SicherheitRelaunch
24. Oktober 2026 · 9 Min. Lesezeit · Von OneDaySite

PHP2Shell: Ist deine Website von der PHP-Lücke betroffen?

Betroffen ist jede Website, deren Server PHP ohne das Sicherheitsupdate vom 21. Oktober 2026 ausführt. Damit hat das PHP-Projekt zwei kritische PHP-Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell bekannt sind. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder ein Server-Paket, in das der Fix bereits eingebaut ist. Bei klassischem Webhosting spielt der Hoster das Update ein, und deine Aufgabe ist, dir das bestätigen zu lassen. Läuft deine Seite noch auf PHP 8.1 oder älter, bekommt sie vom PHP-Projekt gar kein Update mehr.

Was bei PHP2Shell passiert ist

Am 20. Oktober hat das PHP-Projekt ein dringendes Sicherheitsupdate angekündigt, am 21. Oktober kam es. Es schließt zwei Lücken (CVE-2026-109618 und CVE-2026-109619), die beide mit 9,2 von 10 möglichen Punkten bewertet sind. Über sie können Angreifer:innen ohne Anmeldung eigenen Code auf dem Server ausführen und im schlimmsten Fall die Website übernehmen oder Daten abgreifen.

Das deutsche BSI hat die Warnstufe 3 (Orange) ausgerufen und stuft die Gefahr als außerordentlich hoch ein. In Österreich hat CERT.at die Warnung in Abstimmung mit dem Bundesamt für Cybersicherheit verbreitet. Betroffen sind laut CERT.at alle PHP-Installationen, die Web-Anfragen verarbeiten.

Laut CERT-EU ist bereits erster Beispielcode im Umlauf, der zeigt, wie sich die Lücken ausnutzen lassen, und das macht es wahrscheinlicher, dass Angreifer:innen sie schon einsetzen. Am 23. Oktober hat das PHP-Projekt eine weitere Lücke gemeldet (CVE-2026-115560). Es stuft sie als unwahrscheinlichen Angriffsweg ein, weil sie nur ungewöhnlich eingerichtete Anwendungen betrifft, und behebt sie mit der nächsten regulären Version. Bis dahin rät es, die Einstellung session.upload_progress.enabled auf 0 zu setzen. Auf einem eigenen Server ist das deine Sache oder die deiner IT-Firma, bei Webhosting die des Hosters.

Stand dieses Beitrags ist der 24. Oktober 2026. CERT-EU hat seine Warnung seit dem 20. Oktober zweimal ergänzt, die Quellen am Ende führen zum jeweils aktuellen Stand.

Läuft deine Website mit PHP?

PHP ist die Programmiersprache, mit der ein Server Seiten zusammenbaut, bevor sie im Browser ankommen. Laut W3Techs läuft sie auf 69,3 Prozent aller Websites, deren Serversprache bekannt ist. In PHP geschrieben sind unter anderem WordPress, Joomla, Drupal und die Shop-Software Magento, und auch eine Seite ohne solches System kann PHP nutzen, etwa für ein Kontaktformular, das Mails verschickt.

Liegt deine Seite bei einem Baukasten wie Wix oder Jimdo, betreibt der Anbieter die Technik. Ein PHP-Update kannst du dort nicht einspielen, zuständig ist der Anbieter.

So prüfst du die PHP-Version deiner Website

1. Kundenbereich des Hosters. Die PHP-Version steht in der Regel bei den Einstellungen zur Domain oder zum Webspace, oft unter „PHP-Version“ oder „PHP-Einstellungen“.
2. WordPress. Unter Werkzeuge, Website-Zustand öffnest du den Reiter „Info“ und klappst den Abschnitt „Server“ auf. Dort steht die PHP-Version, diese Übersicht gibt es seit WordPress 5.2.
3. Beim Hoster nachfragen. Findest du die Angabe nicht, frag schriftlich nach, etwa mit unserer Mailvorlage.

Die Nummer vergleichst du dann mit dieser Tabelle. Die ersten beiden Stellen nennen den Zweig, die letzte Zahl den Stand.

Eine niedrigere Nummer heißt nicht in jedem Fall, dass die Lücke offen ist. Viele Server beziehen PHP über ihre Linux-Distribution, etwa Debian oder Ubuntu, und die Distribution baut den Fix in ihr eigenes Paket ein, ohne dass sich die angezeigte Version an die Tabelle anpasst. Ob das bei dir so ist, kann dir nur dein Hoster sagen.

Wer ist für das Update zuständig?

Ob du selbst etwas tun musst, hängt davon ab, wo deine Website liegt. Ein Update von WordPress oder seinen Plugins ändert an PHP nichts, das PHP-Update gehört auf den Server.

Bei den Websites, die wir für unsere Kund:innen gebaut haben, haben wir nach Bekanntwerden der Lücke sofort alle Server geprüft und die nötigen Schritte eingeleitet. Viel war nicht zu tun, weil dort schon aktuelle PHP-Versionen liefen, für die es das Update sofort gab.

Weißt du nicht, wer deine Domain und dein Hosting verwaltet, findest du es über eine Whois-Abfrage heraus. Wie die funktioniert, steht in Domain gehört der Agentur? So holst du sie zurück.

Wenn das Update nicht sofort geht

Vollständige Übergangslösungen gibt es laut PHP-Projekt nicht, sicher ist nur das Update. Kann der Hoster nicht kurzfristig aktualisieren, rät das BSI, den Webserver vorübergehend vom Netz zu nehmen.

Schon am 21. Oktober haben in Österreich mehrere Organisationen ihre Seiten vorsorglich vom Netz genommen, darunter die Universität Wien, die TU Wien, die Niederösterreichischen Nachrichten und das Landesportal Burgenland. Der Kärntner Anbieter Anexia hat am Nachmittag alle verwalteten PHP-Dienste vorsorglich abgeschaltet, am frühen Abend liefen rund zwei Drittel davon wieder.

Ein Tag offline kostet dich ein paar Anfragen, eine gekaperte Seite dagegen kann Besucher:innen auf fremde Seiten umleiten und von Google als gefährlich markiert werden. Hat sich deine Seite seit dem 21. Oktober seltsam verhalten, mit fremden Links, Weiterleitungen oder unbekannten Admin-Konten, helfen die Schritte für gehackte Seiten aus unserem Beitrag WordPress kaputt? Reparieren oder neu bauen.

PHP 8.1 und älter: das eigentliche Problem

Für PHP 8.1 und ältere Versionen gibt es vom PHP-Projekt kein Update gegen PHP2Shell, nur minimale Korrekturen im Quellcode für 7.4, 8.0 und 8.1, die ein Hoster selbst einbauen muss. Einige Distributionen und Anbieter liefern eigene Fixes. Das PHP-Projekt rät, solche Fixes beim eigenen Anbieter zu erfragen oder auf eine unterstützte Version umzusteigen.

Läuft eine Seite 2026 noch auf PHP 8.1, kann das daran liegen, dass Theme, Plugins oder eigener Code keine neuere Version vertragen. Die PHP-Version ist dann das sichtbarste Zeichen einer Seite, die lange niemand angefasst hat. Auch PHP 8.2 bekommt laut php.net nur noch bis 31. Dezember 2026 Sicherheitsupdates, wer jetzt auf 8.2 umstellt, steht in gut zwei Monaten vor derselben Frage.

Welche Warnsignale sonst auf eine alternde Seite hindeuten, steht in Veraltete Website: 8 Anzeichen. Ob sich ein Neubau lohnt, klärt Wann ist ein Website-Relaunch sinnvoll?

Mailvorlage für deinen Hoster

Diese Mail kannst du so an deinen Hoster schicken oder an die Firma, die deine Website betreut. Ersetze nur beispiel.at durch deine Adresse.

Betreff: PHP2Shell, Sicherheitsupdate für beispiel.at

Guten Tag,

wegen der PHP-Lücken PHP2Shell (CVE-2026-109618 und CVE-2026-109619)
bitte ich um eine kurze schriftliche Bestätigung zu meiner Website beispiel.at:

1. Welche PHP-Version läuft auf meinem Webspace?
2. Ist das Sicherheitsupdate vom 21. Oktober 2026 eingespielt, also
   8.5.12, 8.4.27, 8.3.36, 8.2.35 oder ein entsprechend korrigiertes Paket?
3. Falls meine Seite PHP 8.1 oder älter nutzt: Wie ist sie geschützt,
   und bis wann ist ein Umstieg auf eine unterstützte Version möglich?

Vielen Dank und freundliche Grüße

Kommt nach ein, zwei Werktagen keine klare Antwort, ruf beim Hoster an und bitte darum, dir das Ergebnis per Mail zu bestätigen.

Häufige Fragen zu PHP2Shell

Was du heute noch erledigen solltest

1. Die PHP-Version nachsehen, im Kundenbereich des Hosters oder in WordPress unter Website-Zustand.
2. Sie mit der Tabelle oben vergleichen und dir das Update vom Hoster schriftlich bestätigen lassen.
3. Läuft die Seite auf PHP 8.1 oder älter, mit Hoster oder IT-Firma den Umstieg vereinbaren und klären, ob die Seite eine neuere Version verträgt.

Zeigt dir die Prüfung nach der PHP-Sicherheitslücke, dass deine Website nur mit PHP 8.1 oder älter läuft, schreib uns. Wir sehen uns die Seite an und sagen dir, ob sich eine Reparatur oder ein Neubau mehr lohnt.

Quellen: php.net, Meldungen vom 20., 21. und 23. Oktober 2026, php.net, Supported Versions, CERT-EU, Security Advisory 2026-018, ORF, Bericht vom 21. Oktober 2026, Trending Topics, PHP2Shell in Österreich und W3Techs, Usage of server-side programming languages. Alle abgerufen am 24. Oktober 2026.

Verwandte Beiträge: WordPress kaputt? Reparieren oder neu bauen · Veraltete Website: 8 Anzeichen · Wann ist ein Website-Relaunch sinnvoll? · Domain gehört der Agentur? · alle Blog-Artikel