Am 20. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP vorzeitig öffentlich. Unter dem Namen PHP2Shell betreffen sie die Programmiersprache, auf der auch WordPress und WooCommerce laufen. Seit dem 21. Oktober gibt es Updates, die beide Lücken schließen.
In diesem Beitrag erklären wir, was über PHP2Shell bekannt ist, warum WordPress Websites betroffen sind und was Sie jetzt tun sollten. Stand: 22. Oktober 2026.
Was ist PHP2Shell?
PHP2Shell ist der Name für zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten nach CVSS 4.0 bewertet. Laut der Warnung des BSI können Angreifer damit aus der Ferne eigenen Code auf Webservern ausführen. Dafür brauchen sie weder ein Login noch ein Zutun der Besucher.
Die Fehler stecken in der Art, wie PHP eingehende Anfragen verarbeitet. Ein bestätigter Angriffsweg führt über eine Funktion, die den Fortschritt von Uploads verfolgt und in PHP standardmäßig aktiv ist. Der Name spielt auf Log4Shell an, eine Lücke von 2021, die weltweit unzählige Systeme betraf.
An der Entdeckung waren die Sicherheitsfirmen Wiz und Calif gemeinsam mit OpenAI beteiligt. Eigentlich sollten die Details erst nach den Updates öffentlich werden. Sie wurden aber schon am 20. Oktober bekannt, einen Tag vor den Updates.
Warum auch WordPress Websites betroffen sind
Betroffen sind PHP Installationen, die Anfragen aus dem Web verarbeiten. Das gilt für die gängigen Arten, PHP am Webserver zu betreiben, etwa PHP-FPM, Apache mit mod_php oder LiteSpeed. WordPress und WooCommerce laufen auf PHP und sind deshalb gefährdet, solange der Server nicht aktualisiert ist.
Entscheidend für WordPress: PHP liest eine Anfrage, bevor WordPress überhaupt startet. Ein Angreifer braucht also weder ein Kontaktformular noch ein Upload Feld auf Ihrer Website. Auch gut gepflegte Websites mit aktuellen Plugins sind betroffen, denn die Lücke liegt im Server und nicht in WordPress.
Am 21. Oktober meldete das BSI noch keine bestätigten Angriffe. Inzwischen berichten Sicherheitsfirmen von ersten Angriffen, und Werkzeuge für Angriffe sind bereits öffentlich im Umlauf. Einige Hoster haben deshalb vorübergehend das Hochladen von Dateien über Websites gesperrt, bis das Update auf ihren Servern lief.
Welche PHP Versionen sind sicher?
Seit dem 21. Oktober 2026 um 16 Uhr deutscher Zeit stehen diese Versionen bereit:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Für PHP 8.1 und ältere Versionen gibt es keine offiziellen Updates mehr, weil ihr Support beendet ist. Läuft Ihre Website noch auf PHP 8.1 oder älter, müssen Sie jetzt dringend wechseln. Sonst bleibt der Server dauerhaft angreifbar, denn ein offizielles Update wird es für diese Versionen nicht mehr geben. Für einige alte Versionen stehen zwar Korrekturen als Quellcode bereit. Ob Ihr Hoster sie einspielt, müssen Sie aber direkt bei ihm erfragen, und eine dauerhafte Lösung ist das nicht.
Beachten Sie auch die Laufzeiten: PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates, PHP 8.3 bis Ende 2027. Wer jetzt ohnehin umstellt, wählt deshalb besser direkt PHP 8.3 oder neuer.
So prüfen Sie Ihre PHP Version in WordPress
- Melden Sie sich im WordPress Backend an.
- Öffnen Sie “Werkzeuge” und dann “Website-Zustand”.
- Wechseln Sie in den Reiter “Bericht” und klappen Sie den Bereich “Server” auf.
- Vergleichen Sie die angezeigte PHP Version mit der Liste oben.
Steht dort zum Beispiel 8.3.30, fehlt das Update vermutlich noch. Eine Ausnahme sind Server mit PHP Paketen von Linux Distributionen wie Debian oder Ubuntu. Dort bauen die Hersteller die Korrektur oft ein, ohne die Versionsnummer zu ändern. In diesem Fall gibt nur Ihr Hoster eine verlässliche Auskunft.
Wichtig: Ein WordPress Update hilft hier nicht. PHP ist Teil des Servers und wird nicht über das WordPress Backend aktualisiert, sondern beim Hoster oder in der Verwaltung Ihres Servers.
So haben wir bei unseren Kunden reagiert
Die Sicherheit von Websites und Onlineshops hat bei uns oberste Priorität. Als die Updates am 21. Oktober erschienen, waren alle unsere Server fünf Minuten später aktualisiert. Websites und Shops auf unseren Servern waren damit praktisch ab dem Erscheinen des Updates geschützt. Viele Kunden entscheiden sich schon allein wegen der Geschwindigkeit für unser Performance Hosting. Die PHP2Shell Lücke zeigt einen weiteren Vorteil: Wir halten die Server selbst aktuell und reagieren sofort, wenn es darauf ankommt.
Kunden mit kritischer Infrastruktur haben wir in Absprache bis zum Erscheinen der Updates kurz vom Netz genommen. Die Details zur Lücke waren da schon bekannt, ein Update aber noch nicht verfügbar. So konnten Angreifer diese Zeit bei diesen Kunden nicht ausnutzen.
Kunden in unserer WordPress Wartung und WooCommerce Wartung müssen sich um solche Updates nicht selbst kümmern, das übernehmen wir für sie.
Was Sie jetzt tun sollten
- PHP Version prüfen, wie oben beschrieben.
- Liegt die Version unter den sicheren Versionen, Ihren Hoster um das Update bitten. Bei einem eigenen Server spielen Sie die Pakete selbst ein und starten danach alle PHP Prozesse neu.
- Nutzt Ihre Website PHP 8.1 oder älter, sofort auf PHP 8.3 oder neuer wechseln. Die Version stellen Sie meist in der Verwaltung Ihres Hosters um, etwa in Plesk oder cPanel.
- Den Wechsel vorher auf einer Staging Kopie testen. Alte Plugins und Themes erzeugen mit neuen PHP Versionen sonst schnell Fehler oder Warnungen.
- Nach dem Update ein frisches Backup anlegen und die Website auf ungewohnte Änderungen prüfen.
Alles zum Ablauf einer Umstellung, zu typischen Fehlern und zum Aufwand finden Sie auf unserer Seite zum PHP Update.
Wenn Sie nicht sofort aktualisieren können
Dieser Abschnitt richtet sich an Betreiber eigener Server. Bis zum Update empfehlen das PHP Projekt und die Entdecker der Lücke zwei Einstellungen in der PHP Konfiguration, die jeweils eine der beiden Lücken entschärfen: session.upload_progress.enabled = 0 und memory_limit = -1. Beide gehören zusammen und wirken erst nach einem Neustart aller PHP Prozesse. Sind Sie unsicher, übernehmen unsere WordPress Experten die Umstellung für Sie.
Das ist nur eine Notlösung und kein Ersatz für das Update. Ohne Speichergrenze kann eine einzelne Anfrage den ganzen Arbeitsspeicher belegen, deshalb gehört die alte Grenze nach dem Update sofort zurück. Technische Details beschreibt Sansec.
Eine weitere Empfehlung lautet, Anfragen mit Dateien schon am Webserver abzuweisen. Für WordPress ist das kaum praktikabel, denn dann funktionieren weder Uploads in der Mediathek noch Formulare mit Anhängen.
Anzeichen für einen Angriff
Ein Update schließt die Lücke, entfernt aber keinen Schadcode, der vorher schon eingeschleust wurde. Achten Sie deshalb auf diese Warnzeichen: unbekannte PHP Dateien in den Ordnern von WordPress, neue Administratoren, die niemand angelegt hat, und Weiterleitungen auf fremde Seiten. Auch Warnungen in der Google Search Console oder von Ihrem Hoster sind ein deutliches Zeichen.
Bemerken Sie so etwas, hilft unsere Soforthilfe für gehackte WordPress Websites. Wir beginnen sofort nach Ihrem Auftrag, auch am Wochenende.
Häufige Fragen zu PHP2Shell.
Bei den meisten Hostern spielt der Hoster das PHP Update ein. Prüfen sollten Sie es trotzdem, denn nicht alle Hoster haben gleich schnell reagiert. Bei einem eigenen Server oder einem Root Server sind Sie selbst zuständig.
Nein. Die Lücke steckt in PHP selbst, also in der Software des Servers. Halten Sie WordPress und Plugins trotzdem aktuell, denn das schützt vor anderen Angriffen.
Ja, wenn der Server noch eine ungepatchte PHP Version nutzt. WooCommerce läuft auf PHP wie WordPress selbst. Bei Shops wiegt ein Angriff besonders schwer, weil Kundendaten und Bestellungen betroffen sein können.
Gegen PHP2Shell nur bedingt. Wordfence läuft selbst in PHP und startet erst, nachdem PHP die Anfrage gelesen hat. Wirksamer sind Filter vor PHP, etwa eine Firewall beim Hoster oder bei Cloudflare. Für viele andere Angriffe auf WordPress bleibt Wordfence aber ein sinnvoller Schutz, und keine Firewall ersetzt das Update.
Mit einem Wartungsvertrag bei uns sind PHP Updates bereits enthalten. Ohne Wartungsvertrag rechnen wir nach Aufwand ab, zu 85 Euro netto pro Stunde zuzüglich Mehrwertsteuer.
Fazit: jetzt prüfen und aktualisieren
PHP2Shell gehört zu den schwersten Lücken in PHP seit Jahren. Sie betrifft fast jeden Server mit PHP, und Angriffe funktionieren ohne Login. Die Updates sind da, und das Einspielen dauert meist nur wenige Minuten. Prüfen Sie deshalb noch heute die PHP Version Ihrer Website.
Besonders gefährdet sind Websites mit PHP 8.1 oder älter, für die es keinen offiziellen Fix gibt. Genau davor haben wir schon 2024 in unserem Beitrag Werden bald alle PHP Webseiten gehackt? gewarnt.
