PHP2Shell: die kritische PHP-Sicherheitslücke vom Oktober 2026 und was du jetzt tun musst

Was ist passiert?

PHP ist die Programmiersprache, auf der ein großer Teil des Webs läuft. Laut den Entdeckern der Lücken sind es rund 70 Prozent aller Websites. Jedes Mal, wenn jemand eine WordPress- oder TYPO3-Seite aufruft, setzt PHP die Seite auf dem Server zusammen.

Das Sicherheitsteam von Wiz hat Fehler im Kern von PHP gefunden. Vereinfacht: Wenn PHP bei einer Anfrage der Speicher ausgeht, bleiben Reste zurück, die die nächste Anfrage weiterverwendet. Mit geschickt gebauten Anfragen lässt sich das so ausnutzen, dass der Server fremden Code ausführt. Ein Login ist dafür nicht nötig, und es spielt keine Rolle, welche Anwendung auf PHP läuft. Wiz hat den Angriff an frisch installierten Versionen von WordPress, Drupal und Joomla gezeigt.

Bemerkenswert ist, wie die Lücken gefunden wurden: Wiz hat KI-Modelle eingesetzt, bei der Suche, beim Bau des Angriffs und beim Prüfen des Fixes. Das Team schreibt selbst, dass KI die Hürde senkt, solche Fehler zu verketten. Was das für Website-Betreiber bedeutet, steht in unserem Ratgeber zu WordPress-Sicherheitslücken. Die technischen Details stehen im Forschungsblog von Wiz (Englisch).

Wie ernst ist die Lage?

Sehr ernst. Eine Bewertung von 9,2 von 10 (CVSS 4.0) heißt: aus dem Internet erreichbar, kein Passwort nötig, und am Ende die volle Kontrolle über den Server. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung der Stufe Orange veröffentlicht. CERT-EU, der Sicherheitsdienst der EU-Institutionen, rät, Websites vom Netz zu nehmen, wenn das Update nicht sofort möglich ist.

Einige haben genau das getan. Die Universität Freiburg hat am 21. Oktober vorsorglich ihre PHP-Websites, die Lernplattform ILIAS und das Webmail für Studierende abgeschaltet. Auch die Rechnungssoftware easybill und die Wiki-Plattform wiki.gg waren zeitweise offline. Bei manchen Hostern hat das Einspielen der Updates bis in den Abend gedauert.

Bin ich betroffen?

Wahrscheinlich ja, wenn deine Website auf einem dieser Systeme läuft und dein Server noch nicht aktualisiert ist:

• WordPress (auch mit WooCommerce), TYPO3, Drupal, Joomla, Contao
• Shopsysteme wie Shopware oder Magento
• Selbst betriebene Werkzeuge wie Nextcloud oder jede andere Anwendung, die in PHP geschrieben ist

Du weißt nicht, worauf deine Seite läuft? So prüfst du, ob eine Website WordPress nutzt. Nicht betroffen sind Websites, auf deren Server kein PHP läuft: statische Websites, Baukästen, die nicht auf PHP aufbauen (frag im Zweifel beim Anbieter nach), und Seiten auf ShiftPress.

So prüfst du deine PHP-Version

1. WordPress: Unter Werkzeuge, Website-Zustand, Reiter „Bericht“ öffnest du den Abschnitt „Server“. Dort steht die PHP-Version.
2. Andere Systeme: Im Kundenbereich deines Hosters (oft unter „PHP-Einstellungen“) oder direkt beim Hoster nachfragen.
3. Vergleichen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35 enthalten den Fix, ebenso jede neuere Version derselben Reihe.

Ein Haken: Manche Hoster und Linux-Pakete spielen den Fix ein, ohne die Versionsnummer zu ändern. Eine ältere Nummer heißt also nicht zwingend, dass du ungeschützt bist. Frag im Zweifel deinen Hoster, ob der Fix für CVE-2026-109618 und CVE-2026-109619 installiert ist.

Was du jetzt tun solltest

1. Hoster fragen oder Statusseite prüfen. Bei Shared Hosting und Managed WordPress patcht meist der Hoster. Lass es dir schriftlich bestätigen.
2. Eigener Server? Jetzt aktualisieren, auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, und PHP danach neu starten.
3. PHP 8.1 oder älter? Dafür gibt es nur noch kleine Patches für Leute, die PHP selbst bauen, dazu Pakete von Linux-Distributionen und Anbietern wie cPanel. Plane den Wechsel auf eine aktuelle Version jetzt ein und nicht erst im nächsten Notfall. Solche Arbeit ist ein großer Teil der echten Wartungskosten einer Website.
4. Geht das Update heute nicht? CERT-EU und das britische NCSC raten dann, die Seite vorübergehend vom Netz zu nehmen. Als Notlösung sperrt die Einstellung session.upload_progress.enabled = 0 einen der bekannten Angriffswege. Alle sperrt sie nicht.
5. Vergessene Installationen suchen. Staging-Seiten, alte Testinstallationen, eine Kampagnenseite von 2019, eine alte Kopie der Website auf einer Subdomain. Jede davon braucht das Update oder gehört abgeschaltet.
6. Auf Spuren achten. Als Warnzeichen nennt Wiz gehäufte Fehler 500, Meldungen zum Speicherlimit nach ungewöhnlichen Upload-Anfragen und auffällig große oder kaputte PHPSESSID-Cookies. Wer so etwas sieht, sollte Fachleute dazuholen. Ein Update schließt die Lücke, entfernt aber keine Hintertür, die schon eingebaut wurde.

Ein WordPress-Update brauchst du übrigens nicht. WordPress.org hat bestätigt, dass für diese Lücken kein WordPress-Update nötig oder geplant ist.

Warum Seiten auf ShiftPress nicht betroffen sind

Am 21. Oktober mussten wir an keiner einzigen Kundenseite etwas ändern. Das liegt am Aufbau:

• Fertige Seiten statt PHP. Jede Seite wird vorab als fertiges HTML gebaut. Beim Aufruf setzt kein Programm die Seite zusammen, es wird nur eine Datei ausgeliefert.
• Ausgeliefert über Cloudflare. Die Seiten kommen aus dem weltweiten Netz von Cloudflare. Es gibt keinen eigenen Webserver pro Kunde, den jemand an einem ganz normalen Nachmittag patchen muss.
• Kein PHP im ganzen System. Formulare und Buchungen laufen über unseren eigenen Dienst, und der ist nicht in PHP geschrieben (was damit geht, steht in was eine statische Website kann und was nicht). In unserem Code gibt es keine einzige PHP-Datei.
• Kein öffentlicher Admin-Login auf deiner Domain. Geändert wird im ShiftPress-Dashboard, nicht unter deinedomain.de/wp-admin.

Ehrlich gesagt: Unangreifbar ist keine Software. Auch unsere eigene Technik (JavaScript, eine Datenbank, Cloudflare) kann Lücken haben, und auch wir hängen von Anbietern ab. Der Unterschied liegt an zwei Stellen. Auf deiner öffentlichen Website läuft kein Programm, das sich zu etwas überreden ließe. Und wenn an unserer Plattform etwas zu reparieren ist, machen wir das einmal zentral, statt dass jeder Kunde einzeln seinen Hoster anrufen muss.

Die Sorge, von einer Plattform abhängig zu werden, ist berechtigt, deshalb noch ein Punkt: Eine ShiftPress-Seite ist normaler Code in einem eigenen Git-Repository, und du kannst sie jederzeit als ZIP herunterladen. Mehr dazu in kein Lock-in: deine Seite gehört dir.

Open Source oder SaaS: die falsche Frage

Nach so einem Tag liest man schnell „Open Source ist unsicher“. So stimmt das nicht. Das PHP-Team hat die Meldung vertraulich behandelt, Fixes für alle Versionen von 7.4 bis 8.5 vorbereitet und zu einem festen Termin veröffentlicht. Genau so soll das laufen.

Das eigentliche Problem liegt woanders. Millionen Websites betreiben jede für sich einen eigenen Server mit eigenem PHP, und jemand muss jeden davon am selben Nachmittag aktualisieren. In einer kleinen Firma gibt es diesen Jemand oft nicht, und das ist ein Grund, warum sich WordPress nach Arbeit anfühlt. Abhängig ist man immer, ob von einem Open-Source-Projekt, einem Hoster oder einem SaaS-Anbieter. Die Frage ist, wie viel Arbeit und Risiko bei dir hängen bleibt, wenn es kracht. Die ganze Abwägung steht in statische Websites: Vorteile und Nachteile.

Mehr zur WordPress-Sicherheit

• WordPress-Sicherheitslücken: warum veraltete Seiten gehackt werden (der Überblick)
• WordPress gehackt: was jetzt zu tun ist (Schritt für Schritt)
• WordPress-Plugins auf Sicherheitslücken prüfen (kostenlose Werkzeuge)
• PHP-Version prüfen und aktualisieren (sicher, mit Test vorher)

Häufige Fragen

Fazit

Läuft deine Seite auf PHP, prüf heute, ob das Update installiert ist, auch auf alten und vergessenen Installationen. Auf längere Sicht lohnt sich die Frage, ob deine Website überhaupt einen Server braucht, der gepatcht werden muss. Für eine Seite, die vor allem zeigt, was dein Unternehmen macht, lautet die Antwort meistens: nein. Und ein Umzug muss dich nicht deine Google-Plätze kosten, siehe weg von WordPress ohne Rankingverlust.

Quellen: Wiz Research (Englisch), Codeable, Hinweise für WordPress (Englisch), Borns IT- und Windows-Blog (BSI-Warnung), netzwelt (CERT-EU), Universität Freiburg.