht ein Verdacht auf einen Vorfall, braucht es zusätzliche Log- und Integritätsprüfungen.
Ob Sie selbst oder Ihr Hoster das PHP-Update durchführen, hängt vom Hostingmodell ab. Lassen Sie den tatsächlichen Patchstand der produktiven Web-PHP-Umgebung bestätigen – nicht nur die Version der Kommandozeile.
AWS dokumentiert PHP2Shell-Angriffsversuche in der eigenen Honeypot-Telemetrie bereits ab dem 17. Oktober 2026 . Das ist kein Beleg für einen Angriff auf eine bestimmte Website, unterstreicht aber die Dringlichkeit schneller Updates und einer gegebenenfalls rückwirkenden Logprüfung.
AWS Threat Intelligence – Beobachtungen zum Angriffsgeschehen ↗PHP2Shell beheben: vier Schritte zur Absicherung.
Technisch sauber vorgehen, statt unkoordiniert Systeme umzustellen. Besonders wichtig sind Backups, Zuständigkeiten und die Prüfung der produktiven Umgebung.
Technische Hilfe anfragen ↗PHP-Installation identifizieren
CMS, Hosting-Tarif und die PHP-Version ermitteln, die tatsächlich Webanfragen verarbeitet. Bei mehreren Sites auch einzelne Pools und Container berücksichtigen.
Patchstatus und Zuständigkeit klären
PHP-Release oder Hersteller-Backport verifizieren. Bei Managed Hosting den Provider einbeziehen; auf eigenem VPS einen Wartungs- und Updateplan festlegen.
Gesichert aktualisieren
Ein verwendbares Backup sicherstellen, Kompatibilität berücksichtigen und dann auf eine gepatchte PHP-Version beziehungsweise ein entsprechendes Sicherheitspaket aktualisieren.
Funktionen und Auffälligkeiten prüfen
Kritische Funktionen testen, Fehlerprotokolle kontrollieren und bei Verdachtsmomenten eine weitergehende Untersuchung veranlassen. Ein Patch entfernt keine bereits bestehende Kompromittierung.
PHP2Shell: Welche PHP-Versionen sind sicher gepatcht?
Diese Releases enthalten die Korrekturen für CVE-2026-109618 und CVE-2026-109619. Ältere Zweige werden nicht mehr regulär vom PHP-Projekt unterstützt; für manche Systeme sind Hersteller-Backports verfügbar.
Stand: 23.10.2026. Bitte tagesaktuell die offiziellen Hinweise und die Paketinformationen Ihres Anbieters prüfen.
| Versionszweig | Ab Release | Status |
|---|---|---|
| PHP 8.2 | 8.2.35 | Gepatcht ✓ |
| PHP 8.3 | 8.3.36 | Gepatcht ✓ |
| PHP 8.4 | 8.4.27 | Gepatcht ✓ |
| PHP 8.5 | 8.5.12 | Gepatcht ✓ |
Die Angaben gelten für die offiziellen PHP-Releases der genannten Zweige. Für distributionsspezifische Pakete kann ein Security-Backport abweichende Versionsbezeichnungen haben. Version allein ist kein Nachweis einer vollständig sicheren Website.
PHP2Shell-Check, Update und technische Nachkontrolle.
Wir unterstützen Website-Betreiber bei der Einordnung, Koordination und Umsetzung der erforderlichen Maßnahmen. Der konkrete Umfang richtet sich nach Systemzugang, Hostingmodell und Zuständigkeiten.
Bestandsaufnahme
CMS, Serverumgebung, verwendete PHP-Versionen und potenzielle Angriffsfläche einordnen.
Patchplan
Updateweg, notwendige Sicherungen, Risiken und Provider-Zuständigkeiten klären.
Update & Tests
Technische Aktualisierung nach Vereinbarung begleiten oder durchführen und Kernfunktionen prüfen.
Nachsorge
Ergebnis dokumentieren, Auffälligkeiten bewerten und weitere Wartungsmaßnahmen ableiten.
Wir können auch bei Systemen unterstützen, die nicht von uns entwickelt wurden – sofern die notwendigen Zugänge und Zuständigkeiten geklärt sind.
PHP2Shell: Entscheidend ist, wer Ihre PHP-Umgebung betreibt.
Ein WordPress- oder Drupal-Update allein schließt die Lücke nicht. Der nächste Schritt hängt davon ab, wo Ihre PHP-Laufzeit ausgeführt wird.
Webhosting mit Verwaltungsoberfläche
Beim Provider den konkreten Patchstand der tatsächlich verwendeten PHP-Version erfragen. Prüfen, ob die Domain bereits eine korrigierte PHP-Version nutzt.
Wichtig: Eine Hoster-Mitteilung ersetzt keinen Check der eigenen Domain.VPS, Root-Server oder eigener Betrieb
Die eingesetzte PHP-Laufzeit einschließlich FPM-Pools, Webserver-Modulen und Container-Images erfassen. Sicherheitsupdates einspielen und den Dienst neu starten.
Wichtig: Backup, Rollback und Funktionstest vorher planen.PHP 8.1 und älter
Das PHP-Projekt liefert dafür keine regulären Sicherheits-Releases. Verfügbare Hersteller-Backports nachweislich prüfen und einen tragfähigen Upgrade-Pfad klären.
Wichtig: Eine alte Versionsnummer allein beweist weder Schutz noch fehlenden Patch.Was soll nach dem Sicherheitscheck feststehen?
Keine pauschale Entwarnung aufgrund eines oberflächlichen Online-Scans: Wir klären den prüfbaren Status und welche Maßnahmen bei Ihrer konkreten Website noch offen sind.
Prüfumfang besprechen ↗System und Zuständigkeit Welche PHP-Laufzeit und welche Hosting-Umgebung sind betroffen?
Nachvollziehbarer Patchstatus Welcher Sicherheitsstand ist tatsächlich belegt?
Dokumentierte nächste Schritte Was muss aktualisiert, geprüft oder mit dem Hoster geklärt werden?
Nachkontrolle nach Vereinbarung Welche Funktionen und Logs müssen geprüft werden?
Die konkrete Prüftiefe und ein schriftliches Ergebnis werden vor Beauftragung vereinbart; ein öffentlich sichtbarer PHP-Check ist kein vollständiger Schwachstellenscan.
Akute Schwachstelle. Dauerhafte Verantwortung.
Eine einzelne Sicherheitslücke ist oft nur der sichtbare Anlass. Technische Website-Sicherheit und laufende Wartung gehören zusammen, verfolgen aber unterschiedliche Ziele.
Website-Sicherheit
Schwachstellen früh erkennen, Update-Stände und Konfigurationen überprüfen, Risiken priorisieren und nachvollziehbar reduzieren.
Mehr über Website-Sicherheit erfahren ↗Website-Wartung
CMS und Erweiterungen kontrolliert aktualisieren, Backups organisieren, Funktion und Verfügbarkeit im Blick behalten.
Mehr über Website-Wartung erfahren ↗Häufige Fragen.
Klare Antworten.
Antworten auf Fragen zur Sicherheitslücke, zu Updates und zum Vorgehen für Website-Betreiber.
Ist meine WordPress- oder Drupal-Website automatisch betroffen?
Nicht automatisch. Entscheidend ist, ob die produktiv eingesetzte PHP-Laufzeit einen wirksamen Patch enthält. Das verwendete CMS allein erlaubt keine sichere Aussage.
Reicht ein WordPress-, Drupal- oder Plugin-Update?
Nein. Die beiden beschriebenen Schwachstellen liegen in PHP selbst. Die PHP-Laufzeit beziehungsweise das Herstellerpaket muss gepatcht werden.
Sind Websites auf Managed Hosting ebenfalls betroffen?
Auch Managed-Hosting-Umgebungen können prinzipiell betroffen gewesen sein. Dort übernimmt in vielen Fällen der Anbieter die Systemupdates. Entscheidend ist die konkrete Bestätigung des Patchstands.
Was ist mit PHP 7.4, 8.0 oder 8.1?
Diese Versionen erhalten vom PHP-Projekt keine regulären Releases mehr. Manche Hersteller liefern Security-Backports. Ohne nachweislichen Patch ist ein Wechsel auf eine unterstützte Version einzuplanen.
Kann eine Firewall die PHP2Shell-Lücke vollständig abwehren?
Nein. Zusätzliche Maßnahmen können einzelne Angriffswege erschweren, ersetzen aber nicht den relevanten PHP-Sicherheitspatch.
Ist mit dem Update alles erledigt?
Der Patch behebt diese bekannten Schwachstellen. Bei Hinweisen auf eine frühere Kompromittierung sind gesonderte Untersuchungen und Bereinigungsmaßnahmen erforderlich.
Wie schnell kann Orange Services helfen?
Wir stimmen Dringlichkeit, Zugänge, Umfang und mögliche Termine individuell ab. Ein pauschales Sofort- oder 24/7-Versprechen geben wir nicht.
Die Informationen basieren auf der offiziellen PHP-Sicherheitsmeldung vom 21. Oktober 2026 und den dazu veröffentlichten Empfehlungen. Veröffentlichung dieser Seite: 22.10.2026. Aktualisiert am 23.10.2026. Fachliche Hinweise werden bei bestätigten neuen Erkenntnissen angepasst.
PHP Security Team – Offizielle Sicherheitsmeldung ↗ · NCSC – PHP-Sicherheitshinweis ↗ · AWS – dokumentierte Angriffsversuche ↗
PHP2Shell-Status klären.
Schnell zu einer fundierten Einschätzung.
Ob akute Sicherheitslücke, technische Absicherung oder laufende Wartung: Beschreiben Sie kurz Ihr Anliegen. Wir stimmen die nächsten Schritte mit Ihnen ab – ohne pauschale Sicherheitsversprechen.
Orange ServicesLeuthener Str. 23c
81476 München