Am 21. Oktober 2026 wurden außerplanmäßig Sicherheitsupdates für zwei kritische Schwachstellen in PHP veröffentlicht. Unter bestimmten Bedingungen können Angreifer dadurch ohne Anmeldung eigenen Code auf einem verwundbaren Webserver ausführen. Die beiden Sicherheitslücken heißen zusammen PHP2Shell.
Die Warnung betrifft weit mehr als nur WordPress. Auch Joomla, WooCommerce und andere PHP-Anwendungen können gefährdet sein. Doch nicht jede Website wurde gehackt, und nicht jede Website verwendet überhaupt PHP.
Hier erfährst du, wer betroffen sein kann, welche PHP-Versionen die Fehler beheben und was Website-Betreiber jetzt tun sollten.
Was ist bei PHP2Shell passiert?
Das PHP-Projekt veröffentlichte am 21. Oktober 2026 Sicherheitsupdates für zwei Schwachstellen:
- CVE-2026-109618: Ein Fehler beim Umgang mit Speichermangel kann interne Daten beschädigen.
- CVE-2026-109619: Interne Zustände können nach dem Freigeben von Speicher ungültige Referenzen behalten.
Beide Schwachstellen wurden mit 9,2 von 10 Punkten nach CVSS v4.0 als kritisch bewertet. Sicherheitsforscher haben unter bestimmten Bedingungen sogenannte Remote Code Execution (RCE) demonstriert. Damit kann ein Angreifer Programmcode auf einem fremden System ausführen.
Besonders kritisch ist der Betrieb mit Apache und mod_php: Für diese Konfiguration wurde ein Angriff vor der Ausführung des eigentlichen Anwendungscodes nachgewiesen. Auch andere PHP-Betriebsarten wie PHP-FPM, php-cgi und LiteSpeed müssen geprüft werden.
Das bedeutet nicht, dass jede verwundbare Website bereits erfolgreich angegriffen wurde. Ob ein bestimmtes System kompromittiert ist, muss einzeln untersucht werden.
Weitere Details liefert die offizielle Sicherheitsmeldung von PHP.
Welche Websites und CMS sind betroffen?
Die verwendete PHP-Laufzeit ist entscheidend, nicht allein der Name des CMS. Eine aktuelle CMS-Version schützt nicht automatisch vor einer Schwachstelle im zugrunde liegenden Server.
| System | Einschätzung |
|---|---|
| WordPress | Potenziell betroffen, wenn ungepatchtes PHP genutzt wird |
| WooCommerce | Potenziell betroffen – läuft auf WordPress und PHP |
| Joomla | Potenziell betroffen |
| TYPO3, Drupal, Contao | Potenziell betroffen |
| Shopware, Magento / Adobe Commerce | Potenziell betroffen |
| Laravel und individuelle PHP-Anwendungen | Potenziell betroffen |
| Shopify (regulärer gehosteter Shop) | Nicht unmittelbar von dieser PHP-Kernlücke betroffen |
| Reine HTML-/CSS-/JavaScript-Websites | Nicht unmittelbar betroffen, wenn serverseitig kein PHP genutzt wird |
| Statisch erzeugte Astro-Websites | Nicht unmittelbar betroffen; PHP-Endpunkte separat prüfen |
Die Tabelle ist eine technische Einordnung und keine Aussage darüber, ob ein konkreter Server kompromittiert wurde. Externe Apps, Schnittstellen und zusätzliche Serverdienste müssen separat betrachtet werden.
WordPress und WooCommerce
WordPress verwendet PHP. Deshalb kann selbst eine Website mit aktuellen WordPress-Versionen und aktualisierten Plugins gefährdet sein, wenn der Webserver noch eine ungepatchte PHP-Version ausführt.
Ein WordPress-Update allein behebt PHP2Shell nicht. Das bestätigt auch WordPress.org in seiner Sicherheitsmeldung. Für WooCommerce gilt derselbe Grundsatz.
Joomla, TYPO3, Drupal und Shopware
Auch bei diesen Systemen kommt PHP zum Einsatz. Je nach installierter Laufzeit, Hosting-Paket und bereitgestellten Sicherheitsupdates besteht ein Risiko.
Der richtige erste Schritt ist deshalb nicht das blinde Austauschen einzelner Erweiterungen, sondern die Überprüfung der PHP-Version und des Patchstands.
Shopify: Sind Shopify-Shops gefährdet?
Ein gewöhnlicher, vollständig auf Shopify gehosteter Onlineshop ist von diesen PHP-Kernschwachstellen nicht unmittelbar betroffen. Shopify betreibt die zentrale Shop-Plattform selbst.
Eine Ausnahme können externe Anwendungen sein: Nutzt ein Shop etwa eine eigene PHP-Schnittstelle zu Warenwirtschaft, ERP, Produktkonfigurator oder Middleware, muss deren Hosting unabhängig von Shopify geprüft werden.
Statische Websites und Astro
Statische HTML-Seiten benötigen zur Auslieferung keine PHP-Laufzeit. Deshalb sind sie nicht direkt von PHP2Shell betroffen.
Aber: Eine statisch erzeugte Astro-Website kann beispielsweise über ein PHP-Kontaktformular Nachrichten versenden. Läuft dieses Formular auf einem verwundbaren PHP-System, muss auch dieser Server aktualisiert werden.
Die Schwachstelle liegt dabei in PHP selbst, nicht automatisch in einer verwendeten Bibliothek wie PHPMailer.
Welche PHP-Versionen beheben die Sicherheitslücken?
Am 21. Oktober 2026 wurden diese korrigierten PHP-Versionen bereitgestellt:
| PHP-Zweig | Behobene Version |
|---|---|
| PHP 8.5 | 8.5.12 oder neuer |
| PHP 8.4 | 8.4.27 oder neuer |
| PHP 8.3 | 8.3.36 oder neuer |
| PHP 8.2 | 8.2.35 oder neuer |
| PHP 8.1 und älter | Kein regulärer Support mehr durch das PHP-Projekt |
Achtung bei älteren Versionsnummern: Linux-Distributionen oder Hosting-Anbieter können Sicherheitskorrekturen als sogenannte Backports einspielen. Dabei bleibt die angezeigte Hauptversion manchmal unverändert. Eine ältere Versionsnummer allein beweist daher nicht, dass das System ungepatcht ist. Der Hoster kann den tatsächlichen Patchstand bestätigen.
Das PHP-Projekt empfiehlt ein sofortiges Update. Eine Firewall-Regel oder andere Übergangsmaßnahme ersetzt den Patch nicht. Die PHP Foundation erläutert die Hintergründe der beiden Schwachstellen.
Was solltest du als Website-Betreiber jetzt tun?
1. PHP-Version feststellen
Bei WordPress findest du die Versionsangabe unter Werkzeuge → Website-Zustand → Info → Server. Bei anderen Systemen gibt es ähnliche Statusanzeigen. Oft lässt sich die verwendete PHP-Version auch direkt im Hosting-Kundenbereich prüfen.
2. Den tatsächlichen Patchstand klären
Prüfe, ob dein Hosting-Anbieter die Korrekturen für CVE-2026-109618 und CVE-2026-109619 bereits installiert hat.
Wenn du einen eigenen Server verwaltest, solltest du die passenden Pakete unverzüglich aktualisieren. Bei Managed Hosting ist der Anbieter dein erster Ansprechpartner.
3. Website und Serverprotokolle kontrollieren
Ein Sicherheitsupdate schließt die Lücke für zukünftige Angriffe. Es beseitigt jedoch keine mögliche Kompromittierung aus der Vergangenheit.
Prüfe deshalb auffällige Zugriffe, unerwartete Dateien, unbekannte Benutzerkonten und verdächtige Änderungen. Bei konkreten Anzeichen für einen Angriff solltest du eine fachkundige Sicherheitsanalyse veranlassen.
4. Backups prüfen
Sichere vollständige, möglichst externe Backups von Website, Datenbank und Konfiguration. Kontrolliere außerdem, ob eine Wiederherstellung tatsächlich funktioniert.
5. Falls kein Update möglich ist: Zugriff begrenzen
Wenn ein gefährdeter öffentlicher Server nicht zeitnah gepatcht werden kann, solltest du den Zugriff vorübergehend einschränken. Je nach Risiko kann eine zeitweise Abschaltung sinnvoll sein.
Auch die europäische Cybersicherheitsagentur ENISA empfiehlt, exponierte PHP-Systeme vorrangig zu aktualisieren oder bis zur Behebung zu isolieren.
Häufige Fragen zu PHP2Shell
Wurde meine Website automatisch gehackt?
Nein. Eine bekannte Sicherheitslücke ist nicht dasselbe wie ein bestätigter Einbruch. Ob deine Website tatsächlich angegriffen oder kompromittiert wurde, lässt sich nur durch eine Prüfung feststellen.
Reicht es, WordPress oder Joomla zu aktualisieren?
Nein. Der Fehler liegt in der PHP-Laufzeit. CMS, Themes und Plugins sollten ebenfalls aktuell sein. Diese Updates ersetzen jedoch keine PHP-Sicherheitskorrektur.
Sind WooCommerce-Shops betroffen?
Potenziell ja. Ein WooCommerce-Shop benötigt PHP. Entscheidend sind die installierte PHP-Version und die vom Hosting-Anbieter eingespielten Patches.
Sind Shopify-Shops betroffen?
Nicht unmittelbar über die reguläre Shopify-Shop-Plattform. Eigene PHP-Backends, externe Apps und Integrationen müssen unabhängig davon überprüft werden.
Ist meine Astro-Website sicher?
Eine rein statische Astro-Website ist nicht unmittelbar von dieser PHP-Lücke betroffen. Nutzt sie allerdings einen PHP-Endpunkt für Kontaktformulare oder andere Funktionen, muss dessen Server geprüft werden.
Muss ich meine Website sofort abschalten?
Nicht pauschal. Entscheidend ist, ob dein System verwundbar und öffentlich erreichbar ist und wie schnell ein Update möglich ist. Wenn sich ein kritisches Risiko nicht zeitnah beheben lässt, kann eine Zugriffssperre oder Abschaltung notwendig sein.
Weitere technische Grundlagen findest du in unserer SEO-Checkliste für den Website-Relaunch.
Fazit: Nicht nur das CMS muss aktuell sein
PHP2Shell macht deutlich: Website-Sicherheit endet nicht bei WordPress-, Joomla- oder Plugin-Updates. Auch die Serverumgebung muss regelmäßig gewartet werden.
Wer geschäftliche Websites oder Onlineshops betreibt, sollte wissen, wer sich um PHP-Updates, Backups und Sicherheitsprüfungen kümmert.
Du bist unsicher, wie deine Website technisch aufgestellt ist? Digitalhaus Kunze unterstützt dich bei der technischen Einordnung und der Abstimmung notwendiger Maßnahmen mit deinem Hosting-Anbieter. Jetzt Kontakt aufnehmen.
Quellen und weiterführende Informationen
- PHP-Projekt: Offizielle Sicherheitsmeldung vom 21. Oktober 2026
- PHP Foundation: Hintergründe der Sicherheitsupdates
- WordPress.org: Kritisches PHP-Sicherheitsupdate
- ENISA: Gemeinsame europäische Sicherheitswarnung
- NHS England: Technische Informationen zu PHP2Shell
Stand: 22. Oktober 2026. Die Sicherheitslage kann sich ändern. Verbindliche Aussagen zum Patchstatus liefert der jeweilige Hosting- oder Server-Anbieter.
War dieser Artikel hilfreich?
Dein Feedback hilft uns, unsere Ratgeber zu verbessern.
Mit Digitalhaus Kunze gearbeitet?
Dann freuen wir uns über deine ehrliche Erfahrung auf Google – unabhängig davon, ob sie positiv oder kritisch war.
Auf Google bewerten