PHP Sicherheitslücke PHP2Shell: Was Sie jetzt tun sollten

Seit dem 21. Oktober 2026 berichten Nachrichten, Behörden und IT-Experten über eine neue PHP-Sicherheitslücke. Ihr Name: PHP2Shell.

Das klingt technisch. Es betrifft aber nicht nur große Unternehmen. Jeder, der eine eigene Website hat, sollte jetzt kurz prüfen, ob Handlungsbedarf besteht.

In diesem Artikel erfahren Sie, was genau passiert ist, ob Ihre Website betroffen sein kann und welche Schritte jetzt sinnvoll sind. Ganz ohne Fachchinesisch.

1. Was ist passiert? PHP2Shell einfach erklärt

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP. Offiziell heißen sie CVE-2026-109618 und CVE-2026-109619.

Am 20. Oktober 2026 hat das PHP-Team vorab vor den Lücken gewarnt. Kurz darauf sickerten Details vorzeitig ins Netz. Am 21. Oktober 2026 erschienen die Sicherheitsupdates.

Beide Lücken wurden mit 9,2 von 10 Punkten bewertet. Das ist die Stufe „kritisch“.

Das Problem: Angreifer können ohne Login und ohne Ihr Zutun eigenen Code auf dem Webserver ausführen. Im schlimmsten Fall übernehmen sie Ihre Website oder sogar den ganzen Server.

Inzwischen gibt es Berichte über aktive Angriffe. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat deshalb eine Warnung zu PHP mit der Warnstufe „3 / Orange“ herausgegeben. Es rät zu sofortigen Updates und notfalls dazu, den Webserver vorübergehend vom Netz zu nehmen.

Mehrere Behörden, Kommunen und Hochschulen, darunter die Stadt Mainz, haben ihre Websites vorsorglich abgeschaltet.

2. Was ist PHP und läuft meine Website damit?

PHP ist eine Programmiersprache. Sie arbeitet im Hintergrund auf dem Server und sorgt dafür, dass Ihre Website Inhalte anzeigt, Formulare verschickt oder Bestellungen annimmt.

Man kann sich PHP wie den Motor eines Autos vorstellen. Von außen sieht man ihn nicht. Aber ohne ihn fährt nichts.

Laut Forschenden läuft PHP auf rund 70 % aller Websites. Die Wahrscheinlichkeit ist also hoch, dass auch Ihre Website dazugehört.

PHP steckt zum Beispiel hinter diesen Systemen:

• WordPress
• Joomla
• TYPO3
• Shopware

Anders sieht es bei Baukästen wie Wix, Jimdo oder Squarespace aus. Dort kümmert sich in der Regel der Anbieter selbst um die Technik im Hintergrund.

Moderne Websites, zum Beispiel mit Next.js gebaut, kommen oft ohne klassischen PHP-Server aus. Aber auch moderne Technik braucht Pflege und Updates.

3. Warum ein WordPress-Update diesmal nicht reicht

Viele Website-Betreiber kennen das: Im WordPress-Dashboard erscheint ein Hinweis, man klickt auf „Aktualisieren“, fertig.

Diesmal ist das anders.

Der Fehler steckt nicht in WordPress, sondern eine Ebene darunter: in PHP selbst. WordPress läuft auf PHP, so wie eine App auf dem Betriebssystem Ihres Smartphones.

Deshalb ist auch ein gut gepflegtes WordPress betroffen, wenn die PHP-Version darunter veraltet ist.

Ein Update im WordPress-Backend reicht diesmal nicht.

Was jetzt zählt, ist ein PHP-Update auf dem Server. Und die PHP-Version wird beim Hoster eingestellt, nicht in WordPress.

WordPress-Updates bleiben trotzdem wichtig. Sie lösen nur dieses Problem nicht.

4. PHP-Version prüfen: So finden Sie sie heraus

Es gibt zwei einfache Wege, Ihre PHP-Version herauszufinden.

Weg 1: Im Kundenbereich Ihres Hosters

Ihr Hoster ist das Unternehmen, bei dem Ihre Website technisch „wohnt“. Bekannte Beispiele sind Strato, IONOS, All-Inkl oder Host Europe.

Melden Sie sich im Kundenbereich an. Suchen Sie dort nach einem Bereich mit der Bezeichnung „PHP“ oder „PHP-Einstellungen“. Dort sehen Sie, welche Version für Ihre Website eingestellt ist.

Die Bezeichnung unterscheidet sich je nach Anbieter. Im Zweifel hilft der Support Ihres Hosters.

Weg 2: Die PHP-Version direkt in WordPress prüfen

Wenn Sie WordPress nutzen, geht es oft noch schneller:

• Melden Sie sich in WordPress an
• Öffnen Sie im Menü „Werkzeuge“
• Klicken Sie auf „Website-Zustand“
• Wählen Sie den Reiter „Bericht“
• Öffnen Sie den Bereich „Server“

Dort steht die genaue PHP-Version Ihrer WordPress-Website, zum Beispiel 8.3.36.

Achten Sie auf die komplette Nummer, nicht nur auf „8.3“. Erst die letzte Zahl verrät, ob das Sicherheitsupdate schon eingespielt ist.

5. Diese Versionen schließen die PHP-Sicherheitslücke

Gegen PHP2Shell abgesichert ist Ihre Website ab diesen Ständen:

Ein Beispiel: Steht bei Ihnen PHP 8.4.26, fehlt das Update noch. Ab 8.4.27 ist die Lücke geschlossen.

Weitere Details finden Sie in der offiziellen Meldung des PHP-Teams.

Warum PHP 8.1 und älter jetzt ein Problem ist

Für PHP 8.1 und alle älteren Versionen veröffentlicht das PHP-Projekt keine Updates mehr.

Ob Ihr Hoster ältere Versionen selbst nachbessert, sollten Sie nicht vermuten, sondern direkt bei ihm erfragen.

Der sicherste Weg ist der Wechsel auf eine unterstützte Version. Wenn Sie ohnehin umstellen, wählen Sie am besten eine möglichst aktuelle. Dann haben Sie länger Ruhe.

6. Achtung, weiße Seite: Was beim Umstellen schiefgehen kann

Die PHP-Version umzustellen ist beim Hoster oft nur ein Klick. Trotzdem sollten Sie nicht einfach drauflosklicken.

Der Grund: Ältere Themes und Plugins vertragen neue PHP-Versionen oft nicht. Dann zeigt die Website plötzlich nur noch eine weiße Seite oder die Meldung „kritischer Fehler“.

Wichtig ist deshalb die richtige Reihenfolge:

1. Backup erstellen, also eine vollständige Sicherung von Dateien und Datenbank
2. WordPress, Theme und Plugins aktualisieren
3. PHP-Version beim Hoster umstellen
4. Website testen: Startseite, Unterseiten, Kontaktformular und gegebenenfalls Shop

Funktioniert nach der Umstellung etwas nicht, lässt sich die alte Version oft kurzzeitig zurückstellen. Das ist aber nur eine Notlösung für den Moment. Auf einer veralteten Version bleibt Ihre Website angreifbar.

Die Lösung ist nicht die alte PHP-Version, sondern eine Website, die mit der neuen läuft.

Bei sehr alten Websites lohnt sich eine Anpassung manchmal kaum noch. Dann kann eine neue Website die bessere Lösung sein.

7. Checkliste: Das sollten Sie jetzt tun

• Herausfinden, womit Ihre Website gebaut ist
• PHP-Version im Hoster-Kundenbereich oder in WordPress prüfen
• Die Version mit der Tabelle oben vergleichen
• Vor jeder Änderung ein vollständiges Backup erstellen
• WordPress, Theme und Plugins aktualisieren
• Bei veralteter Version auf eine aktuelle PHP-Version umstellen
• Die Website danach gründlich testen

Viele dieser Schritte dauern nur wenige Minuten.

8. Wann Sie sich Hilfe holen sollten

Nicht jeder möchte selbst in den Einstellungen seines Hosters arbeiten. Das ist völlig in Ordnung.

Holen Sie sich spätestens dann Unterstützung, wenn einer dieser Punkte zutrifft:

• Ihre Website zeigt plötzlich eine weiße Seite oder ist offline
• In WordPress tauchen Admin-Konten auf, die Sie nicht kennen
• Besucher werden auf fremde Seiten weitergeleitet
• Ihr Hoster hat Ihnen eine Warnmail geschickt
• Sie wissen nicht, wer Ihre Website technisch betreut

Den letzten Punkt sollten Sie in jedem Fall klären, auch unabhängig von PHP2Shell.

Erste Ansprechpartner sind die Person oder Agentur, die Ihre Website erstellt hat, und Ihr Hoster. Wenn Sie dort nicht weiterkommen, können Sie sich auch gerne bei mir melden.

Häufige Fragen zu PHP2Shell

Fazit: Kurz prüfen statt lange sorgen

Die PHP-Sicherheitslücke PHP2Shell ist ernst. Das zeigen die Warnung des BSI und die vielen Websites, die vorsorglich vom Netz gegangen sind.

Die Lösung ist in vielen Fällen trotzdem überschaubar: PHP-Version prüfen, Backup machen, Updates einspielen, testen.

Website-Sicherheit ist dabei kein einmaliges Projekt. Wer sich das nicht selbst zutraut, muss es auch nicht allein machen. Ein fester Ansprechpartner, zum Beispiel für Webdesign in Bochum, behält solche Themen für Sie im Blick.

Eine Website ist wie ein Auto: Sie fährt nur dann sicher, wenn auch der Motor regelmäßig gewartet wird.

Stand: 26. Oktober 2026. Dieser Artikel wird bei neuen Informationen aktualisiert.