PHP2Shell: Was die kritische PHP-Lücke für deine Website bedeutet

Kurz gesagt: Am 21. Oktober 2026 hat PHP zwei kritische Lücken im Kern geschlossen, bekannt als „PHP2Shell“. Angreifer können damit eigenen Code auf einem Webserver ausführen, ohne Passwort. Fast jede WordPress-, Joomla-, TYPO3- oder Drupal-Seite läuft auf PHP. Hast du so eine Seite, prüf, ob dein Hoster PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 eingespielt hat, oder ein Paket deiner Linux-Distribution mit dem Fix.

Die Universität Wien hat am selben Tag vorsorglich Websites, Webmail, Moodle und u:cloud vom Netz genommen. Angriffe auf ihre Systeme hat sie nicht festgestellt. Auch mehrere Nachrichtenseiten in Niederösterreich waren zeitweise nicht erreichbar.

Was passiert ist

PHP hat das Update am Abend des 20. Oktober angekündigt und am 21. Oktober gegen 15:35 Uhr österreichischer Zeit veröffentlicht. Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. PHP bewertet beide mit 9,2 von 10 (CVSS 4.0).

• CVE-2026-109618: Wenn PHP der Speicher ausgeht, bleiben interne Daten einer Anfrage halb fertig zurück.
• CVE-2026-109619: Daten einer Anfrage werden nicht ganz gelöscht und landen in der nächsten.

Laut CERT-EU kann ein Angreifer das kombinieren und aus der Ferne Code ausführen, ohne sich anzumelden. PHP beschreibt einen Angriff, der greift, bevor die Website-Anwendung überhaupt startet. Deshalb hilft ein Update von WordPress oder einem Plugin nicht.

Wer betroffen ist

Jede PHP-Installation, die Webanfragen beantwortet: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht PHP bei Apache mit mod_php.

Linux-Distributionen bauen Fixes oft in ältere Pakete ein. Ein Server kann also eine alte Versionsnummer zeigen und trotzdem sicher sein, oder umgekehrt. Sicher sagen kann es nur dein Hoster oder wer deinen Server betreut.

Nicht betroffen sind Seiten ohne PHP, etwa statische Seiten oder Seiten auf Next.js. Unsere eigene Seite und unsere Kunden-Websites laufen auf Next.js und ohne PHP.

Gibt es schon Angriffe?

Die Berichte gehen auseinander. CERT.at meldet, dass Angriffscode im Netz aufgetaucht ist, ob er funktioniert, ist nicht bestätigt. Patchstack berichtet von aktiven Angriffen bei mehreren Hosting-Partnern, Cloudflares Technikchef spricht von ersten Attacken. Das niederländische NCSC und die PHP Foundation hatten bis zum Abend des 21. Oktober keinen Missbrauch beobachtet. Bei einer Lücke dieser Schwere solltest du davon ausgehen, dass Angriffe folgen.

Was du jetzt tun solltest

1. PHP-Version prüfen. In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Oder im Kundenbereich deines Hosters.
2. Zuständigkeit klären. Bei normalem Hosting aktualisiert der Hoster PHP. Beim eigenen Server, wer ihn betreut.
3. Schriftlich bestätigen lassen. Frag deinen Hoster, ob CVE-2026-109618 und CVE-2026-109619 geschlossen sind.
4. Umstieg von PHP 8.1 oder älter planen. Vorher ein Backup, danach die wichtigsten Seiten prüfen. Auch PHP 8.2 bekommt nur noch bis 31. Dezember 2026 Sicherheitsupdates.
5. Geht das Update nicht sofort: Cloudflare hat Notfall-Regeln für die Firewall, auch im Gratis-Tarif. Sie schützen nur Verkehr, der über Cloudflare läuft, und ersetzen das Update nicht.

Was das langfristig über deine Website sagt

Die Lücke selbst ist mit einem Update geschlossen. Wichtiger ist die Frage, wer es beim nächsten Mal merkt. Eine WordPress-Seite hängt an PHP, einer Datenbank, einem Theme und oft 20 bis 30 Plugins, und jede Schicht braucht Updates. Laut Patchstack wurden 2025 im WordPress-Umfeld 11.334 neue Schwachstellen gemeldet, 91 % davon in Plugins.

Eine Next.js-Seite hat kein PHP, keinen öffentlichen Admin-Login und keine Datenbank, die Besucher erreichen. Immun ist sie deshalb nicht: Auch ihre Bausteine brauchen Updates. Es gibt aber viel weniger Schichten, die brechen können. Wann sich ein Neuaufbau lohnt und wann WordPress die bessere Wahl bleibt, steht in unserem Leitfaden WordPress zu Next.js. Wie der Umzug ohne Ranking-Verlust läuft, zeigt unsere Seite zur PHP-Migration.

Geschrieben vonChristoph SpeiserProjektleitung & Vertrieb

Lern das Team kennen →