PHP2Shell: Was Webseitenbetreiber jetzt tun müssen

Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Lücken veröffentlicht. In der Fachwelt heißen sie „PHP2Shell“ – angelehnt an „Log4Shell“ von 2021. Betroffen ist nicht ein einzelnes Plugin, sondern PHP selbst: die Programmiersprache, auf der WordPress, WooCommerce, Joomla, TYPO3 und unzählige eigene Webanwendungen laufen.

Hier fassen wir zusammen, was bekannt ist, ob Ihre Website betroffen ist, wer das Update einspielen muss und was Sie als Betreiberin oder Betreiber heute tun sollten – verständlich, ohne Fachchinesisch. Stand dieses Artikels: 21. Oktober 2026, abends. Die Lage entwickelt sich schnell; wir aktualisieren den Beitrag, wenn sich Wesentliches ändert.

Was ist PHP2Shell und was ist passiert?

Am 20. Oktober 2026 kündigte das PHP-Sicherheitsteam auf php.net ein Sicherheitsupdate für den Folgetag an. Beide Lücken sind nach dem Bewertungssystem CVSS 4.0 mit 9,2 von 10 Punkten eingestuft. Noch bevor das Update erschien, gelangten erste Details an die Öffentlichkeit: Der Sicherheitsforscher Kevin Beaumont meldete, dass die Lücken vorab geleakt wurden, und Will Dormann wies auf einen Nachweis-Angriff (Proof of Concept) namens „php2shell“ hin, der gegen WordPress funktioniert.

Laut CERT-EU, der IT-Sicherheitsstelle der EU-Institutionen, erschienen die Updates am 21. Oktober 2026 um 13:30 UTC (15:30 Uhr deutscher Zeit) – etwas früher als ursprünglich angekündigt. Das BSI hat am selben Tag einen Sicherheitshinweis der zweithöchsten Stufe „Orange“ veröffentlicht: Maßnahmen sollen unverzüglich ergriffen werden.

Beide Lücken erlauben nach Angaben des PHP-Projekts, ohne Login eigenen Code auf dem Webserver auszuführen. Besonders brisant: Ein einziger präparierter Aufruf kann den Angriff auslösen, bevor WordPress, der Shop oder Ihre Anwendung überhaupt starten. Ein Sicherheits-Plugin innerhalb von WordPress kann deshalb nicht zuverlässig schützen.

Warum ist die Lücke so gefährlich?

Wer Code auf dem Server ausführen kann, hat die Website praktisch übernommen. Typische Folgen solcher Einbrüche sind:

• Datendiebstahl: Kundendaten, Bestellungen, Formulareingaben oder Zugangsdaten werden ausgelesen.
• Versteckte Hintertüren („Web-Shells“), über die Angreifer später jederzeit wiederkommen.
• Spam und Phishing vom eigenen Server – mit dem Risiko, dass Ihre Domain auf Sperrlisten landet und E-Mails nicht mehr ankommen.
• Umleitungen und Schadcode auf der Website, die Besucher gefährden und Google-Rankings kosten.

Die Zeit drängt: Nach Einschätzung des BSI ist eine breite Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches wahrscheinlich. Laut dem Sicherheitsunternehmen Sansec hat Cloudflare bereits am Morgen des 21. Oktober erste Angriffsversuche beobachtet und Filterregeln für seine Kunden aktiviert. CERT-EU berichtet, dass erste Angriffs-Beispiele kursieren. Mehrere Organisationen, darunter Einrichtungen in den Niederlanden und einige Kommunen, haben ihre PHP-Websites vorsorglich vom Netz genommen.

Welche Websites und PHP-Versionen sind betroffen?

Kurz gesagt: jede Website, bei der PHP Anfragen aus dem Internet verarbeitet. Das gilt unabhängig davon, wie PHP auf dem Server eingebunden ist – PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Das PHP-Projekt stuft Apache mit mod_php als besonders riskant ein.

Betroffen sind damit unter anderem WordPress und WooCommerce, Joomla, TYPO3, Drupal, Shopware, Magento, Nextcloud, Laravel-Anwendungen und Foren wie phpBB. Auch Geräte und Programme, die PHP intern nutzen – etwa Firewalls oder Router-Oberflächen –, können betroffen sein. Das niederländische NCSC sammelt dazu eine öffentliche Liste.

Wer muss das Update einspielen – Sie oder Ihr Hoster?

Für die meisten Betreiber ist das die wichtigste Frage. Die Antwort hängt davon ab, wie Ihre Website betrieben wird:

Ein Sonderfall: Wer seine PHP-Pakete aus dem beliebten, ehrenamtlich gepflegten Remi-Repository bezieht, bekommt laut PHP-Projekt am Veröffentlichungstag noch keine Updates und sollte auf Pakete der Linux-Distribution umsteigen oder selbst kompilieren.

Was gilt bei PHP 8.1, 7.4 und älteren Versionen?

Hier liegt das größte Risiko. Das PHP-Projekt pflegt nur noch die Versionen 8.2 bis 8.5. Wegen der Schwere der Lücken hat das Sicherheitsteam zwar ausnahmsweise minimale Korrekturen im Quellcode für PHP 7.4, 8.0 und 8.1 veröffentlicht – die richten sich aber an Profis, die PHP selbst kompilieren. Ob Ihr Hoster sie einspielt, hängt allein von ihm ab.

Der Umstieg auf eine aktuelle PHP-Version ist meist kein Klick im Kundenbereich: Ältere Themes, Plugins oder eigener Code laufen auf neuem PHP oft nicht mehr fehlerfrei. Ohne vorherigen Test bleibt die Seite womöglich weiß, oder Formulare funktionieren nicht mehr. Deshalb gilt: Umstieg jetzt planen, in einer Testumgebung prüfen – und bis dahin die Übergangsmaßnahmen weiter unten nutzen.

Was hilft, bis das Update installiert ist?

Das PHP-Projekt und CERT-EU sind hier deutlich: Nur das Update schließt die Lücken vollständig. Die folgenden Maßnahmen verkleinern die Angriffsfläche, machen eine Installation aber nicht sicher. Sie richten sich an Admins mit Zugriff auf die Serverkonfiguration:

• Speicherlimit: memory_limit=-1 so setzen, dass Anwendungen es nicht überschreiben können (z. B. per php_admin_value im FPM-Pool) – und Speicher stattdessen über Container- oder cgroup-Grenzen begrenzen.
• Kleine Anfragen: post_max_size auf 8M senken, wenn keine Uploads nötig sind, sonst auf 32M; upload_max_filesize darunter halten.
• Grenzen am Webserver oder Proxy für Anfragegröße, Anzahl der Formularfelder und Upload-Teile setzen.
• Upload-Fortschritt abschalten: session.upload_progress.enabled=0 in der php.ini oder im FPM-Pool und alle PHP-Prozesse neu starten.
• Unter PHP 8.5 zusätzlich fatal_error_backtraces=0 setzen.
• Web Application Firewall mit passenden Regeln vorschalten, etwa über Cloudflare.

Wo das Update nicht kurzfristig möglich ist, empfehlen BSI und CERT-EU, den Server vorübergehend vom Internet zu trennen. Für eine Firmenwebsite bedeutet das: lieber einen Tag eine Wartungsseite als eine gekaperte Seite, die wochenlang Spam verschickt.

Checkliste: Was Webseitenbetreiber jetzt tun müssen

1. PHP-Version herausfinden – im Kundenbereich des Hosters oder in WordPress unter „Website-Zustand“.
2. Hoster-Status prüfen – Statusseite oder E-Mail: Ist das Update auf 8.5.12, 8.4.27, 8.3.36 bzw. 8.2.35 bestätigt? Falls nicht: nachfragen.
3. Bei PHP 8.1 oder älter: schriftlich beim Hoster nachfragen, ob eine Korrektur eingespielt wird, und den Umstieg auf eine aktuelle Version sofort planen.
4. Eigene Server und Container aktualisieren – Pakete aktualisieren, alle PHP-Prozesse neu starten, Docker-Images neu bauen.
5. Übergangsmaßnahmen aktivieren, falls das Update noch nicht möglich ist – oder die Seite vorübergehend offline nehmen.
6. Auf Spuren prüfen: unbekannte PHP-Dateien (vor allem im Upload-Ordner), neue Admin-Konten, geänderte Theme- oder Plugin-Dateien, ungewöhnlicher E-Mail-Versand.
7. Zugangsdaten erneuern, wenn die Seite längere Zeit ungeschützt war: Admin-Passwörter, Datenbank-Zugang, FTP/SFTP.
8. Backups sichern – und prüfen, ob ein sauberer Stand von vor dem 20. Oktober vorhanden ist.

Warum Enno & Jens bei PHP2Shell helfen können

• Schnelle Einschätzung: Wir prüfen, auf welcher PHP-Version Ihre Website läuft, wer sie betreibt und ob das Update angekommen ist.
• Kontakt zum Hoster: Wir klären mit Ihrem Hoster, ob und wann er die Korrektur einspielt – auch bei „Extended Support“.
• Sicherer Umstieg: Ältere WordPress- und WooCommerce-Seiten bringen wir in einer Testumgebung auf eine aktuelle PHP-Version, bevor live umgestellt wird.
• Spurensuche: Wir prüfen Dateien, Konten und Logs auf Anzeichen eines Einbruchs.
• Langfristig sicher: Mit unserem Hosting & Betrieb übernehmen wir Updates und Monitoring dauerhaft.

Fazit

PHP2Shell ist eine der schwerwiegendsten Sicherheitslücken für Websites seit Jahren, weil sie nicht ein einzelnes Plugin, sondern das Fundament fast jeder klassischen Website betrifft. Für die meisten Betreiber ist die Lösung trotzdem überschaubar: PHP-Version prüfen, Update beim Hoster bestätigen lassen, danach auf Spuren schauen. Wirklich kritisch wird es für Seiten auf veraltetem PHP – hier sollte der Umstieg jetzt beginnen, nicht erst zum Jahresende.

Häufige Fragen zu PHP2Shell

Langfristig keine Lust auf solche Tage? Mit unserem Hosting & Betrieb kümmern wir uns um Updates, Monitoring und Backups – oder starten Sie mit unserem kostenlosen Webseitencheck.