PHP2Shell: Ist meine WordPress-Website betroffen?

KT Studio, Hamburg · Lesezeit etwa 5 Minuten

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken veröffentlicht, die unter dem Namen PHP2Shell bekannt geworden sind. Betroffen ist nicht ein einzelnes Plugin, sondern PHP selbst, also die Sprache, in der WordPress läuft. Dieser Beitrag erklärt sachlich, was passiert ist, wer handeln muss und wie Sie in zwei Minuten herausfinden, ob Ihre Website dazugehört.

Was ist PHP2Shell?

PHP2Shell ist der Sammelname für zwei Schwachstellen im PHP-Kern mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit einem CVSS-Wert von 9,2 von 10 als kritisch eingestuft. Sie erlauben einem Angreifer, fremden Programmcode auf dem Webserver auszuführen, und zwar ohne Anmeldung und bevor überhaupt die eigentliche Website geladen wird. Der Fehler tritt bereits beim Verarbeiten einer Anfrage auf, nicht erst im Code von WordPress oder eines Plugins.

Diese Art von Lücke ist deshalb so ernst, weil sie unabhängig davon wirkt, wie gut eine Website gepflegt ist. Eine WordPress-Installation mit aktuellem Kern, aktuellen Plugins und starkem Passwort ist genauso verwundbar wie eine vernachlässigte, solange die darunterliegende PHP-Version nicht gepatcht ist.

Nach Angaben von Sicherheitsforschern wurde die Lücke bereits vor der offiziellen Veröffentlichung ausgenutzt. Mehrere Behörden in Europa haben ihre Websites vorsorglich abgeschaltet, bis das Update eingespielt war, darunter Regierungsportale in den Niederlanden, Finnland und Frankreich. Das britische National Cyber Security Centre empfiehlt, Systeme, die nicht sofort aktualisiert werden können, vorübergehend vom Netz zu nehmen.

Warum ein WordPress-Update nicht reicht

Viele Website-Betreiber haben in den vergangenen Tagen auf „Jetzt aktualisieren“ im WordPress-Dashboard geklickt und halten das Thema damit für erledigt. Das ist ein Missverständnis. WordPress ist eine Anwendung, die auf PHP läuft. Die PHP-Version wird vom Hosting-Anbieter bereitgestellt und in der Regel im Hosting-Panel eingestellt, nicht in WordPress. Ein WordPress-Update ändert die PHP-Version nicht.

Für die PHP-Sicherheitslücke in WordPress-Umgebungen gilt deshalb: Entscheidend ist allein, ob der Server eine gepatchte PHP-Version verwendet. Das PHP-Projekt hat die Korrekturen in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht. Für PHP 8.1, 8.0, 7.4 und ältere Versionen gibt es keine offiziellen Updates mehr, weil diese Zweige das Ende ihrer Unterstützung erreicht haben.

Welche PHP-Versionen betroffen sind

Ein Hinweis zu PHP 8.2: Diese Version bekommt noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wer jetzt ohnehin Hand anlegt, sollte direkt auf 8.3 oder 8.4 wechseln, damit das Thema nicht in zwei Monaten erneut auf dem Tisch liegt.

So prüfen Sie Ihre PHP-Version in WordPress

Sie brauchen dafür nur den Zugang zum WordPress-Dashboard:

1. Melden Sie sich im WordPress-Adminbereich an.
2. Öffnen Sie im linken Menü Werkzeuge und dort Website-Zustand.
3. Wechseln Sie oben auf den Reiter Bericht.
4. Klappen Sie den Abschnitt Server auf. Dort steht unter „PHP-Version“ die genaue Versionsnummer, zum Beispiel 8.1.29 oder 8.3.36.

Alternativ zeigt das Hosting-Panel Ihres Anbieters (Strato, IONOS, All-Inkl, Hetzner und andere) die PHP-Version im Bereich „PHP-Einstellungen“ oder „Webspace“ an. Wichtig ist die vollständige Nummer mit allen drei Stellen, denn nur daran erkennen Sie, ob der Patch bereits aktiv ist. Eine Website auf „PHP 8.3“ ist erst dann sicher, wenn tatsächlich 8.3.36 läuft.

Wenn Sie keinen Zugang zum Dashboard haben oder sich nicht sicher sind, übernehmen wir die Prüfung. Beim kostenlosen Sofort-Check lesen wir von außen aus, was Ihr Server über seine Version verrät, ohne Zugangsdaten.

Was Sie jetzt tun sollten

Wenn Ihre Website auf PHP 8.2 oder neuer läuft

Dann ist das WordPress-PHP-Update überschaubar. Bei den meisten Hostern können Sie die gepatchte Version im Panel auswählen. Vorher gehört ein vollständiges Backup von Dateien und Datenbank dazu, danach ein Update von WordPress-Kern, Plugins und Theme und ein kurzer Funktionstest von Startseite, Formularen und Login. Wer das nicht selbst machen möchte, bekommt es bei uns als Basis-Update zum Festpreis.

Wenn Ihre Website auf PHP 8.1 oder älter läuft

Dann steht ein echtes Upgrade an. Gerade das WordPress-PHP-7.4-Update ist der häufigste Fall, den wir gerade sehen, weil viele Websites 2020 oder 2021 gebaut und seitdem nicht angefasst wurden. Beim Sprung von 7.4 auf 8.3 oder 8.4 fallen PHP-Funktionen weg, die alte Themes und Plugins noch verwenden. Ohne Vorbereitung zeigt die Website nach der Umstellung im schlimmsten Fall nur noch eine weiße Seite.

Deshalb gehört zum PHP-Version-Aktualisieren in WordPress eine Kompatibilitätsanalyse, ein Test auf einer Kopie der Website, der Ersatz veralteter Plugins und die Behebung der Fehler, die durch entfernte Funktionen entstehen. Das ist der Umfang unseres Pakets PHP-Upgrade.

Wenn Sie nicht ausschließen können, dass schon jemand drin war

Da die Lücke vor der Veröffentlichung ausgenutzt wurde, ist das keine theoretische Frage. Nach dem Update lohnt sich eine Prüfung auf Schadcode und Hintertüren sowie eine Härtung der Installation. Das Paket Upgrade + Sicherheit deckt genau das ab. Eine Website, die nachweislich kompromittiert ist, behandeln wir als separaten Bereinigungsauftrag.

Warum jetzt und nicht nächsten Monat

Angreifer arbeiten mit automatisierten Scannern, die das gesamte Internet nach verwundbaren PHP-Versionen absuchen. Je länger eine Website ungepatcht bleibt, desto höher die Wahrscheinlichkeit, dass sie gefunden wird. Die Folgen reichen von Spam-Weiterleitungen über gestohlene Kundendaten bis zur kompletten Sperrung durch den Hoster. Für ein Unternehmen ist das Update deutlich günstiger als die Bereinigung danach.

Quellen

• PHP-Projekt, Sicherheitsveröffentlichung vom 21.10.2026: php.net/archive/2026.php
• PHP-Sicherheitshinweis zu CVE-2026-109618: github.com/php/php-src
• PHP-Sicherheitshinweis zu CVE-2026-109619: github.com/php/php-src
• National Cyber Security Centre (UK): ncsc.gov.uk
• Help Net Security, 21.10.2026: helpnetsecurity.com
• Amazon Threat Intelligence zur Ausnutzung vor Veröffentlichung: aws.amazon.com