PHP2Shell:
Was die PHP-Lücke für Ihre WordPress-Seite bedeutet

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Ihr Name: PHP2Shell. Angreifer können darüber Schadcode auf einen Webserver bringen, ohne sich irgendwo anzumelden.

Betroffen ist jede Website, die mit PHP läuft, egal ob WordPress, Shop-System oder Eigenentwicklung. WordPress-Seiten trifft es damit praktisch alle, denn WordPress läuft auf PHP. Schützen kann Sie nur ein PHP-Update auf dem Server. Ein WordPress-Update oder ein Sicherheits-Plugin hilft hier nicht.

Das Wichtigste in Kürze

• Betroffen ist jede PHP-Version ab 5.4 aus dem Jahr 2012, auch mit Standardeinstellungen.
• Die Lücke steckt in PHP selbst. WordPress, Theme und Plugins sind nicht die Ursache.
• Das PHP-Projekt stuft beide Lücken als kritisch ein: 9,2 von 10 Punkten.
• Das Update muss einspielen, wer den Server betreibt. Bei Managed oder Shared Hosting ist das Ihr Anbieter, beim eigenen Server sind Sie es selbst.
• Erste Angriffsversuche gab es schon, bevor der Patch erschien.

Was ist PHP2Shell?

PHP2Shell ist der Sammelname für zwei Fehler im Kern von PHP, offiziell CVE-2026-109618 und CVE-2026-109619.

Beim ersten Fehler geht PHP während einer Anfrage der Speicher aus. Beim anschließenden Aufräumen arbeitet PHP mit halb angelegten Daten weiter. Beim zweiten Fehler bleiben Daten einer Anfrage im Speicher liegen, obwohl sie längst gelöscht sein müssten. Landet die nächste Anfrage beim selben PHP-Prozess, greift er auf diese Reste zu.

Für Sie zählt das Ergebnis: Mit präparierten Anfragen kann ein Angreifer Code auf Ihrem Server ausführen. Ein Passwort braucht er dafür nicht. Laut PHP-Projekt ist jede Installation betroffen, die Webseiten ausliefert, egal ob PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Am größten ist das Risiko bei mod_php.

Die Entdecker von Calif haben den Angriff laut Sansec an verbreiteten PHP-Anwendungen vorgeführt, darunter WordPress 7.1.2, Drupal, Joomla, Magento und Nextcloud.

Warum WordPress-Updates und Sicherheits-Plugins hier nicht helfen

Der Angriff passiert in PHP, bevor WordPress überhaupt startet. Ein Sicherheits-Plugin, eine Firewall auf Plugin-Ebene oder ein Wartungsmodus kommt deshalb gar nicht erst zum Zug. Einen Update-Button für dieses Problem gibt es im WordPress-Backend auch nicht.

Helfen kann nur eine neue PHP-Version auf dem Server. Und die liegt in der Hand dessen, der den Server betreibt.

Timeline: Vom Leak bis zum Patch

Alle Zeiten in deutscher Sommerzeit (MESZ).

• 1. August 2026: Das Sicherheitsunternehmen Calif findet die Lücken und meldet sie vertraulich an das PHP-Team. Kurz darauf meldet auch Wiz Research die Fehler.
• 20. Oktober 2026: Details sickern vorzeitig ins Netz. Das PHP-Projekt zieht die Updates um einen Tag vor, geplant war der 22. Oktober.
• 21. Oktober, 05:02 Uhr: Cloudflare schaltet Schutzregeln frei, auch im kostenlosen Tarif.
• 21. Oktober, 09:43 Uhr: Cloudflare meldet erste Angriffsversuche. Einen Patch gibt es zu diesem Zeitpunkt noch nicht.
• 21. Oktober, 16:00 Uhr: Das PHP-Projekt veröffentlicht die abgesicherten Versionen.
• 21. Oktober, 16:10 Uhr: Alle PHP-Versionen auf unserem Hosting-Server sind aktualisiert.
• 21. Oktober, 17:15 Uhr: Unsere Kund:innen bekommen eine Mail mit dem Stand. Zu tun haben sie nichts.
• 21. Oktober, ab dem Nachmittag: Die Linux-Distributionen ziehen nach. AlmaLinux und Ubuntu melden am 21. Oktober noch „Patches in Arbeit“, das verbreitete Remi-Repository hat laut PHP-Projekt an diesem Tag keine Updates.

Warum das Tempo zählt: Mit dem Patch wird öffentlich, was geändert wurde. Daraus lassen sich Angriffe bauen, ein fertiges Werkzeug kursiert bereits. Fachleute rechnen mit automatisierten Massenangriffen. Jede Stunde ohne Update ist eine Stunde, in der Ihre Seite offen steht.

Bin ich betroffen? So prüfen Sie die PHP-Version Ihrer WordPress-Seite

1. PHP-Version nachsehen: Im WordPress-Backend unter Werkzeuge → Website-Zustand → Bericht → Server steht, mit welcher PHP-Version Ihre Seite läuft.
2. Mit den sicheren Versionen vergleichen: Abgesichert sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie alle neueren Versionen. Aber Vorsicht: Manche Linux-Distributionen spielen den Fix ein, ohne die Versionsnummer zu ändern. Eine niedrigere Nummer heißt also nicht automatisch, dass Ihre Seite offen ist. Im Zweifel fragen Sie nach.
3. PHP 8.1 oder älter? Dafür liefert das PHP-Projekt keine fertigen Updates mehr. Fragen Sie Ihren Anbieter, ob er den Fix nachgerüstet hat, und planen Sie den Umstieg auf mindestens PHP 8.3.
4. Beim Hoster nachfragen: Eine kurze Mail genügt: „Ist das PHP-Update gegen PHP2Shell (CVE-2026-109618 und CVE-2026-109619) für meine Website eingespielt und PHP danach neu gestartet?“ Achten Sie auf die Antwort. „Wir haben eine Firewall-Regel aktiviert“ ist gut, heißt aber nicht „PHP ist aktualisiert“.
5. Nach Einbruchsspuren suchen: Eine Hintertür, die vor dem Update eingebaut wurde, bleibt auch danach. Prüfen Sie, ob es unbekannte Admin-Konten oder Plugins gibt, ob im Ordner wp-content/uploads PHP-Dateien liegen, ob die Google Search Console Sicherheitsprobleme meldet und ob eine Google-Suche nach site:ihredomain.de fremde Seiten zeigt.

Was tun, wenn Ihr Hoster die Sicherheitslücke noch nicht geschlossen hat?

Betreiben Sie den Server selbst (VPS, Cloud-Server, Docker), spielen Sie die aktualisierten Pakete Ihrer Distribution ein und starten danach PHP-FPM oder Apache neu. Bis zum Neustart läuft der alte Code weiter. Bei Docker reicht es nicht, das neue Image herunterzuladen: Die Container müssen neu erstellt werden.

Bis das Update da ist, gibt es Notlösungen. Die Schutzregeln von Cloudflare greifen auch im kostenlosen Tarif. Das PHP-Projekt nennt außerdem Einstellungen, die einzelne Angriffswege erschweren, etwa session.upload_progress.enabled=0 und kleinere Upload-Grenzen. Sicher wird eine Installation dadurch aber nicht, sagt das PHP-Team selbst. Diese Maßnahmen überbrücken nur die Zeit bis zum Update.

Und wenn Ihr Hoster auf Nachfrage keinen klaren Stand nennen kann? Dann haken Sie nach oder holen sich Unterstützung.

Was wir für unsere Kund:innen gemacht haben

Das PHP-Update lief bei uns am 21. Oktober um 16:10 Uhr, zehn Minuten nach der Veröffentlichung. Seitdem sind alle PHP-Versionen auf unserem Hosting-Server abgesichert.

Die Websites wurden dabei kurz neu geladen. Ausgefallen ist keine. Um 17:15 Uhr hatten alle Kund:innen eine Mail mit dem Stand im Postfach. Tun mussten sie nichts.

Warum das bei einem Managed Service so schnell geht, lesen Sie im Ratgeber Managed WordPress-Hosting.

Fazit

Fachleute zählen PHP2Shell zu den schwersten PHP-Lücken seit Jahren. Sie funktioniert ohne Login und trifft fast jede PHP-Installation. Für Sie als WordPress-Betreiber ist die Lage trotzdem überschaubar. Läuft auf Ihrem Server eine abgesicherte PHP-Version und finden Sie keine Einbruchsspuren, sind Sie auf der sicheren Seite.

Und wenn Sie nicht sicher sind? Dann fragen Sie heute noch Ihren Hoster. Oder lassen Sie uns kurz draufschauen: Der Hosting-Check ist kostenlos, und Sie wissen noch heute, wo Ihre Seite steht.