PHP2Shell: Ist deine Website betroffen? Das kannst du jetzt tun

Seit dem 21. Oktober 2026 gibt es zwei kritische Sicherheitslücken in PHP, zusammen als „PHP2Shell“ bekannt. Falls du eine Website hast und gerade ein mulmiges Gefühl bekommst: Das ist verständlich, aber kein Grund zur Panik. In diesem Beitrag zeige ich dir, wie du in wenigen Minuten herausfindest, ob dich das betrifft, und was du dann tun kannst.

Was ist passiert?

PHP ist die Programmiersprache, die auf dem Server läuft und zum Beispiel WordPress antreibt. Laut Cloudflare nutzen knapp 70 Prozent aller Websites PHP. Das PHP-Projekt hat am 21. Oktober ein Sicherheitsupdate veröffentlicht, das zwei Lücken schließt: CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten (CVSS 4.0) bewertet, also kritisch.

Vereinfacht gesagt geht es um Folgendes: Wenn PHP bei einer Anfrage zu wenig Arbeitsspeicher hat und mitten in der Arbeit abbricht, bleiben halb fertige Daten zurück. Die Aufräumroutine behandelt sie dann, als wären sie in Ordnung. Bei der zweiten Lücke bleibt ein veralteter Zustand im Speicher, den die nächste Anfrage im selben Arbeitsprozess unbemerkt weiterverwendet. Im ungünstigen Fall kann ein Angreifer dadurch ohne Login fremden Code auf dem Server ausführen.

Wichtig: Der Fehler steckt im PHP-Kern, nicht in WordPress und nicht in einem Plugin. Ein Plugin- oder WordPress-Update ändert deshalb nichts. Nur ein Update von PHP selbst schließt die Lücke. Das BSI hat eine Warnung herausgegeben. Amazon und Cloudflare haben Angriffsversuche beobachtet, Amazon schon am 17. Oktober, vier Tage vor der Veröffentlichung. Ob solche Versuche erfolgreich waren, ist offen: Dem BSI war am 22. Oktober noch keine erfolgreiche Ausnutzung in der Breite bekannt. Sicherheitsfirmen wie Wiz haben gezeigt, dass Angriffe technisch funktionieren. Deshalb lohnt sich das Nachsehen jetzt.

Bin ich betroffen?

Das hängt davon ab, wie deine Website technisch aufgebaut ist. Drei typische Fälle:

• Statische Website ohne PHP: Deine Seite besteht nur aus HTML, CSS und Bildern. Dann ist sie von dieser Lücke nicht betroffen (zum Unterschied zwischen statischen Seiten und WordPress: Eigener Code vs. WordPress vs. Baukästen). Prüf trotzdem kurz, ob auf dem Hosting irgendwo noch PHP-Dateien liegen, etwa ein altes Kontaktformular.
• WordPress oder andere PHP-Seite bei einem Hoster (Shared Hosting): Hier läuft PHP, und du bist grundsätzlich betroffen, solange dein Hoster nicht gepatcht hat. Das PHP-Update spielt in der Regel der Hoster ein, du kannst aber oft die PHP-Version im Kundenmenü selbst wählen.
• Eigener Server (vServer, Root-Server): Dann bist du selbst für das Update zuständig. Das PHP-Projekt sieht das Risiko bei Apache mit mod_php am höchsten, weil dort schon eine einzelne Anfrage ohne Login genügen kann, bevor irgendein Programmcode deiner Seite läuft.

Gepatcht sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 und neuer. PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. PHP 8.2 bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wenn dein Hosting noch auf so einer alten Version läuft, ist ein Wechsel auf eine aktuelle Version sinnvoll, und zwar unabhängig von dieser Lücke.

Was du jetzt tun kannst: die Checkliste

1. Hoster-Status prüfen. Schau auf die Statusseite deines Hosters oder frag per Mail nach, ob die Lücke CVE-2026-109618 und CVE-2026-109619 behoben ist. Schau zuerst in dein Postfach: Viele Hoster haben ihre Kundinnen und Kunden schon per Mail informiert. Melde dich zum Prüfen lieber direkt im Kundenmenü an, statt auf Links in solchen Mails zu klicken. Am sichersten ist eine schriftliche Bestätigung. Bei welchem Hoster deine Seite liegt, steht in deinem Vertrag oder im Kundenmenü.
2. Die Version wirklich nachweisen. Die Anzeige im Kundenmenü ist nicht immer ein sicherer Beleg. Manche Hoster und Linux-Distributionen spielen den Fix ein, ohne dass sich die Versionsnummer ändert. Du kannst es prüfen: Lade eine Datei mit nur einer Zeile hoch, <?php echo PHP_VERSION;, rufe sie im Browser auf, notiere die Zahl und lösche die Datei sofort wieder. Steht dort eine der gepatchten Versionen oder eine neuere, ist alles gut. Steht dort etwas Älteres, frag beim Hoster nach, ob der Fix zurückportiert wurde.
3. PHP-Version im Kundenmenü anheben. Wähle die neueste Version, die deine Website verträgt. Prüf danach kurz, ob alles noch funktioniert. Bei älteren WordPress-Seiten kann ein Backup davor nicht schaden.
4. Zugangsdaten vorsorglich wechseln. Eine der Varianten, die Wiz beschreibt, kann Inhalte aus dem Arbeitsspeicher von PHP auslesen, auch Passwörter und Zugangsschlüssel. Wenn PHP bei dir ein Passwort im Speicher hält, zum Beispiel das Postfach-Passwort deines Kontaktformulars, ändere es. Das kostet fünf Minuten und nimmt dem Thema die Schärfe.
5. Aufräumen. Lösche alte, ungenutzte PHP-Dateien, alte WordPress-Reste und Testdateien. Wer nichts Altes herumliegen hat, bietet weniger Angriffsfläche. Wirf außerdem einen Blick auf unbekannte Dateien und neue Admin-Nutzer. Ein Patch entfernt keine Hintertür, die vorher schon eingebaut wurde.
6. Updates insgesamt im Blick behalten. Plugins und WordPress selbst helfen hier zwar nicht, bleiben aber wichtig. Mehr dazu in meinem Beitrag Website ohne Pflege: Was wirklich passiert.

Cloudflare als Zusatz, nicht als Ersatz

Wenn deine Seite hinter Cloudflare liegt, hast du einen zusätzlichen Schutz. Cloudflare hat nach eigenen Angaben seit dem 21. Oktober 2026, 3:02 Uhr UTC, Schutzregeln ausgerollt, die auch im kostenlosen Plan automatisch gelten. Du musst dafür nichts einstellen. Cloudflare betont aber selbst, dass man PHP trotzdem patchen soll. Eine solche Firewall fängt bekannte Angriffsmuster ab, sie repariert die Lücke aber nicht. Sieh sie als Gürtel zusätzlich zum Hosenträger.

Was ich bei meiner eigenen Seite gemacht habe

Meine eigene Website besteht aus statischen Seiten, PHP läuft dort nur für das Kontaktformular. Ich habe sie trotzdem geprüft und im Menü meines Hosters auf die neueste PHP-Version gestellt. Dann habe ich mit einer kleinen Prüfdatei nachgesehen, welche Version tatsächlich läuft: 8.5.12, also eine gepatchte. Die Datei habe ich direkt wieder gelöscht. Dazu kam die schriftliche Bestätigung meines Hosters per Mail, dass das Update auf allen Projekten eingespielt ist. Zusätzlich habe ich das Postfach-Passwort des Kontaktformulars vorsorglich gewechselt.

Die Seiten, die ich betreue, habe ich ebenfalls durchgesehen. Statische Seiten ohne PHP sind nicht betroffen. Mehr war es nicht, aber genau das ist der Punkt: Nachsehen kostet wenig, und danach weißt du es.

Fazit

PHP2Shell ist ernst, aber gut beherrschbar. Prüf, ob auf deinem Hosting PHP läuft, lass dir den Patch bestätigen oder weise die Version selbst nach, wechsle vorsorglich die Passwörter, die PHP kennt, und räum alte Dateien weg. Wenn du bei einem Schritt unsicher bist, kannst du dich gern bei mir melden.

Häufige Fragen

Reicht es, WordPress und meine Plugins zu aktualisieren?

Nein. Die Lücken stecken im PHP-Kern, nicht in WordPress oder in einem Plugin. Ein Update von WordPress oder Plugins ändert daran nichts. Nur ein Update von PHP selbst schließt sie. Bei Shared Hosting spielt das in der Regel dein Hoster ein.

Ist meine Website sicher, wenn sie nur aus HTML besteht?

Ja, wenn auf dem Hosting wirklich kein PHP läuft, ist sie von dieser Lücke nicht betroffen. Prüf aber, ob irgendwo noch PHP-Dateien liegen, zum Beispiel ein altes Kontaktformular. Auch solche Dateien nutzen PHP.

Schützt mich Cloudflare, auch im kostenlosen Plan?

Cloudflare hat nach eigenen Angaben seit dem 21. Oktober 2026 Schutzregeln für alle Pläne ausgerollt, auch für den kostenlosen. Du musst dafür nichts einstellen. Cloudflare empfiehlt aber selbst, PHP trotzdem zu patchen. Die Firewall ist ein zusätzlicher Schutz und kein Ersatz für das Update.

Woran erkenne ich, ob mein Hoster den Patch eingespielt hat?

Am sichersten ist eine schriftliche Bestätigung des Hosters. Alternativ kannst du die laufende Version mit einer kurzen Prüfdatei auslesen, die du sofort wieder löschst. Die Anzeige im Kundenmenü allein ist nicht immer ein sicherer Beleg, weil einige Anbieter Fixes zurückportieren, ohne die Versionsnummer zu ändern.

Muss ich wirklich Passwörter wechseln?

Es ist eine Vorsichtsmaßnahme. Eine Variante der Lücke kann nach Angaben von Wiz Inhalte aus dem PHP-Arbeitsspeicher auslesen, darunter Passwörter und Zugangsschlüssel. Wechsle deshalb Zugangsdaten, die PHP bei dir im Speicher hält, etwa das Postfach-Passwort deines Kontaktformulars.

Was ist, wenn mein Hosting noch PHP 8.1 oder älter nutzt?

Diese Versionen bekommen vom PHP-Projekt keine regulären Updates mehr. Auch 8.2 läuft Ende 2026 aus. Manche Hoster liefern eigene Fixes nach. Frag deshalb nach, ob das bei dir der Fall ist, oder wechsle auf eine aktuelle, gepatchte Version.