PHP2Shell · Ratgeber für KMU

PHP2Shell: Was KMU jetzt tun müssen

Von Markus Bruckgraber, Co-Founder, Joize FlexCo. Veröffentlicht am , aktualisiert am .

PHP2Shell: Was KMU jetzt tun müssen

Am 21. Oktober 2026 wurden zwei schwere Sicherheitslücken in PHP veröffentlicht. Fast jede Firmen-Website mit WordPress, Joomla, TYPO3 oder einem Online-Shop läuft mit PHP. Hier steht, was Sie als Unternehmen jetzt tun sollten, ohne Fachchinesisch.

Das Wichtigste in Kürze

  • PHP2Shell sind zwei kritische Lücken in PHP (CVE-2026-109618 und CVE-2026-109619), bewertet mit 9,2 von 10 Punkten.
  • Angreifer können ohne Passwort Schadcode auf dem Webserver ausführen und die Website übernehmen.
  • Betroffen ist jede Website, die mit PHP läuft und noch nicht aktualisiert wurde. Ein WordPress- oder Plugin-Update hilft nicht, die Lücke steckt in PHP selbst.
  • Sicher sind PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 und neuer. PHP 8.1 und älter bekommen kein offizielles Update.
  • Angriffe laufen bereits. Fragen Sie heute noch Ihren Hoster oder Ihre Webagentur.

Was ist PHP2Shell?

PHP ist die Programmiersprache, mit der die große Mehrheit aller Websites läuft, darunter jede Seite mit WordPress. „PHP2Shell“ ist der Name für zwei Fehler in PHP selbst, die am 21. Oktober 2026 zusammen mit den Korrekturen veröffentlicht wurden. Entdeckt haben sie Sicherheitsforscher von Calif und Wiz.

Über eine präparierte Anfrage an die Website können Angreifer eigenen Code auf dem Server ausführen. Das passiert, bevor WordPress oder Ihr Shop überhaupt geladen werden. Passwörter, Sicherheits-Plugins oder ein Login-Schutz helfen deshalb nicht.

CERT.at hat gemeinsam mit dem Bundesamt für Cybersicherheit gewarnt, in Deutschland hat das BSI die zweithöchste Warnstufe ausgerufen. Erste Angriffsversuche gab es laut Amazon schon am 17. Oktober, also vor der Veröffentlichung.

Ist meine Website betroffen?

Wahrscheinlich ja, wenn Ihre Website mit WordPress, WooCommerce, Joomla, TYPO3, Drupal, Contao, Shopware oder PrestaShop läuft und Ihr Hoster PHP noch nicht aktualisiert hat. Betroffen sind alle üblichen Server-Varianten (PHP-FPM, Apache mit mod_php, php-cgi, LiteSpeed, FrankenPHP).

Nicht betroffen sind Websites, die ohne PHP ausgeliefert werden, zum Beispiel statische Seiten oder Baukästen wie Wix und Squarespace, bei denen sich der Anbieter um den Server kümmert.

Kostenloser Schnell-Check: Läuft Ihre Website mit PHP?

Checkliste: Was KMU jetzt tun müssen

  1. Hoster oder Webagentur fragen (Heute): Fragen Sie schriftlich nach, ob das PHP-Update vom 21. Oktober eingespielt ist. Die Mail-Vorlage unten können Sie direkt kopieren. Bei Shared Hosting spielt meist der Hoster das Update ein, aber nur für die PHP-Versionen, die er noch anbietet.
  2. PHP-Version selbst prüfen (Heute): In WordPress sehen Sie die Version unter Werkzeuge → Website-Zustand → Info → Server. Sicher sind PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 und neuer. Zur Schritt-für-Schritt-Anleitung
  3. Kein Update möglich? Website vom Netz nehmen (Heute): Läuft noch PHP 8.1 oder älter, oder kann das Update nicht sofort eingespielt werden, raten CERT-EU und Fachleute, die Website vorübergehend offline zu nehmen oder abzuschotten, etwa hinter eine Web Application Firewall wie Cloudflare. Das haben in Österreich auch Uni Wien, TU Wien und Cineplexx gemacht.
  4. Auf Einbruchsspuren prüfen lassen (Nach dem Update): Das Update schließt die Lücke, entfernt aber keine Hintertür, die vorher schon eingeschleust wurde. Lassen Sie prüfen: neue Admin-Konten, unbekannte oder geänderte Dateien, Fehler wie „Allowed memory size exhausted“ oder viele 500er-Fehler in den Server-Logs.
  5. Passwörter wechseln und Backup sichern (Nach dem Update): War die Website länger ungeschützt online, ändern Sie die Zugänge für Website-Admin, Hosting, FTP/SFTP und Datenbank. Sichern Sie ein sauberes Backup, damit Sie im Ernstfall schnell zurückkehren können.
  6. Meldepflichten beachten (Bei Verdacht): Wurden möglicherweise personenbezogene Daten abgegriffen, etwa aus dem Kontaktformular oder dem Kundenkonto im Shop, muss das in der Regel innerhalb von 72 Stunden an die Datenschutzbehörde gemeldet werden (Art. 33 DSGVO). Unternehmen, die unter NIS2 fallen, haben zusätzliche Meldepflichten. Holen Sie sich im Zweifel rechtlichen Rat.
  7. Alte PHP-Versionen ersetzen (Diese Woche): PHP 8.1 und älter bekommen keine offiziellen Sicherheitsupdates mehr. Stellen Sie im Kundenbereich Ihres Hosters auf PHP 8.3 oder neuer um und testen Sie danach die Website. Alte Plugins vertragen das manchmal nicht.

Mail-Vorlage für Ihren Hoster

Betreff: PHP2Shell: Ist unsere Website schon abgesichert?

Guten Tag,

am 21. Oktober 2026 wurden die kritischen PHP-Sicherheitslücken „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619) veröffentlicht.

Bitte bestätigen Sie uns für unsere Website [Ihre Webadresse]:

1. Welche PHP-Version läuft aktuell?
2. Ist das Sicherheitsupdate vom 21. Oktober eingespielt (PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer bzw. das entsprechende Paket-Update)?
3. Wurde nach dem Update geprüft, ob es Hinweise auf einen Einbruch gibt (unbekannte Dateien, neue Admin-Konten, auffällige Fehler in den Logs)?

Falls ein Update nicht sofort möglich ist: Bitte nehmen Sie die Website vorübergehend offline oder stellen Sie sie hinter eine Web Application Firewall.

Vielen Dank und freundliche Grüße

Aktuelle Lage (Stand: 22. Oktober 2026)

  • Weltweit werden Millionen Angriffsversuche gemeldet (Der Standard). Cloudflare filtert Angriffe für Seiten hinter seiner Firewall.
  • Große Hoster spielen die Updates ein, teilweise auch für ältere PHP-Versionen. Linux-Distributionen wie Ubuntu haben eigene Pakete veröffentlicht, deren Versionsnummer anders aussehen kann.
  • In Österreich haben unter anderem Uni Wien, TU Wien, die NÖN und Cineplexx ihre Websites vorsorglich vom Netz genommen.

  • Das PHP-Projekt veröffentlicht die Lücken samt Updates: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
  • CERT.at warnt gemeinsam mit dem Bundesamt für Cybersicherheit. Das deutsche BSI ruft die Warnstufe 3 (Orange) aus.

  • Laut Amazon Threat Intelligence gibt es erste Angriffsversuche, vier Tage vor der Veröffentlichung.

Langfristig: weniger Angriffsfläche

PHP2Shell wird nicht die letzte Lücke sein. Eine PHP-Website braucht laufend Updates: PHP selbst, das CMS und jedes Plugin. Wer das nicht dauerhaft erledigt oder erledigen lässt, ist bei der nächsten Lücke wieder betroffen.

Die Alternative ist eine Website ohne PHP. Sie wird vorab fertig gebaut und als einfache Dateien ausgeliefert. Auf dem Server läuft kein Programm, das Angreifer ausnutzen können. Texte ändern Sie trotzdem selbst, über ein Redaktionssystem, das getrennt von der Website läuft. So ist auch joize.at gebaut.

Website ohne PHP anfragen

Häufige Fragen

Hilft ein WordPress-Update gegen PHP2Shell?

Nein. Die Lücke steckt in PHP, also in der Software auf dem Server, nicht in WordPress oder den Plugins. Das Update muss Ihr Hoster oder Ihr Server-Betreuer einspielen.

Muss ich meine Website abschalten?

Nur wenn das PHP-Update nicht zeitnah eingespielt werden kann, etwa bei PHP 8.1 oder älter. Dann raten CERT-EU und Fachleute, die Website vorübergehend offline zu nehmen oder abzuschotten, etwa hinter eine Web Application Firewall.

Wer ist zuständig, ich oder mein Hoster?

Bei Shared Hosting spielt der Hoster PHP-Updates ein. Sie sind aber dafür verantwortlich, eine noch unterstützte PHP-Version auszuwählen. Bei einem eigenen Server (VPS) sind Sie oder Ihre Agentur selbst zuständig.

Wie erkenne ich, ob meine Website schon angegriffen wurde?

Von außen meist gar nicht. Hinweise sind neue Admin-Konten, unbekannte Dateien, Weiterleitungen auf fremde Seiten oder auffällige Fehler in den Server-Logs. Lassen Sie das von Ihrem Hoster oder einer Fachfirma prüfen.

Meine PHP-Version ist älter, der Hoster sagt aber, sie sei abgesichert. Stimmt das?

Das kann stimmen. Linux-Distributionen und manche Hoster spielen die Korrektur ein, ohne die Versionsnummer zu ändern. Lassen Sie sich das schriftlich bestätigen.

Ist mein Online-Shop auch betroffen?

Wenn er mit WooCommerce, Shopware, PrestaShop, Magento oder einem anderen PHP-System läuft und nicht aktualisiert ist, ja. Gehostete Shops wie Shopify kümmern sich selbst um ihre Server.

Quellen

Hilfe gewünscht?

15 Minuten mit Markus. Kostenlos und unverbindlich. Wählen Sie einfach einen freien Termin. Termin buchen (Markus Bruckgraber, Co-Founder). Joize FlexCo, Vorarlberg. E-Mail: hello@joize.at

Weiterlesen: PHP-Version herausfinden: Schritt-für-Schritt-Anleitung