PHP2Shell: Kritische PHP-Lücke betrifft WordPress-Seiten

Laptop mit geöffnetem Upload-Fenster in einem Rechenzentrum, von dem rote Datenfragmente in einen Serverschrank mit roter Warnleuchte fliegen
Symbolbild, KI-generiert

Verfasst von

Marcel Peter

in

9,2 von 10 Punkten. So hoch bewertet das PHP-Projekt die beiden Sicherheitslücken, die es am 21. Oktober 2026 geschlossen hat. Unter bestimmten Bedingungen kann ein Angreifer damit ohne Passwort eigenen Code auf dem Webserver ausführen. Ein Netzwerk- und Sicherheitsdienst meldet bereits Angriffe auf Kundenseiten. Wenn Ihre Webseite mit WordPress läuft, sollten Sie heute noch die PHP-Version prüfen. Das geht in zwei Minuten.

Update 28.10.2026: Die US-Behörde CISA hat beide PHP-Lücken, CVE-2026-109618 und CVE-2026-109619, am 26.10.2026 in ihren Katalog „Known Exploited Vulnerabilities“ aufgenommen, kurz KEV, auf Deutsch „bekannte ausgenutzte Schwachstellen“. In diesem öffentlichen Verzeichnis stehen Lücken, die nach Einschätzung der CISA bereits in echten Angriffen genutzt werden. US-Bundesbehörden müssen sie bis zum 29.10.2026 beheben. Über Erpressungskampagnen macht der Eintrag keine Angabe. Für Sie heißt das: Läuft Ihre Seite noch auf einer PHP-Version unter 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, fragen Sie Ihren Hoster jetzt nach dem Update; für PHP 8.1 und älter erscheint kein Fix. Quelle: CISA, KEV-Katalog, Version 2026.10.27, abgerufen am 28.10.2026.

Was passiert ist

PHP ist die Programmiersprache, mit der WordPress, Joomla, Shopware, Magento und viele andere Systeme auf dem Server laufen. In PHP selbst steckten zwei Fehler im Umgang mit dem Arbeitsspeicher. Sie tragen die Nummern CVE-2026-109618 und CVE-2026-109619, die Forscher nennen das Ganze „PHP2Shell“. Laut den Sicherheitshinweisen des PHP-Projekts lässt sich über eine präparierte Anfrage, zum Beispiel ein manipuliertes Formular- oder Upload-Paket (Fachbegriff: multipart/form-data), Schadcode einschleusen.

Wichtig für das Verständnis: Die Lücke liegt nicht in WordPress und nicht in einem Plugin. Sie liegt eine Ebene darunter. WordPress ist nur das bekannteste Beispiel. Sicherheitsforscher haben den Angriff auf einer aktuellen WordPress-Installation vorgeführt, andere Forscher nennen dazu Drupal, Joomla, Magento, Nextcloud und weitere Systeme. Betroffen ist im Grunde jede Seite, die eine ungepatchte PHP-Version nutzt.

Zur Ausnutzung gibt es unterschiedliche Angaben, und die sollten Sie kennen. Das PHP-Projekt, die US-Datenbank NVD und das EU-Notfallteam CERT-EU sagen nichts über laufende Angriffe. In der Liste der US-Behörde CISA für aktiv ausgenutzte Lücken standen beide Nummern am 21.10.2026 noch nicht, seit dem 26.10.2026 stehen sie dort (siehe Update oben). Ein Netzwerk- und Sicherheitsdienst schreibt dagegen am 21.10.2026, man habe „Angriffsverkehr gegen unsere Kunden beobachtet“. Ein Sicherheitsunternehmen rechnet mit massenhaften Angriffen, seit die Fehlerbeschreibungen öffentlich sind. Wir gehen davon aus, dass angegriffen wird.

Betrifft mich das? Die Zwei-Minuten-Prüfung

Sie brauchen die genaue PHP-Version Ihrer Seite. Zwei Wege führen dahin.

In WordPress melden Sie sich als Administrator an und öffnen Werkzeuge, dann Website-Zustand, dann den Reiter Info. Dort klappen Sie den Bereich „Server“ auf. In der Zeile „PHP-Version“ steht die Nummer, zum Beispiel 8.3.36.

Alternativ zeigt das Kundenmenü Ihres Hosters die PHP-Einstellung, meist unter „PHP-Version“ oder „PHP-Konfiguration“ beim jeweiligen Webspace.

Den Fix enthalten laut PHP-Projekt diese Stände und alle neueren: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Steht bei Ihnen eine kleinere Nummer in derselben Reihe, etwa 8.3.30, fehlt der offizielle Fix. Für 8.1, 8.0 und 7.x erscheint keine neue Version mehr. Das PHP-Projekt hat für 7.4, 8.0 und 8.1 nur Korrekturen am Quellcode nachgereicht, die ein Hoster selbst einbauen müsste. Offiziell unterstützt werden diese Versionen nicht mehr.

Kurzer Einschub zu älteren Nummern: Laut PHP-Projekt spielen manche Linux-Distributionen und Anbieter mit Langzeit-Support die Korrekturen auch in ältere Versionen ein. In WordPress steht dann unter Umständen weiterhin die alte Nummer. Eine ältere Nummer heißt also nicht zwingend, dass Ihre Seite ungeschützt ist. Klären lässt sich das nur mit einer kurzen Nachfrage beim Hoster.

Schneller geht es mit unserem kostenlosen Selbsttest: Domain eingeben, Ergebnis in wenigen Sekunden.

Der Test liest nur, welche PHP-Version Ihre Seite nach außen meldet, und zeigt sie als Ampel. Nennt der Server seine Version nicht, bleibt das Ergebnis offen. Dann hilft die Prüfung oben.

Zum kostenlosen Selbsttest

Was Sie jetzt tun

Schreiben Sie Ihrem Hoster heute noch und fragen Sie, ob der PHP-Fix vom 21.10.2026 eingespielt ist. Viele Hoster aktualisieren von selbst. Bei Ihnen hängt aber die Frist davon ab, wann Ihr Anbieter das tut.

Läuft Ihre Seite noch auf 8.0 oder 8.1, stellen Sie im Kundenmenü auf 8.3 oder 8.4 um. 8.4 erhält laut php.net noch bis Ende 2028 Sicherheitsupdates, 8.2 nur noch bis 31.12.2026. Machen Sie vorher eine Sicherung. Ältere Plugins und Themes laufen auf neuem PHP nicht immer, deshalb gehört ein kurzer Test der Seite danach dazu.

Geht das Update nicht sofort, gibt es Zwischenlösungen auf Serverebene. Ihr Dienstleister kann solche Upload-Anfragen am Webserver sperren oder die PHP-Einstellung session.upload_progress.enabled abschalten. Letztere nennt das PHP-Projekt selbst als Ausweichlösung für einen Teil des Problems. Beides sollten Sie nicht auf eigene Faust einrichten. Gerade das Sperren der Upload-Anfragen legt Formulare, Bild-Uploads oder Shop-Funktionen lahm. Das PHP-Projekt sagt klar, dass nur das Update verlässlich schützt.

Was Ihr Sicherheits-Plugin nicht abfängt

Naheliegender Einwand: „Ich habe doch ein Sicherheits-Plugin“ oder „die Seite ist im Wartungsmodus“. Hilft beides nicht. Der Fehler sitzt in PHP selbst und greift, wenn PHP die Anfrage verarbeitet, also bevor WordPress und seine Plugins überhaupt starten. Der Netzwerk- und Sicherheitsdienst, der die Angriffe meldet (Quelle in der Liste unten), schreibt ausdrücklich, dass ein Update der Webseite oder einzelner Plugins diese Lücken nicht schließt.

Wer die Web-Firewall (einen Filter vor der Seite) dieses Dienstes vorgeschaltet hat, bekommt seit dem 21.10.2026 Schutzregeln. Der Dienst beschreibt aber, dass Angreifer bereits versuchen, diese Regeln mit umgebauten Anfragen zu umgehen. Ein Notbehelf, mehr nicht. Ob der Server zusätzlich direkt über seine IP erreichbar ist, entscheidet, wie viel der Filter überhaupt bringt.

War die Seite ungeschützt? Spuren prüfen

Lief Ihre Seite in den letzten Tagen auf einer alten Version, lohnt nach dem Update ein Blick auf typische Spuren. Allgemeine Einbruchsspuren, nicht speziell für diese Lücke: Neue PHP-Dateien im Ordner wp-content/uploads gehören dort in der Regel nicht hin, dort liegen normalerweise Bilder und Dokumente. Unbekannte Administrator-Konten in WordPress unter Benutzer sind ein Warnsignal. Sicherheitsforscher nennen außerdem Häufungen von Speicherfehlern („memory_limit“) und Fehlerseiten mit Code 500 im Server-Protokoll. Ob ein Angreifer schon drin war, lässt sich aus der Ferne nicht immer sicher sagen. Das ist unangenehm, aber ehrlicher als eine schnelle Entwarnung.

Checkliste

  • Optional zuerst den kostenlosen Selbsttest für die eigene Domain nutzen. Bei „Nicht ermittelbar“ die Version wie folgt ablesen:
  • PHP-Version in WordPress (Werkzeuge, Website-Zustand, Info, Server) oder im Hosting-Menü ablesen
  • Mit 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 vergleichen
  • Hoster fragen, ob der Fix vom 21.10.2026 eingespielt ist
  • Bei 8.1 oder älter: Sicherung anlegen, auf 8.3 oder 8.4 umstellen, Seite testen
  • Nach dem Update: uploads-Ordner auf PHP-Dateien und Benutzerliste auf fremde Admins prüfen

Wenn Sie das nicht selbst machen wollen

Der erste Schritt ist der kostenlose Selbsttest. Er zeigt, welche PHP-Version Ihre Seite nach außen meldet. Bleibt das Ergebnis gelb oder „Nicht ermittelbar“, ist unsere persönliche Prüfung der zweite Schritt. Kostenlos ist bei uns die Prüfung der PHP-Version, auch für Betriebe im Westerwald und Umgebung. Mit Ihrem Zugang zu WordPress oder zum Hosting-Menü sehen wir uns auf Wunsch auch nach den genannten Spuren um. Das gibt es nur nach schriftlicher Beauftragung samt Vereinbarung zur Auftragsverarbeitung (AV-Vereinbarung) und nach vorheriger Kostenabsprache. Von außen allein lassen sich Einbruchsspuren nicht prüfen. Schreiben Sie uns eine E-Mail an mpeter@expertomundi.de oder nutzen Sie die Schaltfläche „WhatsApp“.

Quellen (abgerufen am 21.10.2026)

Stand: 28.10.2026, aktualisiert um die CISA-Aufnahme.

WhatsApp