Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen „PHP2Shell“ bekannt geworden sind. Angreifer können damit unter Umständen ohne Anmeldung Code auf Webservern ausführen. Betroffen ist potenziell jede Website, die auf PHP läuft – also auch die meisten WordPress-Seiten, Webshops und Kundenportale.
In diesem Beitrag fassen wir zusammen, was bekannt ist, wer betroffen sein kann und welche Schritte Sie jetzt setzen sollten.
Hinter PHP2Shell stehen zwei Schwachstellen in PHP selbst, nicht in einem einzelnen Plugin oder CMS:
Beide Lücken sind mit CVSS 9.2 (kritisch) bewertet. Laut PHP-Projekt ist das Risiko bei Apache mit mod_php am höchsten: Dort wurde gezeigt, dass eine einzige Anfrage ohne Anmeldung den Angriff auslösen kann – noch bevor die eigentliche Anwendung läuft. Ein Login-Schutz oder ein aktuelles WordPress allein hilft deshalb nicht.
Nach aktuellem Stand betrifft PHP2Shell PHP-Installationen, die Webanfragen verarbeiten – unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das umfasst typischerweise:
Besonders kritisch sind ältere PHP-Versionen. PHP 8.1 und älter erhalten vom PHP-Projekt keine regulären Updates mehr. Wegen der Schwere der Lücke hat das PHP-Team zwar Quellcode-Korrekturen für PHP 7.4, 8.0 und 8.1 bereitgestellt – diese muss man aber selbst kompilieren oder über eine Linux-Distribution bzw. einen LTS-Anbieter beziehen. Für PHP 5 gibt es keine Korrektur.
Die Lücken sind in folgenden PHP-Versionen behoben:
Wichtig: Viele Linux-Distributionen und Hoster spielen Sicherheitskorrekturen als „Backport“ ein, ohne dass sich die Versionsnummer ändert. Eine ältere Nummer bedeutet also nicht automatisch, dass ein System ungeschützt ist – und eine neue Nummer allein ist noch kein Beweis. Im Zweifel hilft nur die Rückfrage beim Hoster bzw. der Blick in die Sicherheitsmeldungen der Distribution.
Das PHP-Projekt bestätigt selbst, dass ein funktionierender Exploit existiert. Sicherheitsfirmen wie watchTowr und Amazon Threat Intelligence berichten zudem von ersten Angriffsversuchen auf ihre Honeypot-Systeme. Breit bestätigte Massenangriffe gibt es nach derzeitigem Stand (22.10.2026) noch nicht – erfahrungsgemäß folgen auf solche Veröffentlichungen aber innerhalb weniger Tage automatisierte Scans im Internet.
Nach einer Auswertung von OX Security lief am Tag der Veröffentlichung der Großteil der öffentlich erreichbaren PHP-Server weltweit noch ungepatcht, rund zwei Drittel davon sogar auf alten Versionen ohne offiziellen Fix. Abwarten ist daher keine Option.
Lassen Sie uns gemeinsam den passenden Weg für Ihre IT finden.
session.upload_progress.enabled=0 (mit Neustart aller PHP-Worker) und ein niedriges post_max_size. Auch eine Web Application Firewall kann bekannte Angriffsmuster abfangen. Das PHP-Projekt betont aber: Keine dieser Maßnahmen macht ein System sicher – nur das Update.
Wer PHP2Shell schließen muss, hängt davon ab, wo Ihre Website und Ihre Anwendungen laufen:
Entscheidend ist, dass für jedes System klar ist, wer sich darum kümmert – gerade bei älteren oder „vergessenen“ Seiten bleibt ein Update sonst schnell liegen.
Professionell & persönlich
Ob Server-Lösung für Kleinunternehmen oder komplexe Netzwerkinfrastruktur. Wir liefern die passende Technik.
Wir bieten professionelle WLAN-Lösungen, Videoüberwachung sowie Telefonanlagen für kleine Firmen.
Mit Office 365 für Unternehmen und sicheren Cloud-Diensten ermöglichen wir ortsunabhängiges Arbeiten uvm.
Wir betreuen Ihre IT jeden Tag, machen Updates, beheben Fehler und sorgen dafür, dass alles läuft. Rund um die Uhr.
PHP2Shell steckt in PHP selbst und betrifft damit einen Großteil aller Websites, Shops und Portale – egal, wie aktuell WordPress und die Plugins sind. Wirksam schützt nur das Update auf eine abgesicherte PHP-Version. Klären Sie deshalb jetzt mit Ihrem Hoster, Ihrer Webagentur oder Ihrem IT-Dienstleister, ob alle Ihre Systeme abgesichert sind.
Antworten auf Ihre Fragen zu PHP2Shell
Wenn Ihre Website auf einer nicht abgesicherten PHP-Version läuft, ja – unabhängig davon, ob WordPress und alle Plugins aktuell sind. Die Lücke liegt in PHP selbst, nicht in WordPress.
In WordPress zeigt Werkzeuge → Website-Zustand → Bericht unter „Server“ die PHP-Version an. Alternativ steht sie im Kundenbereich Ihres Hosters. Auf dem Server selbst liefert php -v die Version der Kommandozeile – die Version des Webservers kann davon abweichen.
Lassen Sie sich schriftlich bestätigen, dass der Patch eingespielt wurde. Läuft Ihre Seite auf einer veralteten PHP-Version, müssen Sie die Umstellung oft selbst im Hosting-Panel auslösen.
Nein. Eine Web Application Firewall kann bekannte Angriffe abfangen und Zeit verschaffen, schließt die Lücke aber nicht. Das PHP-Projekt stellt klar, dass es keine vollständigen Gegenmaßnahmen gibt – nur das Update auf eine abgesicherte PHP-Version behebt das Problem.
