Stand: 22. Oktober 2026
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell die Runde machen. Das Besondere: Die Lücken stecken nicht in WordPress und nicht in einem Plugin, sondern in PHP selbst – also in der Programmiersprache, auf der deine Website läuft.
Heißt: Du kannst WordPress, Theme und alle Plugins auf dem neuesten Stand haben und bist trotzdem angreifbar. In diesem Beitrag erkläre ich dir, was PHP2Shell ist, wie du in zwei Minuten prüfst, ob deine Website betroffen ist, und was du tun solltest, wenn sie es ist.
Keine Zeit, dich da reinzufuchsen? Ich helfe dir gerne bei PHP-Problemen – vom Versions-Check über das Update bis zur Fehlersuche, wenn danach ein Plugin streikt. Schreib mir kurz.
Was ist PHP2Shell?
PHP2Shell ist der Spitzname für zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft (CVSS v4.0).
Über die Lücken kann ein Angreifer ohne Login eigenen Code auf deinem Server ausführen. Damit kann er Daten abgreifen, Inhalte verändern, Spam-Seiten einschleusen oder sich eine Hintertür für später einbauen.
Betroffen sind laut php.net alle PHP-Installationen, die Webseiten ausliefern – egal ob PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Bei mod_php kann der Angriff sogar starten, bevor WordPress überhaupt geladen ist.
Warum ein WordPress-Update hier nicht hilft
WordPress-Updates, Plugin-Updates und Sicherheits-Plugins arbeiten alle innerhalb von WordPress. PHP2Shell sitzt eine Ebene darunter. Die Lücke schließt nur ein Update von PHP – und das macht in der Regel dein Hoster, nicht du.
Das PHP-Team sagt dazu klar: Es gibt keine vollständige Notlösung, nur das Update ist sicher. Firewalls (WAF) können einzelne Angriffe abfangen, sind aber nur eine Überbrückung.
Welche PHP-Versionen sind sicher?
| PHP-Version | Sicher ab | Offizielle Updates bis |
|---|---|---|
| 8.5 | 8.5.12 | 31.12.2029 |
| 8.4 | 8.4.27 | 31.12.2028 |
| 8.3 | 8.3.36 | 31.12.2027 (nur Sicherheitsupdates) |
| 8.2 | 8.2.35 | 31.12.2026 (nur Sicherheitsupdates) |
| 8.1 und älter | kein offizielles Update | ausgelaufen – nur nachgerüstete Fixes einzelner Hoster |
Wichtig ist die Zahl hinter dem zweiten Punkt: 8.3.35 ist zum Beispiel noch angreifbar, 8.3.36 nicht mehr.
So prüfst du deine PHP-Version (Schritt für Schritt)
Im WordPress-Backend:
1. Melde dich in WordPress an.
2. Gehe links auf „Werkzeuge“ → „Website-Zustand“.
3. Öffne oben den Reiter „Info“ und klappe „Server“ auf.
4. Unter „PHP-Version“ steht deine Version, z. B. 8.3.36.
5. Vergleiche sie mit der Tabelle oben.
Liegt deine Version darunter oder bei 8.1 und älter, musst du handeln. Bist du bei STRATO und läufst noch auf einer alten Version, hilft dir meine Anleitung PHP-Version bei STRATO umstellen.
Fünf Fragen an deinen Hoster
Wenn du dir nicht sicher bist, schick deinem Hoster diese Fragen:
1. Welche PHP-Version läuft auf meinem Paket, und enthält sie die Fixes für CVE-2026-109618 und CVE-2026-109619?
2. Wurden nach dem Update alle PHP-Prozesse neu gestartet?
3. Sind auch Testumgebungen, alte Seiten und andere PHP-Anwendungen in meinem Paket aktualisiert?
4. Falls ich noch auf PHP 8.1 oder älter bin: Ist der Fix nachgerüstet, und wann kann ich auf eine unterstützte Version wechseln?
5. Habt ihr eure Logs auf Angriffsversuche geprüft?
Dein Hoster antwortet nicht, oder nach dem PHP-Update ist deine Seite kaputt? Genau dabei helfe ich dir: Ich prüfe die Version, stelle sauber um und behebe Fehler in Theme und Plugins. Schreib mir oder buch dir ein kurzes Gespräch.
Woran du erkennst, dass etwas passiert ist
Ein Update schließt die Tür – es wirft aber niemanden raus, der schon drin ist. Schau dir deshalb auch diese Punkte an:
1. Gibt es Admin-Benutzer, die niemand aus deinem Team angelegt hat?
2. Liegen unbekannte PHP-Dateien im Ordner wp-content/uploads?
3. Leitet deine Seite plötzlich auf fremde Seiten weiter, oder tauchen bei Google Spam-Seiten unter deiner Domain auf?
4. Häufen sich seit Mitte Oktober Fehler, Abstürze oder ungewöhnliche Last?
5. Gibt es geplante Aufgaben (Cronjobs), die du nicht kennst?
Wenn einer dieser Punkte zutrifft, nicht einfach weitermachen: Seite sichern, offline nehmen und von jemandem prüfen lassen, der sich damit auskennt.
Und wenn mein Hoster nicht patcht?
Dann gibt es nur zwei saubere Wege: Seite vorübergehend offline nehmen, bis das Update da ist, oder zu einem Hoster wechseln, der aktuelle PHP-Versionen anbietet. Das empfiehlt zum Beispiel auch das EU-Sicherheitsteam CERT-EU: Was nicht sofort gepatcht werden kann, sollte vom öffentlichen Netz getrennt werden.
Ein Sicherheits-Plugin oder eine Firewall ersetzt das Update nicht. Sie kann Zeit verschaffen, mehr nicht.
Mein Fazit: Ich habe meine Meinung zu Wartung geändert
Zehn Jahre lang habe ich Kunden mit kleinen Websites gesagt: Ein Wartungsvertrag ist nett, aber kein Muss. Wenig Besucher, kaum Risiko – und wenn doch etwas passiert, spielt man ein Backup ein.
Das sehe ich inzwischen anders. Ich habe vor Jahren privat eine Datenbank ohne Absicherung online gestellt – keine zehn Minuten später war sie übernommen. Nicht von einem Menschen, sondern von Bots, die das Netz automatisch nach genau solchen Lücken absuchen. Bei PHP2Shell sind laut Sicherheitsfirmen schon am Tag der Veröffentlichung erste automatisierte Angriffsversuche aufgetaucht.
Diese Bots fragen nicht, wie klein deine Website ist. Deshalb gilt heute: Jede Website braucht jemanden, der Updates – auch von PHP – im Blick hat. Ob das dein Hoster, deine IT oder ein Wartungsvertrag ist, ist zweitrangig. Hauptsache, es ist jemand.
Ich helfe dir bei PHP-Problemen
Ob PHP2Shell, ein veraltetes PHP bei deinem Hoster oder eine Website, die nach dem Update nicht mehr läuft: Ich schaue mir das an und sage dir ehrlich, was zu tun ist. Schreib mir an mail@roehler.nrw oder buch dir ein kurzes Gespräch. Wenn du dich dauerhaft nicht mehr um Updates kümmern willst, findest du hier meine WordPress-Wartung.