Was ist PHP2Shell?
PHP2Shell ist die Bezeichnung für zwei Schwachstellen im Kern von PHP, CVE-2026-109618 und CVE-2026-109619. Das PHP-Sicherheitsteam bewertet beide mit einem CVSS-Score von 9,2, also als kritisch. Über beide Lücken kann ein Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen.
Die Details standen eigentlich noch unter Verschluss, wurden aber am 20. Oktober vorzeitig öffentlich. Das PHP-Team hat daraufhin für den 21. Oktober ein Notfall-Release angekündigt und die Patches am Nachmittag veröffentlicht. Laut Fachmedien ist inzwischen ein Exploit öffentlich verfügbar, und es werden bereits Angriffe beobachtet.
Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Webanfragen verarbeiten. Das gilt für die üblichen Server-Varianten wie PHP-FPM oder Apache mit mod_php. Bei mod_php ist das Risiko am höchsten.
Warum Sicherheitslücken heute schneller ausgenutzt werden
Bei PHP2Shell war ein Exploit weniger als einen Tag nach dem Leak öffentlich. Das passt zu einer Entwicklung, die Sicherheitsforscher seit Monaten beschreiben. KI-Modelle können grosse Mengen Code analysieren, Schwachstellen finden und funktionierende Angriffe erzeugen. Trend Micro geht davon aus, dass sich die Zeit zwischen der Veröffentlichung einer Lücke und ihrer Ausnutzung dadurch von Wochen auf Stunden verkürzen kann. Gleichzeitig steigt die Zahl der gemeldeten Schwachstellen. Im ersten Halbjahr 2026 waren es laut Forescout 37’137, rund 51 Prozent mehr als im Vorjahr.
Dass es auch grosse Organisationen trifft, haben die letzten Wochen gezeigt. Beim Online-Marktplatz Ricardo wurden Anfang Oktober Namen, Adressen und Telefonnummern von rund 890’000 Konten abgegriffen, wie SRF berichtet. In Dänemark verschafften sich Angreifer über den Zugang eines berechtigten Unternehmens Daten von rund 8,8 Millionen Menschen aus dem zentralen Personenregister, wie die NZZ meldet. Wie genau diese Angriffe abliefen, ist nicht vollständig bekannt. Sie zeigen aber, dass selbst Organisationen mit eigenen Sicherheitsteams getroffen werden. Umso wichtiger ist es, bekannte Lücken auf der eigenen Website schnell zu schliessen.
Warum ein WordPress-Update nicht hilft
WordPress, Themes und Plugins sind in PHP geschrieben. PHP selbst läuft eine Ebene darunter auf dem Server. Die Lücke sitzt genau in dieser unteren Ebene.
Deshalb ist auch eine komplett aktuelle WordPress-Installation angreifbar, solange das PHP darunter nicht gepatcht ist. Forschende haben die Lücke sogar an einer frischen WordPress-Installation vorgeführt.
Für dich heisst das, die entscheidende Frage ist nicht, ob dein WordPress aktuell ist. Entscheidend ist, welche PHP-Version auf deinem Server läuft und wer sie aktualisiert.
So prüfst du, ob deine Website betroffen ist
1. PHP-Version in WordPress nachschauen
Melde dich im WordPress-Backend an und öffne Werkzeuge → Website-Zustand → Info → Server. Dort steht die PHP-Version, mit der deine Website läuft. Vergleiche sie mit dieser Tabelle.
| Versionslinie | Gepatcht ab | Status |
| PHP 8.5 | 8.5.12 | aktiv unterstützt bis 31.12.2027 |
| PHP 8.4 | 8.4.27 | aktiv unterstützt bis 31.12.2026 |
| PHP 8.3 | 8.3.36 | Sicherheitsupdates bis 31.12.2027 |
| PHP 8.2 | 8.2.35 | Sicherheitsupdates nur noch bis 31.12.2026 |
| PHP 8.1 und älter | kein reguläres Update | vom PHP-Projekt nicht mehr unterstützt |
Quelle php.net, Stand 21. Oktober 2026.
2. Nicht nur auf die Versionsnummer schauen
Viele Hoster arbeiten mit Linux-Distributionen, die Sicherheitskorrekturen in bestehende Pakete einbauen. Die Versionsnummer bleibt dann gleich, obwohl der Patch drin ist. Das BACS weist ausdrücklich darauf hin, dass die genaue Paketversion und die Angaben des Anbieters massgebend sind. Nach dem Update müssen ausserdem die PHP-Dienste neu gestartet werden, sonst läuft weiter der alte Code.
3. Beim Hoster nachfragen
Auf einem normalen Hosting kannst du PHP nicht selbst patchen. Das macht dein Hoster. Frag nach, ob der Patch eingespielt ist und die PHP-Dienste neu gestartet wurden, und lass dir das bestätigen. Bei spezialisierten WordPress-Hostern passiert das meist auf Plattformebene, ohne dass du etwas tun musst. Nachfragen lohnt sich trotzdem.
Was du in diesen Tagen auf Websites beobachten kannst
Nicht jede Störung ist ein Angriff. Viele Hoster und Organisationen reagieren mit Vorsichtsmassnahmen, die sich direkt auf Websites auswirken.
- Website offline. Einige Organisationen haben Websites vorsorglich vom Netz genommen, bis der Patch eingespielt war.
- Formulare und Uploads gehen nicht mehr. Manche Hoster haben Uploads über Formulare vorübergehend gesperrt, weil das einen Angriffsweg abschneidet.
- Kritischer Fehler nach dem PHP-Wechsel. Hebt ein Hoster eine alte PHP-Version an, vertragen ältere Themes oder Plugins das oft nicht. WordPress zeigt dann die Meldung «Es gab einen kritischen Fehler auf deiner Website».
Wie du eine Website nach einem PHP-Wechsel wieder zum Laufen bringst, zeigen wir dir im Ratgeber WordPress PHP-Version aktualisieren.
Was du jetzt tun solltest
Aktualisiere deine Website auf PHP 8.2 oder neuer.
Sorg dafür, dass die gepatchte Version läuft, und lass dir das vom Hoster bestätigen. Bei PHP 8.2 planst du den Wechsel auf 8.3 oder neuer am besten gleich mit ein. Die Sicherheitsupdates für 8.2 enden am 31. Dezember 2026.
Update PHP 8.1, 8.0 oder 7.4 so schnell wie möglich
Für diese Versionen veröffentlicht das PHP-Projekt keine regulären Updates mehr. Einige Linux-Distributionen und Anbieter mit Langzeitsupport liefern eigene Korrekturen, und das PHP-Team hat minimale Quellcode-Korrekturen für Spezialfälle bereitgestellt. Für eine normale Unternehmenswebsite ist das keine Lösung auf Dauer. Der richtige Schritt ist der Wechsel auf eine unterstützte PHP-Version.
Genau hier wird es bei älteren Websites heikel. Themes und Plugins, die seit Jahren nicht mehr gepflegt werden, laufen oft nicht mit PHP 8.3. Dann musst du entweder den Code anpassen lassen oder über einen Website-Relaunch nachdenken.
Mehr Infos findest du auf unserer WordPress-Notfall-Seite.
Wenn ein Update nicht sofort möglich ist
Das BACS rät, den Zugriff auf betroffene Anwendungen einzuschränken und bei kritischen Systemen eine vorübergehende Trennung vom Internet zu prüfen. Übergangslösungen reduzieren einzelne Angriffswege, ersetzen das Update aber nicht. Auch eine Web Application Firewall allein genügt laut BACS nicht.
Nach dem Update auf Spuren prüfen
Ein Patch schliesst die Lücke, entfernt aber keinen Schadcode, der schon vorher eingeschleust wurde. Achte auf unbekannte Admin-Konten, neue Dateien, ungewohnte Weiterleitungen oder fremde Seiten im Google-Index. Was du bei solchen Anzeichen tust, steht in unserem Beitrag Was tun, wenn deine WordPress-Website gehackt wurde?
Zusätzlicher Schutz durch Cloudflare
Eine Web Application Firewall, kurz WAF, prüft Anfragen an deine Website, bevor sie den Server erreichen, und blockiert bekannte Angriffsmuster. Bei PHP2Shell hat sich das bewährt. Cloudflare hat am 21. Oktober ab 3 Uhr UTC automatisch Schutzregeln gegen beide Lücken ausgerollt, rund elf Stunden bevor das PHP-Projekt die Patches veröffentlichte. Der Schutz gilt für alle Pläne, auch für den kostenlosen. Neu prüft Cloudflare dabei nicht nur die Anfrage, sondern auch die Antwort des Servers und kann so einen erfolgreichen Angriff noch abfangen.
Alle Websites, die wir betreuen, laufen über Cloudflare im Enterprise-Plan. Bei ihnen griffen die Schutzregeln, während viele Hoster noch auf den Patch warteten.
Wichtig bleibt die Einordnung. Cloudflare betont selbst, dass die WAF eine zusätzliche Schutzschicht ist und das PHP-Update nicht ersetzt. Das sieht auch das BACS so.
Warum PHP-Updates zur Wartung gehören
PHP2Shell zeigt, wie viel unter der Oberfläche einer Website passiert. Plugin-Updates allein reichen nicht. PHP-Version, Server, Firewall und Backups gehören genauso dazu. Wer das laufend im Blick hat, muss in einer Situation wie dieser nicht improvisieren.
Wir betreuen über 100 WordPress-Websites und kümmern uns in unserer WordPress-Wartung um Updates, Backups und Sicherheit. Läuft deine Website gerade nicht oder bist du unsicher, ob sie betroffen ist, hilft dir unser WordPress-Notfalldienst. Wir übernehmen auch Websites, die wir noch nicht kennen.
