Kritische Sicherheitslücke in PHP

Ist Ihre Website von der PHP-Lücke php2shell betroffen?

Zwei kritische Schwachstellen erlauben Angreifern, ohne Anmeldung Schadcode auf Webservern auszuführen. Gefährdet ist jede Website mit veraltetem PHP, auch mit WordPress, TYPO3 oder Shopsoftware. Prüfen Sie hier kostenlos, ob Ihre Website betroffen ist.

Was ist php2shell?

Hinter dem Namen stecken zwei Schwachstellen im Kern von PHP, die am 21. Oktober 2026 bekannt wurden. Das PHP-Projekt bewertet beide mit 9.2 von 10 Punkten.

Zwei Lücken im PHP-Kern

CVE-2026-109618 betrifft einen Speicherfehler, wenn eine Anfrage das Speicherlimit erreicht. CVE-2026-109619 lässt veraltete Daten aus einer früheren Anfrage weiterwirken.

Schadcode ohne Anmeldung

Über beide Lücken lässt sich Code auf dem Server ausführen. Eine Anmeldung oder ein Klick eines Nutzers ist dafür nicht nötig.

Praktisch alle Versionen

Laut BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen. Das gilt für PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.

Angriffe werden erwartet

Das BSI rechnet mit einer breiten Ausnutzung innerhalb kurzer Zeit. Sicherheitsfirmen melden bereits erste Angriffsversuche.

Updates seit dem 21. Oktober

Seit 16 Uhr deutscher Zeit gibt es korrigierte Versionen für PHP 8.2 bis 8.5. Für ältere Versionen gibt es keine fertigen Updates mehr.

Websites zeitweise offline

Einige Hoster haben ihre Server vorsorglich vom Netz genommen, bis das Update eingespielt ist. Manche Websites sind deshalb vorübergehend nicht erreichbar.

Ein WordPress-Update reicht nicht

Die Lücken stecken in PHP selbst, nicht in WordPress, TYPO3 oder Ihrer Shopsoftware. Aktualisiert werden muss die PHP-Version auf dem Server. Darauf weist auch das BSI ausdrücklich hin.

Diese PHP-Versionen sind abgesichert

Entscheidend ist der Zweig, also die ersten beiden Zahlen, und dann die letzte Zahl der Version.

Korrigierte PHP-Versionen laut php.net, Stand 22. Oktober 2026
Zweig	abgesichert ab	Sicherheitsupdates bis
PHP 8.5	8.5.12	Ende 2029
PHP 8.4	8.4.27	Ende 2028
PHP 8.3	8.3.36	Ende 2027
PHP 8.2	8.2.35	31. Dezember 2026, Umstieg einplanen
8.1 und älter	kein fertiges Update	Umstieg auf PHP 8.4 oder 8.5 nötig

Version selbst prüfen

Wenn der Test keine Version findet, tragen Sie hier die Version ein, die Ihr Hoster oder WordPress anzeigt.

In WordPress

Im Dashboard unter Werkzeuge, Website-Zustand, Reiter Bericht. Im Abschnitt Server steht die PHP-Version.

Beim Webhoster

Bei Strato, IONOS, ALL-INKL.COM und anderen im Kundenbereich, meist bei den Einstellungen zum Webspace oder zur PHP-Version.

Auf eigenen Servern

Mit php -v auf der Kommandozeile. Webserver und Kommandozeile können verschiedene Versionen nutzen, prüfen Sie beide.

Was jetzt zu tun ist

Die Reihenfolge folgt den Empfehlungen von PHP-Projekt und BSI.

PHP aktualisieren
Stellen Sie im Kundenbereich Ihres Hosters eine abgesicherte Version ein oder fragen Sie dort nach, ob das Update schon eingespielt ist. Auf eigenen Servern kommt es über die Paketverwaltung. Docker-Images mit PHP müssen neu gebaut werden.
Dienste neu starten
Erst nach einem Neustart von Webserver und PHP-FPM läuft wirklich die neue Version. Bei einem Webhosting-Paket übernimmt das Ihr Hoster.
Website testen
Ein Wechsel auf PHP 8.4 oder 8.5 kann ältere Plugins, Themes oder Shop-Erweiterungen stören. Legen Sie vorher eine Sicherung an und prüfen Sie danach Startseite, Formulare und Bestellvorgang.
Wenn das Update nicht sofort geht
Das BSI rät dann, eine vorübergehende Trennung vom Internet zu erwägen. Einstellungen in der php.ini erschweren Angriffe nur, sie schließen die Lücken nicht.
Auf Auffälligkeiten achten
Behalten Sie in den nächsten Tagen unbekannte Dateien, neue Admin-Konten und ungewöhnliche Einträge in den Server-Protokollen im Blick. Verbindliche Merkmale eines Angriffs gibt es laut BSI noch nicht.

Doricom hilft beim PHP-Update

Bundesweit per Fernwartung, für Unternehmen, Selbstständige und Vereine.

Alle Websites, die wir für unsere Kunden betreuen, haben wir bereits geprüft. Jetzt kümmern wir uns gern auch um Ihre.

Ersteinschätzung kostenlos

Sie rufen an oder schicken uns Ihr Testergebnis. Wir sagen Ihnen, was zu tun ist und was es kostet.

Festpreis bei Webhosting

Liegt Ihre Website bei einem Hoster wie Strato, IONOS oder ALL-INKL.COM, stellen wir PHP um und testen die Website danach. Den Festpreis nennen wir vorher.

Eigene Server mit Obergrenze

Bei eigenen Servern, VPS oder Containern arbeiten wir nach Aufwand. Die Obergrenze kennen Sie, bevor wir anfangen.

Nichts ohne Ihre Freigabe

Müssen Plugins, Themes oder Erweiterungen angepasst werden, besprechen wir das vorher mit Ihnen.

Per Fernwartung

Sie geben uns Zugang zum Kundenbereich Ihres Hosters oder starten eine Fernwartungssitzung, die Sie jederzeit beenden können.

Protokoll zum Schluss

Sie erhalten eine kurze Aufstellung, welche Version vorher lief, was wir geändert und was wir geprüft haben.

So erreichen Sie uns

TelefonDer schnellste Weg bei php2shell 05375 983187

E-MailGern mit Ihrem Testergebnis mail@doricom.de

Häufige Fragen

Was uns Kunden seit dem 21. Oktober am häufigsten fragen.

Reicht es, WordPress oder den Shop zu aktualisieren?

Nein. php2shell steckt in PHP selbst, also in der Software, mit der Ihr Server WordPress, TYPO3 oder Ihren Shop ausführt. Aktualisiert werden muss die PHP-Version auf dem Server. Das BSI weist ausdrücklich darauf hin.

Der Test findet PHP, aber keine Version. Was bedeutet das?

Ihr Server verbirgt die genaue PHP-Version. Das ist grundsätzlich gut, sagt aber nichts über den Patchstand. Sehen Sie im Kundenbereich Ihres Hosters nach, welche Version eingestellt ist, und tragen Sie diese bei „Version selbst prüfen“ ein. Oder rufen Sie uns an.

Ist meine Website sicher, wenn der Test nichts findet?

Nicht zwingend. Der Test sieht nur, was ein Server jedem Besucher mitteilt. Viele Server verraten bewusst nichts über ihre Technik. Gewissheit gibt nur ein Blick in den Kundenbereich Ihres Hosters oder auf den Server selbst.

Ist der Test selbst ein Angriff?

Nein. Der PHP-Check ruft die Startseite einmal ab, so wie es jeder Browser tut, und wertet die mitgeschickten Angaben aus. Er versucht nicht, die Lücke auszunutzen, und speichert weder Domain noch Ergebnis.

Mein Hoster hat gepatcht, der Test meldet trotzdem eine alte Version. Wie passt das zusammen?

Linux-Distributionen wie Debian, Ubuntu oder Red Hat spielen Korrekturen oft in die vorhandene Version ein, ohne die Versionsnummer zu ändern. Die Nummer allein beweist dann nichts. Fragen Sie Ihren Hoster, ob das Paket die Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthält.

Was kostet die Hilfe von Doricom?

Die Ersteinschätzung am Telefon ist kostenlos. Liegt Ihre Website bei einem Webhoster, nennen wir vorab einen Festpreis. Bei eigenen Servern arbeiten wir nach Aufwand mit einer Obergrenze, die Sie vorher kennen. Unser Angebot richtet sich an Unternehmen, Selbstständige und Vereine.

Quellen

Alle Angaben auf dieser Seite stützen sich auf diese Veröffentlichungen.

Stand 22. Oktober 2026. Die Lage entwickelt sich weiter, wir passen diese Seite bei neuen Erkenntnissen an.