PHP2Shell bezeichnet zwei schwere Sicherheitslücken in PHP, einer Software, die viele Websites nutzen. Am 21. Oktober 2026 hat das PHP-Team Updates veröffentlicht, die diese Lücken schließen.
Wenn du eine Website betreibst, frage deinen Hosting-Anbieter, ob er die Updates installiert hat. Wenn du Websites oder Apps nur nutzt, müssen deren Betreiber die Server aktualisieren. Du musst dafür kein PHP auf deinem Handy oder Computer installieren.
Geprüft am 22. Oktober 2026. Die Tabelle zeigt die ersten Versionen mit den beiden Korrekturen. Dein Anbieter kann inzwischen ein neueres Sicherheitsupdate anbieten.
Was ist PHP?
PHP arbeitet im Hintergrund einer Website. Die Software kann etwa einen Blogbeitrag laden, ein Formular verarbeiten oder Daten aus einer Datenbank abrufen. Sie läuft auf dem Server, also dem Computer, auf dem die Website liegt. WordPress und viele andere Website-Systeme nutzen PHP.
PHP2Shell betrifft PHP selbst. Eine Website kann deshalb ein PHP-Update brauchen, obwohl ihre Themes und Plugins aktuell sind. In ihrer Erklärung zu PHP2Shell beschreiben die Forscher die Risiken. Angreifer können auf einem betroffenen Server unter anderem eigenen Code ausführen oder vertrauliche Informationen lesen.
Um welche zwei PHP-Sicherheitslücken geht es?
Die Lücken haben zwei Kennnummern. Damit können Website-Betreiber und Hosting-Anbieter die passenden Updates finden:
- CVE-2026-109618: PHP kann eine Anfrage falsch verarbeiten, wenn der Speicher ausgeht. Ein Angreifer kann diesen Fehler unter Umständen nutzen, um Code auf dem Server auszuführen.
- CVE-2026-109619: PHP kann Speicherdaten einer früheren Anfrage weiterverwenden, obwohl der Speicher schon freigegeben wurde. Dadurch können vertrauliche Daten sichtbar werden oder Angreifer eigenen Code ausführen.
Das PHP-Team stuft beide Lücken als kritisch ein. Sie erhalten nach CVSS 4.0 einen Schweregrad von 9,2 von 10 Punkten. Angriffe können ohne Anmeldung möglich sein. Eine betroffene Website braucht ein Update. Das bedeutet aber nicht, dass sie bereits gehackt wurde.
Was solltest du tun?
| Deine Situation | Dein nächster Schritt |
|---|---|
| Du nutzt eine Website oder App | Lies die offiziellen Hinweise des Dienstes. Der Betreiber kümmert sich um das Server-Update. |
| Du betreibst eine WordPress-Website | Lass dir vom Hosting-Anbieter bestätigen, dass die PHP-Version deiner Website die Korrekturen enthält. |
| Du verwaltest einen eigenen Server | Suche alle PHP-Installationen, spiele die Updates ein und starte die Dienste neu, die PHP verwenden. |
| Du nutzt ein Produkt, das PHP enthält | Befolge die Hinweise des Herstellers zum Sicherheitsupdate. |
Das britische National Cyber Security Centre empfiehlt, alle Systeme mit PHP zu prüfen. Beginne mit Systemen, die über das Internet erreichbar sind. Auch eine recht neue PHP-Version kann diese Updates brauchen.
Welche PHP-Versionen enthalten die Korrekturen?
| PHP-Versionsreihe | Erste korrigierte Version |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Prüfe die vollständige Nummer. Die Angabe „PHP 8.3“ reicht nicht. Die erste reguläre PHP-8.3-Version mit diesen Korrekturen ist 8.3.36.
Manche Hoster und Linux-Anbieter übernehmen die Korrekturen in eigene PHP-Pakete, ohne die Hauptversionsnummer zu ändern. Lass dir in diesem Fall bestätigen, dass das Paket beide CVEs abdeckt. Der offizielle Sicherheitshinweis des PHP-Teams erklärt diese Möglichkeiten.
PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Manche Anbieter stellen eigene Korrekturen bereit. Frage dort nach. Plane auch bei PHP 8.2 rechtzeitig den Wechsel: Laut dem PHP-Supportplan endet die Versorgung mit Sicherheitsupdates am 31. Dezember 2026.
So prüfst du PHP bei einer WordPress-Website
Der WordPress-Hinweis zu diesen PHP-Lücken stellt klar: PHP braucht ein eigenes Update. Ein WordPress-Update allein installiert die Korrekturen nicht.
- Prüfe deine PHP-Version. Öffne im WordPress-Dashboard den Bereich für den Website-Zustand und dort die Serverinformationen. Bei einer englischen Oberfläche lautet der Pfad Tools → Site Health → Info → Server. Suche nach „PHP version“. Die Versionsnummer steht oft auch im Hosting-Kundenbereich.
- Frage deinen Anbieter nach beiden Lücken. Nenne die zwei CVE-Nummern. Frage, ob die PHP-Software, mit der deine Website tatsächlich läuft, aktualisiert wurde.
- Sichere deine Website vor Änderungen. Das Backup sollte Dateien und Datenbank enthalten. Unser englischer Leitfaden zu WordPress-Backups erklärt die Möglichkeiten. Wenn du zu einer neueren PHP-Versionsreihe wechseln musst, prüfe vorher deine Themes und Plugins auf Kompatibilität. Der PHP-Update-Leitfaden von WordPress hilft bei der Vorbereitung.
- Installiere das Update und starte PHP neu. Bei betreutem Hosting sollte das dein Anbieter übernehmen. Wenn du den Server selbst verwaltest, halte dich an die Anleitung deines Anbieters. Starte anschließend die Dienste neu, die PHP ausführen, damit sie die aktualisierte Software verwenden.
- Prüfe die Website danach. Vergewissere dich, dass das Update aktiv ist. Teste Anmeldung, Formulare und Datei-Uploads. Bei einem Onlineshop solltest du auch den Bestellvorgang prüfen. Wiederhole das für weitere Websites oder Server, die du betreust.
Du kannst deinem Anbieter diese Nachricht schicken: „Enthält die PHP-Software meiner Website die Korrekturen für CVE-2026-109618 und CVE-2026-109619? Wurden die zugehörigen Dienste neu gestartet? Bitte bestätigen Sie die aktive PHP- oder Paketversion.“
Reicht eine Firewall oder ein Sicherheitsplugin?
Eine Firewall kann manche Angriffe blockieren. Das PHP-Update brauchst du trotzdem. Cloudflare meldet zusätzliche Schutzmaßnahmen gegen PHP2Shell und beobachtete Angriffsversuche. Das Unternehmen fordert seine Kunden weiterhin auf, PHP zu aktualisieren.
Ein WordPress-Sicherheitsplugin oder ein neues Passwort ersetzt dieses Server-Update nicht. Vorübergehende Einstellungen können einzelne Risiken verringern. Laut dem PHP-Team decken sie aber nicht alle Angriffswege ab.
Wenn dein Anbieter nicht sofort aktualisieren kann, frage nach dem Schutz für die Zwischenzeit. Das NCSC empfiehlt, ein betroffenes System gegebenenfalls vorübergehend vom Netz zu nehmen, wenn sich Schutzmaßnahmen nicht oder nicht rechtzeitig umsetzen lassen.
Hängen die Ausfälle von Pokémon-Apps mit PHP zusammen?
Der Wartungshinweis des Pokémon-Supports vom 21. Oktober nennt Pokémon HOME, Pokémon Champions und Pokémon Sleep. Für diese Dienste liefen oder waren außerplanmäßige Wartungsarbeiten vorgesehen.
Der Hinweis nennt PHP nicht als Ursache und meldet keinen Diebstahl von Nutzerdaten. Aktuelle Informationen findest du dort und auf den offiziellen Kanälen der Spiele. Ein Dienst kann vorsorglich offline gehen. Das beweist keinen Hackerangriff.
Was tun, wenn deine Website schon gehackt wurde?
Ein PHP-Update schließt diese Lücken. Es entfernt aber keine Dateien oder Konten, die ein Angreifer möglicherweise hinterlassen hat. Kontaktiere deinen Hoster, sichere wichtige Protokolle und notiere, was wann passiert ist.
Unser englischer Leitfaden zu Anzeichen für eine gehackte WordPress-Website nennt mögliche Warnsignale. Nutze bei Verdacht außerdem die Wiederherstellungsanleitung von WordPress. Auch eine unauffällig aussehende Website kann eine Untersuchung brauchen.
Häufige Fragen
Ist PHP ein Virus?
Nein. PHP ist Software, mit der Websites betrieben werden. PHP2Shell ist der Name für diese Sicherheitslücken und die dazugehörige Forschung.
Behebt ein WordPress-Update PHP2Shell?
Nein. Dein Hoster muss die PHP-Software hinter deiner Website aktualisieren. Halte WordPress, Themes und Plugins zusätzlich aktuell.
Ist PHP 8.3 vor diesen Lücken geschützt?
Die erste reguläre korrigierte Version ist PHP 8.3.36. Zeigt dein Hoster eine ältere Nummer an, frage, ob sein eigenes Paket beide Korrekturen enthält.
Muss ich ein Update auf meinem Handy installieren?
Du musst kein PHP installieren, um eine Website oder App zu nutzen. Der Betreiber muss den Server aktualisieren. Beachte die offiziellen Hinweise des Dienstes.
Kann ich warten, bis meine Website nicht mehr funktioniert?
Nein. Eine Website kann trotz einer anfälligen PHP-Version normal funktionieren. Frage bei deinem Hoster nach, auch wenn du keine Fehlermeldungen siehst.
Bedeutet das, dass meine Daten gestohlen wurden?
Nein. Eine Sicherheitslücke schafft ein Risiko. Sie beweist nicht, dass ein bestimmter Dienst gehackt wurde. Betroffene Dienste sollten selbst über bestätigte Vorfälle informieren.