PHP-Webserver sollten unverzüglich auf ihren Schutzstand geprüft werden. Die Updates vom 21. Oktober schließen zwei kritische Lücken. Seit dem 23. Oktober gibt es einen zusätzlichen Konfigurationshinweis. Eine normal erreichbare Website beweist nicht, dass sie geschützt ist.
Der aktuelle Vorfall
Was steckt hinter PHP2Shell?
Am 21. Oktober 2026 veröffentlichte das PHP-Team Sicherheitsupdates für CVE-2026-109618 und CVE-2026-109619. Die beiden Lücken können es Angreifern ermöglichen, ohne Anmeldung Code auf einem betroffenen Webserver auszuführen.
Betroffen ist die PHP-Laufzeit auf dem Server. Es handelt sich nicht um eine einzelne WordPress-Erweiterung. Die technischen Schwachstellen betreffen die Speicherbehandlung und Zustände zwischen Webanfragen. Quellen: PHP-Advisory zur ersten Lücke und zur zweiten Lücke.
Die wichtigste Betreiberfrage
Welche Websites können betroffen sein?
Laut PHP-Projekt sind PHP-Installationen gefährdet, die Webanfragen verarbeiten. Genannt werden unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das tatsächliche Risiko hängt auch von Konfiguration und Anwendung ab.
Wer WordPress oder ein anderes PHP-System betreibt, sollte den Hoster einbeziehen. Ein aktuelles CMS allein belegt keinen aktuellen PHP-Patchstand. Eine Website, deren Betrieb vollständig ohne PHP auskommt, ist durch diese PHP-Lücken nicht unmittelbar betroffen. Lassen Sie die tatsächliche Hostingumgebung prüfen. Quelle: PHP-Sicherheitsmeldung.
Beobachtungen statt Vermutungen
Gab es bereits Angriffsversuche?
Ja. AWS berichtet von PHP2Shell-Versuchen gegen seine MadPot-Sensoren seit dem 17. Oktober, also vor der öffentlichen Bekanntgabe. Nach der Veröffentlichung beobachtete AWS weitere, verbreitete Versuche.
Der Bericht lässt offen, ob die untersuchten Versuche gegen reale Systeme erfolgreich gewesen wären. Eine bekannte Schwachstelle bedeutet deshalb nicht automatisch, dass Ihre Website bereits gehackt wurde. Ein unauffälliger Auftritt beweist ebenso wenig das Gegenteil. Quelle: AWS Threat Intelligence, 21.10.2026.
Sicherheitsupdates vom 21. Oktober
Welche PHP-Versionen schließen die beiden Lücken?
| Zweig | Korrektur ab | Ältere Patchstände |
|---|---|---|
| PHP 8.2 | 8.2.35 | prüfen und aktualisieren |
| PHP 8.3 | 8.3.36 | prüfen und aktualisieren |
| PHP 8.4 | 8.4.27 | prüfen und aktualisieren |
| PHP 8.5 | 8.5.12 | prüfen und aktualisieren |
Quelle: Cyber Centre, aktualisiert am 23.10.2026. Hoster und Distributionen können Korrekturen zurückportieren; lassen Sie sich den Schutz bestätigen. Für PHP 8.1 und ältere Zweige gibt es keinen regulären PHP-Projektsupport mehr.
Zusätzlicher Hinweis vom 23. Oktober
Warum der Patchstand allein noch nicht jede Frage beantwortet.
PHP meldete zusätzlich CVE-2026-115560. Dieser Sonderfall ist durch die Updates vom 21. Oktober nicht behoben. Er setzt eine ungewöhnliche Kombination aus Session-Konfiguration und Anwendungscode voraus.
Das PHP-Team empfiehlt bis zum nächsten regulären Bugfix, Session Upload Progress zu deaktivieren: session.upload_progress.enabled=0. Lassen Sie die Umsetzung und die Relevanz für Ihre Anwendung vom Hoster prüfen. Quelle und genaue Voraussetzungen: PHP-Hinweis vom 23.10.2026.
Konkrete nächste Schritte
Was Websitebetreiber jetzt tun sollten.
1. Hoster kontaktieren
Fragen Sie nach dem tatsächlichen PHP-Patchstand und dem Schutz gegen alle drei genannten CVEs. Nennen Sie Ihre Domain und bitten Sie um eine konkrete Bestätigung.
2. Sicherung bereithalten
Website-Dateien, Datenbank und Wiederherstellungsweg prüfen lassen. Das gehört zur Vorbereitung; notwendige Sicherheitskorrekturen sollten dabei nicht auf unbestimmte Zeit verschoben werden.
3. Geprüft aktualisieren
Den korrigierten Patchstand einspielen lassen und nötige Konfiguration beachten. Größere Versionswechsel vorher auf Kompatibilität prüfen. Ein Security-Patch und ein Wechsel des PHP-Zweigs sind unterschiedliche Schritte.
4. Funktion kontrollieren
Anmeldung, Formulare und vorhandene Buchungs- oder Shopwege nach dem Update prüfen. Ein HTTP-200-Status der Startseite reicht als Funktionsnachweis nicht.
5. Auffälligkeiten untersuchen
Bei Verdacht Protokolle und vorhandene Spuren fachlich prüfen lassen. Ein Update schließt eine Lücke, beseitigt aber nicht automatisch die Folgen eines bereits erfolgten Einbruchs.
Häufig gesucht
Fragen zu PHP2Shell und WordPress.
Reicht ein WordPress-Update gegen die PHP-Lücken?
Ein WordPress-Update ersetzt kein Update der PHP-Laufzeit. Dafür ist in vielen Hostingpaketen der Hoster zuständig. CMS, Erweiterungen und PHP müssen zusammenpassen und gepflegt werden.
Ist PHP 8.2 oder 8.3 grundsätzlich unsicher?
Entscheidend sind der tatsächliche Patchstand und die passende Konfiguration. Für die beiden ursprünglichen PHP2Shell-Lücken sind 8.2.35 und 8.3.36 die genannten Fixversionen. Der zusätzliche Sonderfall vom 23. Oktober ist separat zu beachten.
Ist die Website sicher, wenn sie normal funktioniert?
Daraus lässt sich kein Schutzstatus ableiten. Ein erfolgreicher Angriff kann ohne auffällige Änderung der Startseite stattfinden. Prüfen lassen sollten Sie den technischen Stand; bei konkretem Verdacht auch Protokolle und andere Spuren.
Die Website funktioniert nach dem PHP-Update nicht mehr. Was jetzt?
Lassen Sie die Fehlerprotokolle und die Kompatibilität von CMS, Erweiterungen und eigenem Code prüfen. Nutzen Sie mit dem Betreuer den vorbereiteten Rückweg, ohne eine verwundbare Altversion als Dauerlösung zu belassen. Unser PHP-Grundlagenratgeber erklärt den Update-Ablauf.
Kann eine Sicherheitsprüfung einen Einbruch sicher ausschließen?
Eine Prüfung kann den Stand und vorhandene Befunde klären. Fehlende Auffälligkeiten sind kein lückenloser Beweis, dass nie ein Einbruch stattgefunden hat. Umfang und Aussagekraft hängen unter anderem von den verfügbaren Protokollen ab.
Wenn sich bisher niemand kümmert
PHP-Updates brauchen einen festen Ansprechpartner.
Wer übernimmt den Patch, wer testet die Website und wer kümmert sich beim nächsten Hinweis? Genau diese Zuständigkeit sollte nach dem aktuellen Vorfall geklärt sein.
acessio bietet Website-Betreuung für 99 € im Monat: Hosting, Sicherheitsupdates, regelmäßige Sicherungen und Änderungen bis 30 Minuten monatlich. Ob Ihre Website direkt übernommen werden kann oder vorher zusätzliche Arbeiten nötig sind, klären wir vorab.
Website-Betreuung ansehenLeistungen, Bedingungen und Terminweg auf der Betreuungsseite. Keine pauschale Sicherheitsgarantie.
Primärquellen und redaktioneller Stand
Stand: 24.10.2026. Redaktion: acessio. Eigene Symbolzeichnungen. Die Handlungsschritte sind unsere praktische Einordnung für Websitebetreiber.