Aktuelle kritische PHP-Sicherheitslücken (PHP2Shell) – Was Website- und Shop-Betreiber jetzt tun müssen

Aktuelle kritische PHP-Sicherheitslücken (PHP2Shell) – Was Website- und Shop-Betreiber jetzt tun müssen

Was ist passiert?

Am 21. Oktober 2026 werden zwei hochkritische Sicherheitslücken in PHP selbst (nicht in einem Plugin oder CMS) öffentlich gemacht und gepatcht:

• CVE-2026-109618 und CVE-2026-109619
• Bekannt unter dem Namen „PHP2Shell“
• Schweregrad: CVSS 9.2 (von 10) – Remote Code Execution (RCE)
• Angreifer können ohne Anmeldung eigenen Code auf dem Server ausführen
• Betroffen sind laut aktuellen Einschätzungen praktisch alle PHP-Versionen ab ca. 5.4
• Sicherheitsforscher erwarten Massenangriffe kurz nach Veröffentlichung der Patches

Welche Versionen sind kritisch?

PHP-Version	Status	Offizieller Patch?	Risiko
PHP 8.5 / 8.4 / 8.3 / 8.2	Noch unterstützt	Ja (Notfall-Update heute)	Mittel – Update dringend
PHP 8.1 und älter (inkl. 8.0, 7.x, 5.x)	End-of-Life	Nein	Sehr hoch

Besonders gefährdet sind ältere Installationen, die noch auf PHP 7.4, 8.0 oder 8.1 laufen – diese bekommen keine offiziellen Sicherheitsupdates mehr vom PHP-Projekt.

Was können Sie jetzt tun? – Schritt-für-Schritt-Anleitung

1. PHP-Version prüfen

• Loggen Sie sich in Ihr Hosting-Panel (z. B. Plesk, cPanel, Confix, All-Inkl, Strato, IONOS, Hetzner etc.) ein.
• Schauen Sie unter „PHP-Einstellungen“, „PHP-Version“ oder „Software“.
• Alternativ: Legen Sie eine Datei info.php mit folgendem Inhalt an und rufen Sie sie im Browser auf:

<?php phpinfo(); ?>

Die Version steht ganz oben. Löschen Sie die Datei danach sofort wieder!

2. Prüfen, ob Ihr Hoster das Update übernimmt

• Schauen Sie in Ihr Hosting-Panel, ob dort bereits eine neue PHP-Version (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 oder neuer) angeboten wird.
• Viele Managed-Hoster spielen Sicherheitsupdates automatisch ein.
• Bei Shared-Hosting oder älteren Tarifen müssen Sie die Version oft manuell umschalten.
• Schreiben Sie Ihrem Hoster eine Support-Anfrage:
  „Bitte prüfen Sie, ob unser Server gegen die kritischen PHP-Lücken CVE-2026-109618 und CVE-2026-109619 (PHP2Shell) abgesichert ist und ob ein Update auf eine gepatchte Version möglich ist.“

Kurze und klare Antwort:

Wer spielt die Updates ein?

Es kommt stark auf deinen Hosting-Typ an:

Hosting-Art	Wer macht das Update?	Was musst du tun?
Managed Hosting / Premium (z. B. Raidboxes, WP Engine, gute All-Inkl-Tarife, manche IONOS/Strato Business)	Der Hoster spielt die Patches meist automatisch ein	Fast nichts – trotzdem nachfragen
Klassisches Shared Hosting(günstigste Tarife bei All-Inkl, Strato, IONOS, 1&1, Hetzner Shared etc.)	Der Hoster stellt die neuen PHP-Versionen bereit	Du musst die Version manuell umschalten
VPS / Root-Server / Dedicated	Du selbst (oder dein Admin)	Du musst PHP selbst updaten und neu starten
Plesk / cPanel Server	Hoster liefert Pakete nach, du oder der Admin spielt sie ein	Nachschauen und ggf. aktualisieren

Was du jetzt konkret tun solltest

1. PHP-Version prüfen
   • Im Hosting-Panel unter „PHP-Einstellungen“ / „PHP-Version“ nachschauen
   • Oder in WordPress: Werkzeuge → Website-Zustand → Bericht → Server
2. Beim Hoster nachfragen (wichtig!)
   Schreibe eine Support-Anfrage, z. B.:

   „Hallo, bitte teilen Sie mir mit, ob und wann Sie die kritischen PHP-Sicherheitsupdates vom 21.10.2026 (CVE-2026-109618 & CVE-2026-109619 / PHP2Shell) einspielen. Welche PHP-Version läuft aktuell auf meinem Account und wann ist die gepatchte Version verfügbar?“

3. Sobald die neue Version verfügbar ist
   • Auf die neueste verfügbare Version umschalten (mind. 8.2.x, besser 8.3 oder höher)
   • Website testen (Shop, Formulare, Login etc.)
   • Bei VPS/Root: PHP-FPM oder Apache neu starten
4. Falls du noch auf PHP 8.1 oder älter bist
   • Es kommt kein offizieller Patch vom PHP-Projekt
   • Du musst auf mindestens PHP 8.2 (besser neuer) umstellen
   • Manche Hoster oder Distributionen (z. B. CloudLinux, Debian LTS) machen eventuell Backports – das musst du aber explizit erfragen.

Wichtiger Hinweis

Viele Hoster brauchen Stunden bis einige Tage, bis die neuen PHP-Pakete bei ihnen verfügbar sind. Gute Managed-Hoster sind meist sehr schnell. Bei günstigem Shared-Hosting kann es länger dauern.

Empfehlung:
Frag heute noch bei deinem Hoster nach. Verlasse dich nicht darauf, dass es „schon irgendwie“ passiert.

Brauchst du Hilfe bei der Prüfung oder beim Umstellen? Sag einfach Bescheid – ich kann dir genau sagen, was bei deinem Hoster zu tun ist.

3. Sofortmaßnahmen, falls noch kein Patch verfügbar ist

Temporäre Absicherung (von der Community empfohlen):

In der php.ini oder den PHP-Einstellungen setzen:

session.upload_progress.enabled = Off

Danach PHP neu starten / Webserver neu laden.
Diese Maßnahme ist nur ein Notbehelf und ersetzt kein Update.

4. Update / Migration durchführen

• Auf eine unterstützte und gepatchte Version wechseln (mindestens PHP 8.2, besser 8.3 oder neuer).
• Vorher immer ein vollständiges Backup erstellen (Dateien + Datenbank).
• Nach dem Wechsel Website gründlich testen (Shop-Funktionen, Formulare, Plugins).

5. Dauerhafte Sicherheit

• Stellen Sie sicher, dass Sie künftig nur noch unterstützte PHP-Versionen nutzen.
• Automatische Updates aktivieren, falls verfügbar.
• Regelmäßig prüfen, welche PHP-Version Ihr Hoster anbietet.

Wichtiger Hinweis

Die Lücke steckt im PHP-Kern. Es reicht nicht, nur WordPress, Magento, Shopware, Joomla oder Plugins zu aktualisieren – die PHP-Version selbst muss gepatcht oder ausgetauscht werden.

---

Brauchen Sie Hilfe?
Im Notfall kümmere ich mich um alles: Prüfung der aktuellen Version, Absicherung, Update/Migration und abschließenden Sicherheitstest. Melden Sie sich einfach – je schneller gehandelt wird, desto besser.

Benötigen Sie Unterstützung oder Ihre Seite ist nicht mehr online, rufen Sie mich an!