Die neue PHP-Sicherheitslücke PHP2Shell sorgt für Aufmerksamkeit. Wir erklären, was dahintersteckt, wie WordPress-Websites betroffen sein können und warum jetzt vor allem eines zählt: aktuelle Sicherheitsupdates.
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt, die unter dem Namen PHP2Shell zusammengefasst werden. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Sie können es Angreifern unter bestimmten Voraussetzungen ermöglichen, Schadcode auf betroffenen Webservern auszuführen oder sensible Informationen auszulesen.
Das klingt zunächst beunruhigend. Für Website-Betreiber besteht jedoch kein Grund, in Panik zu verfallen. Entscheidend ist, die eingesetzte PHP-Version zu überprüfen und verfügbare Sicherheitsupdates zeitnah einzuspielen.
Was ist PHP2Shell überhaupt?
PHP ist eine Programmiersprache, auf der zahlreiche Websites und Content-Management-Systeme basieren. Dazu gehört auch WordPress, das weltweit für Unternehmenswebsites, Vereinsseiten und Onlineshops eingesetzt wird.
PHP2Shell betrifft nicht primär ein bestimmtes WordPress-Plugin oder ein einzelnes Theme. Die Schwachstellen liegen direkt in PHP selbst. Deshalb können grundsätzlich auch Websites betroffen sein, deren WordPress-Installation und Erweiterungen ansonsten aktuell sind.
Im ungünstigsten Fall können Angreifer über eine verwundbare PHP-Umgebung die Ausführung eigener Befehle erreichen. Das könnte unter anderem den Zugriff auf Daten oder eine Manipulation der Website ermöglichen.
Bin ich mit meiner WordPress-Website betroffen?
Ob eine Website tatsächlich verwundbar ist, hängt unter anderem von der eingesetzten PHP-Version und der Serverkonfiguration ab.
Wichtig zu wissen: Eine aktuelle WordPress-Version allein reicht nicht aus, um Schutz vor PHP2Shell sicherzustellen. WordPress und PHP sind unterschiedliche Komponenten. Ein WordPress-Update aktualisiert nicht automatisch die PHP-Version, mit der die Website auf dem Server ausgeführt wird.
Die am 21. Oktober veröffentlichten Sicherheitsupdates schließen die beiden bekannten Schwachstellen in den unterstützten PHP-Versionen.
| PHP-Version | Korrigierte Version |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Bei älteren PHP-Versionen ist besondere Vorsicht geboten. PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Einzelne Hosting-Anbieter oder Distributoren können jedoch eigene Sicherheitskorrekturen bereitstellen.
Die genannten Versionsnummern beziehen sich auf die veröffentlichten PHP-Korrekturen. Ob eine konkrete Hosting-Umgebung bereits entsprechend abgesichert ist, sollte beim jeweiligen Anbieter geprüft werden.
Was sollten Website-Betreiber jetzt tun?
Die wichtigste Maßnahme ist die Überprüfung und Aktualisierung der PHP-Umgebung. Folgende Schritte sind empfehlenswert:
PHP-Version überprüfen
Im Hosting-Kundenbereich lässt sich häufig einsehen, welche PHP-Version für die Website eingestellt ist. Ist die Information dort nicht verfügbar, hilft der Hosting-Anbieter weiter.
Sicherheitsupdates einspielen lassen
Sofern erforderlich, sollte auf eine korrigierte PHP-Version aktualisiert werden. Bei älteren oder speziell konfigurierten Websites empfiehlt sich eine vorherige Prüfung der Kompatibilität, damit die Website nach dem Update weiterhin zuverlässig funktioniert.
WordPress und Erweiterungen aktuell halten
Auch wenn PHP2Shell eine Schwachstelle in PHP betrifft, bleiben aktuelle WordPress-Versionen, gepflegte Plugins und sichere Themes wichtige Bestandteile eines umfassenden Sicherheitskonzepts.
Backups und Sicherheitsüberwachung prüfen
Regelmäßige Backups helfen dabei, eine Website im Notfall wiederherzustellen. Ergänzend können Sicherheitslösungen und die Auswertung von Serverprotokollen dabei unterstützen, verdächtige Aktivitäten zu erkennen. Ein Backup verhindert allerdings keinen Angriff und ersetzt kein Sicherheitsupdate.
Bei Auffälligkeiten fachliche Unterstützung einholen
Wenn eine Website unerwartete Änderungen zeigt oder verdächtige Aktivitäten festgestellt werden, sollte sie technisch überprüft werden. Ein erfolgreich eingespieltes Update allein beweist nicht, dass zuvor kein Angriff stattgefunden hat.
Muss ich mir jetzt Sorgen um meine Website machen?
Eine kritische Sicherheitslücke bedeutet nicht automatisch, dass jede betroffene Website angegriffen oder kompromittiert wurde. Sie bedeutet zunächst, dass eine technische Schwachstelle existiert, die unter bestimmten Voraussetzungen ausgenutzt werden kann.
Die gute Nachricht: Für die unterstützten PHP-Versionen wurden Sicherheitskorrekturen veröffentlicht. Mit einer geeigneten Update-Strategie, regelmäßigen Backups und einer professionellen Wartung lassen sich viele Sicherheitsrisiken gezielt reduzieren.
Trotzdem sollte die Situation ernst genommen werden. Gerade bei öffentlich erreichbaren Websites ist es sinnvoll, die PHP-Version zeitnah überprüfen zu lassen und notwendige Updates nicht aufzuschieben.
PS-Public-Relations unterstützt bei der Website-Wartung
Eine sichere Website braucht mehr als ein funktionierendes Design. Auch die technische Grundlage, regelmäßige Aktualisierungen und eine zuverlässige Datensicherung gehören dazu.
PS-Public-Relations unterstützt Kunden bei der technischen Betreuung ihrer Websites, insbesondere bei WordPress. Dazu gehören – je nach vereinbartem Leistungsumfang – Updates, Backups, Sicherheitsmaßnahmen und die technische Überprüfung bei Problemen.
Du bist unsicher, welche PHP-Version deine Website verwendet oder ob deine WordPress-Installation aktuell ist? Sprich uns gerne an. Wir helfen dir dabei, den technischen Stand einzuordnen und notwendige Maßnahmen zu identifizieren.
Fazit: PHP2Shell ist eine ernst zu nehmende Sicherheitslücke. Mit einer zeitnahen Überprüfung der PHP-Version und den richtigen Sicherheitsmaßnahmen lässt sich das Risiko jedoch gezielt angehen. Wichtig ist, nicht in Panik zu geraten, sondern jetzt strukturiert zu handeln.