PHP-Sicherheitslücke „php2shell“: Ist deine Website betroffen?

Zwei Schwachstellen im PHP-Kern (CVE-2026-109618 und CVE-2026-109619, Spitzname „php2shell“) erlauben es Angreifern, auf einem Server eigenen Code auszuführen – ohne sich anmelden zu müssen. Die offizielle Bewertung liegt bei 9,2 von 10.

Seit dem 21.10.2026 gibt es Updates: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere Versionen gibt es keine offiziellen Updates mehr, nur Notlösungen für Betreiber, die PHP selbst übersetzen. Beispiel-Angriffe kursieren bereits; Angriffe in freier Wildbahn sind laut CERT-EU bisher nicht bestätigt.

Quelle: CERT-EU, Security Advisory 2026-018

Betroffen sind Websites, die mit PHP laufen und das Update vom 21.10. noch nicht haben. Dazu gehören zum Beispiel Seiten mit WordPress, WooCommerce, Shopware, Joomla oder TYPO3 – also ein großer Teil der Firmenwebsites.

Rund 70 % aller Websites mit bekannter Server-Sprache laufen mit PHP, WordPress allein auf über 40 % aller Websites (W3Techs). Ob deine Seite dazugehört, hängt davon ab, womit sie gebaut ist und wo sie liegt.

• Herausfinden, ob deine Seite PHP nutzt – im Kundenbereich deines Hosters oder bei der Agentur, die sie gebaut hat
• Beim Hoster nachfragen, ob das PHP-Update vom 21.10.2026 eingespielt ist
• Läuft noch PHP 8.1 oder älter: den Umstieg planen – dafür gibt es keine regulären Updates mehr
• War die Seite länger ohne Update online: prüfen lassen, ob etwas verändert wurde, und Zugangsdaten ändern

Kann das Update nicht zeitnah eingespielt werden, empfiehlt CERT-EU, betroffene Anwendungen bis dahin vom öffentlichen Netz abzuschirmen.

Wir bauen Websites ohne PHP: Die Seiten werden vorab als fertiges HTML erzeugt und von einem schlanken Server ausgeliefert. Es gibt keine PHP-Software, die auf Anfragen reagiert – und damit auch nichts, was diese Lücke ausnutzen könnte.

Am 22.10.2026 haben wir alle Kundenwebsites, die wir gebaut haben, von außen geprüft: Auf keiner läuft PHP.

Du bist dir nicht sicher, ob deine Website betroffen ist? Wir schauen sie uns an – kostenlos und unverbindlich – und sagen dir, ob sie mit PHP läuft, was das bedeutet und was zu tun ist. Ob in Waiblingen, Winnenden, Fellbach, Backnang oder Schorndorf: Du sprichst direkt mit Vincent und Lukas.

Und wenn du ohnehin über eine neue Website nachdenkst: Wir bauen dir eine schnelle, sichere Seite ohne PHP – mit sauberem Umzug, damit deine Google-Platzierungen erhalten bleiben (so läuft ein Relaunch).