PHP2Shell: Ist Ihre Website betroffen?
Seit Dienstag warnen das BSI und das PHP-Projekt vor zwei schweren Lücken in PHP. Das ist die Technik, auf der praktisch jede WordPress-Seite läuft. Hier steht, was da eigentlich los ist, wer jetzt was tun muss und wo es bei vielen Firmenwebsites gerade hakt.
Das Wichtigste in Kürze
- Angreifer können über die Lücken aus der Ferne eigenen Code auf dem Server ausführen. Ohne Passwort.
- Sicher sind erst PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, erschienen am 21. Oktober.
- Für PHP 8.1 und älter gibt es vom PHP-Projekt kein Update mehr.
- Das Update schließt die Lücke. Wer schon drin ist, bleibt aber drin.
Was ist da eigentlich passiert?
PHP ist die Programmiersprache, mit der der Server eine WordPress-Seite überhaupt erst zusammenbaut. Bevor ein Besucher irgendwas sieht, läuft auf dem Server PHP. Genau da sitzen die beiden Fehler, die jetzt unter dem Namen „PHP2Shell“ durch die Nachrichten gehen. Der Name ist angelehnt an „Log4Shell“, die große Java-Lücke von 2021.
Offiziell heißen die Lücken CVE-2026-109618 und CVE-2026-109619. So eine CVE-Nummer ist einfach die weltweit einheitliche Kennung für eine Sicherheitslücke. Beide sind mit 9,2 von 10 Punkten bewertet, also kritisch. Das BSI hat am 21. Oktober die zweithöchste Warnstufe „Orange“ ausgerufen. Übersetzt heißt das: sofort handeln.
Eigentlich sollten die Details erst später veröffentlicht werden. Sie sind aber vorzeitig durchgesickert, das PHP-Team hat die Updates deshalb einen Tag vorgezogen. Sicherheitsfirmen melden seitdem erste Angriffsversuche. Der Angriff passiert übrigens, bevor WordPress selbst überhaupt etwas mitbekommt. Ein Sicherheits-Plugin auf der Seite hilft hier also nur begrenzt.
Ausführlich mit allen Hintergründen und einer Schritt-für-Schritt-Prüfung: unser Ratgeber zur PHP-Sicherheitslücke.
Wer muss jetzt was tun?
Betroffen ist so gut wie jede Seite mit PHP. Die spannendere Frage ist ehrlich gesagt eine andere: Wer spielt das Update ein, und gibt es für Ihre Version überhaupt eins?
Normales Webhosting, PHP 8.2 bis 8.5
Hier spielt der Hoster das Update auf seinen Servern ein. Sie müssen nur nachsehen, ob er das auch bestätigt hat. Meist steht das auf der Statusseite oder kommt per Mail.
PHP 8.1 oder älter
Das ist der eigentliche Knackpunkt. Für diese Versionen veröffentlicht das PHP-Projekt keine Updates mehr, auch jetzt nicht. Ob der Hoster selbst etwas nachbaut, ist offen. Sicher ist die Seite erst auf einer gepflegten Version.
Eigener Server
Läuft die Seite auf einem eigenen oder gemieteten virtuellen Server, also nicht im klassischen Hosting-Paket, muss PHP dort von Ihnen oder Ihrem Dienstleister aktualisiert werden.
| PHP-Version | Sicher ab |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 (Support endet am 31.12.2026) |
| 8.1 und älter | kein offizielles Update |
So finden Sie Ihre Version heraus
Im WordPress-Backend unter „Werkzeuge → Website-Zustand → Bericht“, dort im Abschnitt „Server“. Alternativ im Kundenbereich Ihres Hosters, meistens unter „PHP-Version“ oder „PHP-Einstellungen“ bei der jeweiligen Domain.
Wichtig: Ein Update von WordPress, Plugins oder Theme ändert an PHP gar nichts. Das sind zwei verschiedene Baustellen.
Was das Update nicht erledigt
Das Update macht die Tür zu. Wenn in der Zwischenzeit aber schon jemand reingekommen ist und eine Hintertür hinterlassen hat, also zum Beispiel eine versteckte PHP-Datei, über die er jederzeit wieder rein kann, dann bleibt die natürlich da.
Deshalb gehört nach dem Patchen ein kurzer Blick auf die Seite dazu. Gibt es unbekannte Dateien? Neue Admin-Konten, die keiner angelegt hat? Hat sich im Theme etwas verändert? Und schickt die Seite oder das Postfach plötzlich Mails raus, die keiner geschrieben hat?
Wenn da was auffällt: bitte nicht einfach ein altes Backup drüberspielen. Damit ist die Hintertür oft gleich mit zurück.
Verdacht auf einen Hack?
Wir bereinigen gehackte WordPress-Seiten zum Festpreis von 495 € netto, mit kostenloser Ersteinschätzung vorab. Antwort werktags in unter vier Stunden.
Sie sind bei uns in Wartung?
Dann müssen Sie von sich aus nichts tun. Wir gehen alle Seiten in unserer Betreuung durch und klären mit den Hostern, wo das Update schon drauf ist. Falls bei Ihrer Seite etwas zu tun ist, melden wir uns persönlich bei Ihnen.
Das nächste Datum steht schon fest
PHP 8.2 bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Wer jetzt auf 8.2 patcht, hat also gerade mal zwei Monate Ruhe. Der Umstieg auf 8.3 oder neuer sollte deshalb nicht bis Silvester warten. Alte Themes und Plugins laufen auf neuem PHP nämlich nicht immer sauber, das will vorher getestet sein.
Gemeinsam draufschauen: 30 Minuten per Video
Sie haben Fragen zu PHP2Shell und wollen das einmal in Ruhe erklärt bekommen? Oder wir schauen uns Ihre Website direkt gemeinsam an, Sie teilen den Bildschirm, und wir sagen Ihnen gleich, ob und was zu tun ist. Beides per Video-Call, kostenlos und ohne Verkaufsshow.
Die Bestätigung mit Link zum Video-Call bekommen Sie sofort per E-Mail. Ohne Konto, ohne Anmeldung.
Lieber schriftlich?
Schicken Sie uns die Adresse Ihrer Website. Wir prüfen, auf welcher PHP-Version sie läuft und ob Ihr Hoster schon nachgezogen hat, und sagen Ihnen kurz und verständlich, ob Sie was tun müssen. Kostenlos.
Ein ehrliches Wort dazu: Von außen verraten viele Server ihre PHP-Version gar nicht, und das ist auch gut so. Wenn wir es nicht sicher sagen können, sagen wir das auch so und klären den Rest mit Ihnen. Wir schicken dabei keine Angriffe auf Ihre Seite, um sie zu „testen“.
Häufige Fragen
Muss ich meine Website jetzt abschalten?
In den meisten Fällen nicht. Läuft die Seite im Hosting-Paket auf PHP 8.2 bis 8.5 und hat der Hoster das Update bestätigt, ist die Lücke zu. Anders sieht es bei alten PHP-Versionen ohne Korrektur aus. Da rät das BSI im Zweifel, den Server vorübergehend vom Netz zu nehmen. Lieber einen Tag eine Wartungsseite als eine gekaperte Website.
Hilft mein Sicherheits-Plugin?
Nur sehr eingeschränkt. Der Angriff setzt in PHP selbst an, also eine Ebene unter WordPress. Bis ein Plugin wie Wordfence überhaupt geladen ist, kann der Schaden schon passiert sein.
Betrifft das nur WordPress?
Nein. Betroffen ist alles, was mit PHP läuft, also auch Joomla, TYPO3, Shopware oder eigene Webanwendungen. WordPress ist nur das mit Abstand häufigste davon.
Woran merke ich, ob schon jemand drin war?
Oft gar nicht, und das ist das Fiese daran. Typische Anzeichen sind Weiterleitungen auf fremde Seiten, komische Einträge in Google, neue Admin-Benutzer oder ein Postfach, das plötzlich als Spamschleuder geblockt wird. Wenn Sie unsicher sind, schreiben Sie uns lieber einmal zu viel.