PHP-Sicherheitslücke PHP2Shell: Ist Ihre WordPress-Website betroffen?

Seit Mittwoch berichten Tagesschau, NDR und heise über die Lücke. Kliniken, Städte und Hochschulen haben ihre Websites vorsorglich vom Netz genommen. Viele unserer Kundinnen und Kunden fragen uns gerade: Bin ich betroffen? Muss ich etwas tun? In diesem Beitrag beantworten wir genau das, ohne Fachchinesisch und mit einer Checkliste, die Sie heute noch abarbeiten können.

Unsicher, ob Ihre Website betroffen ist? Wir prüfen das kostenlos für Sie

PHP-Version & Patch-Stand: Wir prüfen, ob auf Ihrem Server eine gepatchte PHP-Version läuft.

Klärung mit Ihrem Hoster: Bei all-inkl, Strato & Co. holen wir die Bestätigung direkt beim Support ein.

Klare Empfehlung: Sie erfahren, was zu tun ist. Ist eine Umstellung nötig, erhalten Sie vorab einen Festpreis.

KOSTENLOSEN PHP2SHELL-CHECK ANFRAGEN

Was ist die PHP-Sicherheitslücke PHP2Shell?

PHP2Shell fasst zwei Schwachstellen im Kern von PHP zusammen: CVE-2026-109618 und CVE-2026-109619. Das PHP-Sicherheitsteam bewertet beide mit 9,2 von 10 Punkten auf der CVSS-Skala. Das ist die Stufe „kritisch“.

Technisch stecken zwei Fehler dahinter:

• CVE-2026-109618: Ein Fehler in der Speicherverwaltung. Läuft PHP bei einer Anfrage der Speicher voll, bleiben interne Daten halb fertig zurück und werden später trotzdem weiterverwendet.
• CVE-2026-109619: Ein Fehler bei der Verarbeitung von Skriptfehlern. PHP merkt sich Daten einer Anfrage, obwohl der zugehörige Speicher schon freigegeben ist. Die nächste Anfrage kann diese veralteten Daten aufgreifen.

Beides klingt abstrakt, die Folge ist es nicht: Ein Angreifer kann gezielt präparierte Anfragen an Ihre Website schicken und damit eigene Befehle auf dem Server ausführen. Fachleute nennen das Remote Code Execution. Ein Benutzerkonto oder Passwort braucht er dafür nicht. Laut heise sind oft mehrere Tausend Anfragen nötig, bis ein Angriff klappt. Für automatisierte Angriffswerkzeuge ist das aber kein Hindernis.

Der zeitliche Ablauf

• 20. Oktober 2026: Die PHP Foundation warnt vor zwei kritischen Lücken und kündigt Updates an.
• Kurz darauf: Details sickern in einschlägigen Foren durch. Der Zeitplan wird vorgezogen.
• 21. Oktober 2026: Das PHP-Team veröffentlicht die Notfall-Updates. Cloudflare meldet erste Angriffe auf Websites.
• 22. Oktober 2026: Behörden, Kliniken und Unternehmen in Deutschland, Österreich und der Schweiz schalten Websites vorsorglich ab oder spielen Updates ein.

Betroffen sind laut PHP-Projekt alle Versionen seit PHP 5. Das reicht bis ins Jahr 2004 zurück.

Was ist betroffen? Warum fast jede Website die PHP-Sicherheitslücke hat

PHP ist die Programmiersprache, mit der Ihr Webserver Seiten zusammenbaut, bevor sie im Browser ankommen. WordPress, WooCommerce, Shopware, Joomla, TYPO3 und Nextcloud laufen alle auf PHP. Wenn Sie eine WordPress-Website oder einen WooCommerce-Shop betreiben, nutzen Sie PHP, auch wenn Sie es nie bewusst eingestellt haben.

Der entscheidende Punkt: Die Lücke steckt eine Ebene unter WordPress. Sie greift, bevor Ihre Website überhaupt startet. Daraus folgt dreierlei:

• Ein WordPress-Update, ein Plugin-Update oder ein Theme-Update schließt die Lücke nicht.
• Ein Sicherheits-Plugin wie Wordfence oder ähnliche schützt nicht zuverlässig davor.
• Es spielt keine Rolle, wie gut Ihre Website sonst gepflegt ist. Entscheidend ist allein die PHP-Version auf dem Server.

Das ist der Unterschied zur WordPress-Lücke wp2shell vom Juli: Damals hat ein WordPress-Update gereicht, oft sogar automatisch. Bei PHP2Shell muss der Server selbst aktualisiert werden.

Verwundbar sind alle gängigen Server-Varianten: PHP-FPM, Apache mit mod_php, php-cgi, LiteSpeed und FrankenPHP. Klassisches Shared Hosting bei all-inkl, IONOS, Strato, Hetzner, Mittwald und Co. ist damit genauso betroffen wie ein eigener Server.

Was Angreifer anrichten können

Wer Code auf Ihrem Server ausführen kann, hat praktisch die Kontrolle über Ihre Website. Mögliche Folgen:

• Kundendaten, Bestellungen und Kontaktanfragen werden abgegriffen. Das kann ein meldepflichtiger Datenschutzvorfall nach DSGVO sein, mit 72 Stunden Frist.
• Ihre Website wird manipuliert, leitet auf Fake-Shops um oder verteilt Schadsoftware.
• Google markiert Ihre Seite als gefährlich, Rankings und Anfragen brechen ein.
• Ihr Server wird für Spam-Versand oder weitere Angriffe missbraucht, Ihr Hoster sperrt das Paket.

Welche PHP-Versionen sind sicher?

Sicher sind nur die Versionen, die das PHP-Team am 21. Oktober 2026 veröffentlicht hat, oder neuere. Alles darunter ist verwundbar.

Für PHP 7.4, 8.0 und 8.1 hat das PHP-Team nur minimale Notfall-Korrekturen im Quellcode bereitgestellt. Einige Hoster und Linux-Distributionen spielen diese ein, andere nicht. Darauf sollten Sie sich nicht verlassen.

Wichtig für PHP 8.2: Auch nach dem Patch endet die Sicherheitsunterstützung am 31. Dezember 2026. Wer jetzt ohnehin umstellt, sollte direkt auf PHP 8.3 oder 8.4 gehen.

Ist meine WordPress-Website betroffen? So prüfen Sie Ihre PHP-Version

Wenn Ihre Website mit WordPress läuft, sind Sie betroffen, solange Ihr Server keine der sicheren Versionen aus der Tabelle nutzt. Die Version prüfen Sie in zwei Minuten.

In WordPress:

1. Melden Sie sich im WordPress-Dashboard an.
2. Öffnen Sie Werkzeuge → Website-Zustand und dort den Reiter Bericht.
3. Klappen Sie den Abschnitt Server auf. Unter „PHP-Version“ steht die genaue Nummer, zum Beispiel 8.3.36.

Achten Sie auf die vollständige Nummer. „8.3“ allein reicht nicht: 8.3.30 ist verwundbar, 8.3.36 ist sicher.

Im Kundenbereich Ihres Hosters:

Bei all-inkl finden Sie die Einstellung im KAS unter den Domain-Einstellungen, bei IONOS, Strato und den meisten anderen Anbietern im Bereich „PHP-Version“ oder „PHP-Einstellungen“. Dort sehen Sie meist nur den Zweig (etwa 8.3), nicht die genaue Patch-Version. Die genaue Nummer liefert WordPress oder eine Anfrage beim Support.

Kein WordPress? Auch Shopware, TYPO3, Joomla, Contao, Nextcloud und individuell programmierte PHP-Anwendungen sind betroffen. Hier hilft ein Blick in den Hoster-Kundenbereich oder eine kurze Nachricht an Ihren Dienstleister.

PHP-Update: Wer muss es einspielen, Sie oder Ihr Hoster?

Das hängt von Ihrem Hosting ab.

• Shared Hosting (der Normalfall bei kleinen Unternehmen): Ihr Hoster aktualisiert PHP auf seinen Servern. Ihre Aufgabe ist es, sicherzustellen, dass Ihre Website auf einem unterstützten Zweig läuft, also PHP 8.2 oder neuer. Ist noch 7.4, 8.0 oder 8.1 eingestellt, bekommen Sie das Update möglicherweise nicht.
• Eigener Server, VPS oder Managed Server: Hier muss PHP über die Paketverwaltung aktualisiert und alle PHP-Prozesse müssen neu gestartet werden. Das erledigen Sie selbst oder Ihr technischer Dienstleister.

Viele Hoster haben bereits reagiert: Sie spielen die neuen Versionen ein oder schalten vorübergehend einzelne PHP-Funktionen ab. Cloudflare filtert bekannte Angriffsmuster für alle Kunden, auch im kostenlosen Tarif. Das ist hilfreich, ersetzt das Update aber nicht.

Übergangslösungen sind nur eine Krücke

Das PHP-Team hat Konfigurationseinstellungen veröffentlicht, die das Risiko senken, bis das Update eingespielt ist. Dazu gehört etwa, die Upload-Fortschrittsanzeige von PHP abzuschalten (session.upload_progress.enabled=0) und mit expose_php=0 zu verbergen, dass überhaupt PHP läuft. Das PHP-Team selbst nennt diese Maßnahmen ausdrücklich eine vorübergehende Notlösung. Auf normalem Webhosting lassen sie sich zudem oft gar nicht ändern.

Aktueller Stand bei all-inkl, Mittwald und Strato

Die meisten unserer Kunden liegen bei einem dieser drei Hoster. Der Stand am 22. Oktober 2026, 8:30 Uhr:

Wichtig: Eine Statusmeldung gilt für die ganze Plattform, nicht automatisch für Ihr Paket. Und keine Meldung bedeutet nicht, dass nichts passiert ist. Verbindlich ist nur die Aussage des Hosters zu Ihrem konkreten Paket und Ihrer PHP-Version.

WordPress und PHP-Sicherheitslücke: Was tun? Ihre Checkliste

Arbeiten Sie diese Punkte der Reihe nach ab:

1. PHP-Version prüfen. In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server.
2. Version mit der Tabelle abgleichen. 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 und neuer sind sicher.
3. Backup erstellen. Vor jeder Änderung an der PHP-Version: Dateien und Datenbank sichern, am besten auch über den Hoster.
4. Bei PHP 8.1 oder älter: auf PHP 8.3 oder 8.4 umstellen. Alte Plugins und Themes laufen auf neuen PHP-Versionen nicht immer. Testen Sie danach Startseite, Kontaktformular und bei Shops den kompletten Bestellprozess.
5. Bei 8.2 bis 8.5 ohne Patch: Hoster kontaktieren. Fragen Sie konkret, wann die gepatchte Version eingespielt wird.
6. Alle Updates nachziehen. WordPress, Plugins und Theme aktuell halten. Das schließt PHP2Shell nicht, verhindert aber, dass Angreifer andere Wege finden.
7. Passwörter erneuern, falls Ihre Website ungepatcht war. Das gilt für WordPress-Admins, FTP/SFTP, Datenbank und Hoster-Login.
8. In den nächsten Tagen auf Auffälligkeiten achten (siehe nächster Abschnitt).

Woran Sie einen erfolgreichen Angriff erkennen

Ein Update schließt die Tür, wirft aber niemanden hinaus, der schon drin ist. Wenn Ihre Website zwischen dem 20. Oktober und dem Update ungeschützt war, achten Sie auf diese Warnzeichen:

• Neue oder veränderte PHP-Dateien, besonders im Upload-Ordner (wp-content/uploads) oder im Theme-Verzeichnis
• Unbekannte Administrator-Konten in WordPress
• Weiterleitungen auf fremde Seiten, vor allem bei Aufrufen über Google oder vom Smartphone
• Ungewöhnlich hohe Serverlast, plötzlich langsame Ladezeiten oder Warnungen Ihres Hosters
• Hinweise in der Google Search Console unter „Sicherheitsprobleme“
• Meldungen von Kunden über merkwürdige E-Mails, die angeblich von Ihnen stammen

Trifft einer dieser Punkte zu, nehmen Sie die Website nicht einfach vom Netz und löschen Dateien. Sichern Sie zuerst den aktuellen Zustand für die Analyse und holen Sie fachliche Hilfe. Wie Sie Schritt für Schritt vorgehen, lesen Sie in unserem Leitfaden WordPress gehackt – was tun? Betrifft der Vorfall personenbezogene Daten, läuft ab Kenntnis die 72-Stunden-Frist zur Meldung an die Datenschutzbehörde.

Was wir gerade für unsere Kunden tun

Wir prüfen aktuell alle Websites, die wir betreuen: PHP-Version, Patch-Stand beim jeweiligen Hoster und die Verträglichkeit von Plugins und Themes mit neueren PHP-Versionen. Bei Hostern ohne öffentliche Meldung holen wir die Bestätigung direkt beim Support ein. Wo eine Umstellung nötig ist, melden wir uns direkt bei Ihnen und stimmen den Zeitpunkt ab, damit Ihre Website oder Ihr Shop nicht mitten im Tagesgeschäft ausfällt.

Sie sind kein Wartungskunde, wollen aber auf Nummer sicher gehen? Auch dann helfen wir Ihnen.

Häufige Fragen zur PHP-Sicherheitslücke

Wann wird die PHP-Sicherheitslücke behoben?

Die Lücke ist seit dem 21. Oktober 2026 behoben, und zwar in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Geschützt ist Ihre Website aber erst, wenn Ihr Hoster diese Versionen auf Ihrem Server eingespielt hat. Für PHP 8.1 und älter gibt es kein offizielles Update. Hier hilft nur der Umstieg auf PHP 8.3 oder 8.4.

Ist meine Website bei Strato oder all-inkl betroffen?

Grundsätzlich ja, denn die PHP-Sicherheitslücke betrifft alle Hoster. Entscheidend ist, ob der Hoster das Update schon eingespielt hat. Strato und all-inkl haben sich bis zum 22. Oktober 2026 nicht öffentlich dazu geäußert. Fragen Sie beim Support konkret nach dem Stand für Ihr Paket und Ihre PHP-Version oder nutzen Sie unseren Schnellcheck weiter oben.

Reicht es, WordPress und alle Plugins zu aktualisieren?

Nein. Die Lücke steckt in PHP selbst, also unterhalb von WordPress. Nur ein Update der PHP-Version auf dem Server schließt sie.

Ist meine Website jetzt sicher? Hat mein Hoster PHP gepatcht?

Das hängt von zwei Dingen ab: Hat Ihr Hoster die gepatchte PHP-Version eingespielt, und läuft Ihre Website auf einem Zweig, der das Update bekommt? Mittwald hat den Patch öffentlich bestätigt. Von all-inkl und Strato gibt es bisher keine öffentliche Meldung. Hier hilft nur eine Nachfrage beim Support zu Ihrem konkreten Paket. Wenn Sie Kunde bei uns sind, übernehmen wir diese Prüfung für Sie.

Meine Website war am 21. Oktober nicht erreichbar. Lag das an PHP2Shell?

Gut möglich. Mittwald und andere Hoster haben ihre Systeme an diesem Tag vorsorglich vom Netz genommen, um die Updates einzuspielen. Das war eine Schutzmaßnahme und kein Angriff auf Ihre Website.

Ich habe einen kleinen Blog oder eine Visitenkarten-Website. Bin ich überhaupt ein Ziel?

Ja. Angriffe auf solche Lücken laufen automatisiert und durchsuchen das gesamte Internet. Es geht nicht um Ihr Unternehmen, sondern um jeden erreichbaren Server mit verwundbarer PHP-Version.

Mein Hoster sagt, er hat das Update eingespielt. Muss ich noch etwas tun?

Prüfen Sie, ob Ihre Website wirklich auf der gepatchten Version läuft. Ist bei Ihnen noch PHP 8.1 oder älter eingestellt, profitieren Sie vom Update unter Umständen nicht. Dann sollten Sie auf PHP 8.3 oder 8.4 umstellen.

Kann die Umstellung auf eine neue PHP-Version meine Website kaputt machen?

Das kann passieren, wenn veraltete Plugins oder Themes im Einsatz sind. Deshalb immer vorher ein Backup anlegen und nach der Umstellung die wichtigsten Seiten, Formulare und den Bestellprozess testen. Meist lässt sich die PHP-Version im Hoster-Kundenbereich auch wieder zurückstellen.

Schützt mich Cloudflare oder eine Firewall?

Teilweise. Cloudflare filtert bekannte Angriffsmuster, und Hoster setzen eigene Regeln ein. Neue Varianten des Angriffs können diese Filter aber umgehen. Das PHP-Update ist der einzige vollständige Schutz.

Was kostet die Umstellung?

Der PHP2Shell-Check bei wolpersweb ist kostenlos. Ist eine Umstellung nötig, erhalten Sie vorab ein Festpreisangebot. Für Kunden mit WordPress-Wartungsvertrag ist die Prüfung bereits enthalten.