PHP2Shell: Was Websitebetreiber jetzt tun sollten

Stand: 23. Oktober 2026. Unter dem Namen PHP2Shell werden zwei kritische PHP-Sicherheitslücken diskutiert. Für Websitebetreiber geht es jetzt darum, den Patchstand ihrer Hostingumgebung verbindlich zu klären. Eine erreichbare Website, ein Schloss im Browser oder ein aktualisiertes CMS beantworten diese Frage nicht.

Was ist passiert?

Die Lücken heißen CVE-2026-109618 und CVE-2026-109619. Fehler in der Speicherverwaltung von PHP können unter entsprechenden Bedingungen die Ausführung fremden Codes ohne Anmeldung ermöglichen – mit den Rechten des Webprozesses. Die technischen Originalmeldungen erläutern den Fehler bei Speichermangel und den Fehler durch weiterverwendeten internen Zustand.

Zu prüfen sind PHP-Installationen, die Webanfragen verarbeiten; das Problem beschränkt sich nicht auf ein bestimmtes CMS. Die gemeinsame Warnung von ENISA und weiteren EU-Stellen fordert dazu auf, PHP-Anwendungen zu erfassen und Hostinganbieter einzubeziehen. Eine Sicherheitswarnung belegt allerdings nicht, dass jede betroffene Website bereits gehackt wurde.

Welche PHP-Updates beheben die beiden Lücken?

Am 21. Oktober 2026 erschienen die folgenden Sicherheitsversionen. Maßgeblich sind der passende gepflegte Versionszweig oder eine spätere freigegebene Version. Bei zurückportierten Herstellerkorrekturen sollte der Anbieter den Patchstand anhand seiner Sicherheitsmeldung bestätigen. Die sichtbare Versionsnummer allein kann unvollständig sein. Siehe die PHP-Sicherheitsmeldung.

Wichtiger Nachtrag vom 23. Oktober

PHP hat zusätzlich einen Hinweis zu session.upload_progress.enabled und einer ungewöhnlichen Session-Konfiguration veröffentlicht. Eine weitere Meldung zu CVE-2026-115560 ist angekündigt. Bitten Sie Ihren Anbieter, diesen Hinweis zusätzlich zu den Korrekturen vom 21. Oktober zu bewerten. Die aktuelle Empfehlung und ihre Grenzen stehen im offiziellen PHP-Nachrichtenarchiv.

Warum ein WordPress-Update allein nicht genügt

WordPress ist eine Anwendung, die unter anderem eine PHP-Serverumgebung benötigt. WordPress, Themes und Plugins zu aktualisieren ist etwas anderes, als diese Umgebung zu aktualisieren. Die Hostinganforderungen von WordPress führen PHP als eigene Voraussetzung auf. Fragen Sie nach dem tatsächlich eingesetzten, korrigierten PHP-Paket – auch für Subdomains, geplante Aufgaben und getrennte Installationen.

Praktische Checkliste für Websitebetreiber

1. Zuständigkeit festlegen. Halten Sie fest, wer Server, Anwendung, Sicherungen und technische Entscheidungen betreut. Bei verwaltetem Hosting ist eine schriftliche Statusbestätigung sinnvoller als ein eigener Eingriff in unbekannte Einstellungen.
2. Erreichbare Dienste erfassen. Beziehen Sie Shops, Formulare, Kundenportale und ältere Installationen ein. Öffentlich erreichbare Systeme haben Vorrang; das empfiehlt auch das britische NCSC.
3. Aktualisierung koordinieren. Fragen Sie nach Paket- oder Sicherheitsreferenz, Abschlusszeitpunkt und Bestätigung für die aktive Umgebung. Vereinbaren Sie Sicherung und Wiederherstellungsweg, ohne den dringenden Schutz auf ein späteres Relaunchprojekt zu verschieben.
4. Geschäftsfunktionen prüfen. Kontrollieren Sie Navigation, Anmeldung, Suche, Formulare und gegebenenfalls die Kasse in einem autorisierten Testablauf. Dokumentieren Sie, was tatsächlich getestet wurde und wer das Ergebnis bestätigt.
5. Offene Gefährdung behandeln. Ist zeitnah kein Schutz möglich, besprechen Sie die Abschottung des erreichbaren Dienstes mit der zuständigen Administration. Dazu rät auch das kanadische Cyber Centre, wenn kurzfristiges Patchen nicht möglich ist.

Was tun bei einem Angriffsverdacht?

Sichern Sie relevante Protokolle und eine Zeitleiste. Lassen Sie unerklärliche Dateiänderungen, Konten oder Weiterleitungen fachkundig untersuchen. Ein Patch schließt eine Lücke, beantwortet aber nicht von selbst die Frage nach Hintertüren aus einem früheren Einbruch. Die NCSC-Empfehlung nennt ausdrücklich die Untersuchung auf Kompromittierung bei verzögertem Schutz. Löschen Sie mögliche Beweise nicht vorschnell; ausbleibende sichtbare Fehler sind keine Entwarnung.

Diese Fragen helfen im Gespräch mit dem Hoster

Welche PHP-Installation verarbeitet welche Website? Welche Herstellermeldung bestätigt die Korrektur? Ist der zusätzliche Hinweis vom 23. Oktober geprüft? Was ist noch offen und wer übernimmt es? Damit erhalten Sie einen belastbareren Überblick als mit der pauschalen Aussage, der Server sei „aktuell“.

Unterstützung bei der Planung einer technischen Prüfung finden Sie bei unseren WordPress-Leistungen. Klären Sie Zugriffe, Umfang und Zuständigkeiten vor Beginn. Dieser Beitrag bestätigt keinen individuellen Sicherheitsstatus einer Website.

Quellen geprüft am 23. Oktober 2026: PHP-Sicherheitsmeldungen, ENISA, britisches NCSC, kanadisches Cyber Centre und WordPress.org. Für spätere Entwicklungen gelten deren aktuelle Hinweise.