PHP2Shell: Was die kritische PHP-Lücke für Ihre Website bedeutet

Ihre Website läuft, das Kontaktformular funktioniert, niemand hat sich beschwert. Trotzdem kann sie seit dem 21. Oktober 2026 ein offenes Tor zu Ihrem Server sein. An diesem Tag wurden mit PHP2Shell zwei kritische Lücken in PHP bekannt. PHP ist die Programmiersprache, mit der ein Großteil aller Websites läuft, darunter jede WordPress-Seite.

In diesem Beitrag erfahren Sie, wer betroffen ist, was wir als Hoster sofort getan haben und was Sie jetzt tun sollten. Wir sind die EXPLETO GmbH aus Aachen und betreuen seit 2013 ausschließlich Geschäftskund:innen, auch beim Webhosting.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in der Speicherverwaltung von PHP (CVE-2026-109618 und CVE-2026-109619). Die Entwickler von PHP stufen sie mit 9.2 von 10 Punkten (CVSS) als kritisch ein.

Über die Lücken können Angreifer ohne jede Anmeldung eigenen Programmcode auf dem Server ausführen. Zusätzlich können sie Speicherinhalte anderer Besucher:innen auslesen, etwa Passwörter oder Sitzungsdaten. Eine ausführliche technische Analyse hat das Sicherheitsunternehmen Sansec veröffentlicht.

Das Tückische: Der Fehler sitzt in PHP selbst. Auch eine sauber programmierte Website mit aktuellem WordPress, aktuellem Theme und aktuellen Plugins schützt nicht davor. Erste Angriffe wurden bereits beobachtet, bevor das Sicherheitsupdate überhaupt erschienen war.

Welche PHP-Versionen sind betroffen?

Betroffen sind praktisch alle PHP-Versionen seit 5.4. Entscheidend ist, ob es für Ihre Version ein Update gibt.

• PHP 8.2, 8.3, 8.4 und 8.5: Seit dem 21. Oktober 2026 gibt es Sicherheitsupdates (8.2.35, 8.3.36, 8.4.27, 8.5.12). Sind sie eingespielt, ist die Lücke geschlossen.
• PHP 7.4, 8.0 und 8.1: Für diese Versionen wird es kein Update geben, ihre Unterstützung ist ausgelaufen. Websites mit diesen Versionen bleiben angreifbar, bis sie umgestellt sind.
• Gemeinsam genutzte Server: Läuft eine einzige Website noch mit einer alten Version, ist nicht nur diese Seite in Gefahr, sondern der ganze Server mit allen Websites darauf.

Die Sicherheitswarnung von CERT-EU, dem Notfallteam der EU-Institutionen, fasst die betroffenen Versionen zusammen.

Was hat EXPLETO als Hoster sofort getan?

Wir haben noch am 21. Oktober 2026 reagiert, für alle Websites in unserem Webhosting.

• Updates eingespielt: Die gepatchten PHP-Versionen 8.2 bis 8.5 haben wir auf unseren Webservern noch am selben Tag aktualisiert.
• Übergangsschutz für alte Versionen: Für PHP 7.4, 8.0 und 8.1 haben wir die angreifbare Funktion abgeschaltet und eine eigene Regel in unserer Web Application Firewall eingerichtet, die das bekannte Angriffsmuster abweist. Getestet: Der Angriff wird blockiert, normale Uploads funktionieren weiter.
• Bessere Sicht auf Angriffe: Die Protokolle unserer Webserver laufen jetzt zentral in unserem Log-Management zusammen. So erkennen wir Angriffsversuche schneller.
• Schutzsysteme geprüft: Unser Security-Team hat Malware-Scanner und Firewall selbst überprüft und nachgeschärft.

Der Übergangsschutz verschafft Zeit. Er ersetzt nicht die Umstellung auf eine aktuelle PHP-Version, denn Angreifer variieren ihre Methoden.

Wie haben wir unsere Kund:innen informiert?

Jede betroffene Kundin und jeder betroffene Kunde hat noch am 21. Oktober 2026 eine persönliche Nachricht über unser Ticketsystem erhalten, mit den konkret betroffenen Domains und PHP-Versionen. Die E-Mail besteht aus zwei Teilen: einer Kurzfassung in verständlicher Sprache und den technischen Details zum Weiterleiten an die eigene Agentur oder den Webentwickler.

• Bis 23. Oktober 2026: kurze Bestätigung, dass sich jemand kümmert
• Bis 4. November 2026: Umstellung auf eine aktuelle PHP-Version
• Auf Wunsch: Wir übernehmen die Abstimmung mit der Agentur und stellen die PHP-Version nach deren Freigabe selbst um.

Warum stellen wir nicht einfach selbst um? Wir sind Hoster, nicht Webentwickler. Ob eine Website mit einer neuen PHP-Version einwandfrei läuft, hängt von Theme, Plugins und individuellem Code ab. Das kann nur die Agentur prüfen.

Fristen setzen wir ungern. Bei dieser Lücke sind sie aber zum Schutz aller Kund:innen auf dem Server notwendig. Als letztes Mittel müssten wir eine Website vorübergehend vom Netz nehmen, und genau das möchten wir gemeinsam mit Ihnen vermeiden.

Was sollten Sie jetzt tun?

Prüfen Sie, mit welcher PHP-Version Ihre Website läuft, und lassen Sie sie bei Bedarf umstellen.

• PHP-Version prüfen: in Plesk unter „Websites & Domains“, bei Ihrer Agentur oder einfach bei uns
• Unter PHP 8.2? Umstellen lassen: Empfohlen ist PHP 8.4 (Sicherheitsupdates bis Ende 2028) oder PHP 8.3 (bis Ende 2027).
• Sauber vorgehen: Backup erstellen, WordPress, Theme und Plugins aktualisieren, die Umstellung möglichst zuerst auf einer Testumgebung prüfen
• Eigene Systeme nicht vergessen: Auch Shops, Intranets oder andere PHP-Anwendungen auf eigenen Servern sind betroffen.
• Zugänge prüfen: Lief Ihre Website lange auf einer alten Version, sollten Sie die Passwörter der Administratorzugänge erneuern.

Warum braucht Ihre Website einen zuverlässigen Webentwickler?

Weil nur eine laufend gepflegte Website jederzeit auf eine aktuelle PHP-Version umgestellt werden kann. Fast alle betroffenen Websites hatten eines gemeinsam: Sie wurden einmal erstellt und danach kaum noch gepflegt. Theme und Plugins blieben auf altem Stand, und damit konnte auch PHP nicht aktualisiert werden, ohne dass die Seite Schaden nimmt.

Eine Website ist kein einmaliges Projekt. Sie braucht einen zuverlässigen Webentwickler oder eine Agentur an Ihrer Seite, die WordPress, Theme und Plugins laufend aktuell hält. Dann ist eine Lücke wie PHP2Shell mit einem Update erledigt statt mit einem Notfallprojekt.

Wir als Hoster sorgen für einen sicheren, aktuellen Server. Ihr Webentwickler sorgt dafür, dass Ihre Website mithalten kann. Erst beides zusammen schützt Sie wirklich.

Häufige Fragen zu PHP2Shell

Fazit: Veraltete Software ist das eigentliche Risiko

PHP2Shell zeigt, wie schnell aus einer veralteten Softwareversion ein ernstes Problem wird, für die eigene Website und für alle anderen auf demselben Server. Gibt es für eine Version keine Updates mehr, hilft nur die Umstellung. Regelmäßige Pflege durch Ihren Webentwickler gehört deshalb fest eingeplant, nicht erst in den Notfall.

Sie sind Webhosting-Kund:in bei EXPLETO und unsicher, ob Ihre Website betroffen ist? Ihre Ansprechperson erreichen Sie unter +49 241 538 0871-0 oder vertrieb@expleto.de. Sie hosten woanders und möchten Ihre Website und Server prüfen lassen? Im kostenlosen Kennenlerngespräch schauen wir gemeinsam darauf.