Sicherheitswarnung · Stand 21. Oktober 2026
Kritische PHP-Sicherheitslücke: Ist Ihre Website betroffen?
Am 21. Oktober 2026 wurden zwei kritische Lücken im PHP-Kern veröffentlicht – zusammen „PHP2Shell" genannt (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2 von 10). Sie können es Angreifern ermöglichen, ohne Login Schadcode auf dem Webserver auszuführen. Betroffen ist praktisch jede Website, die mit PHP läuft – etwa WordPress, Shopware oder TYPO3 –, solange die PHP-Version nicht aktualisiert ist. Prüfen Sie hier in Sekunden, ob Ihre Website mit PHP arbeitet.
- Läuft komplett ohne Anmeldung
- Es wird nichts angegriffen oder verändert
- Danach: persönliche Beratung aus Fürstenfeldbruck
Was ist passiert?
PHP2Shell: zwei kritische Lücken im PHP-Kern
PHP ist die Programmiersprache, mit der ein Großteil aller Websites läuft. Die beiden neuen Lücken stecken nicht in einem einzelnen Programm, sondern in PHP selbst – deshalb ist die Reichweite so groß.
Wer ist betroffen?
Jede Website mit nicht aktualisiertem PHP
Die Lücke betrifft den PHP-Kern und damit jede Betriebsart, die PHP für Webseiten ausführt – PHP-FPM, Apache mod_php, php-cgi, LiteSpeed und FrankenPHP. Unabhängig davon, welches System Sie nutzen:
- WordPress
- WooCommerce
- Shopware
- TYPO3
- Joomla
- Drupal
- Contao
- Magento
- PrestaShop
- Laravel
Entscheidend ist allein, ob Ihre installierte PHP-Version die Sicherheitsupdates enthält.
Sichere PHP-Versionen
| PHP-Zweig | Sicher ab |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 und älter | Kein offizielles Update – Upgrade nötig |
Ihre PHP-Version finden Sie bei Ihrem Hoster oder wir ermitteln sie für Sie.
Was jetzt zu tun ist
In drei Schritten auf der sicheren Seite
- PHP aktualisierenDas ist die einzige vollständige Behebung. Bringen Sie Ihren Server auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12. Auf PHP 8.1 und älter hilft nur ein Upgrade.
- ÜbergangsschutzLässt sich nicht sofort aktualisieren, reduzieren eine vorgeschaltete Firewall (WAF) und restriktive PHP-Einstellungen das Risiko – als Übergang, nicht als Ersatz für das Update.
- Auf Spuren prüfenWar der Server vor dem Update erreichbar, sollte er auf Auffälligkeiten geprüft werden: unbekannte PHP-Dateien, veränderte Dateien, verdächtige Zugriffe im Log.
Herstellerpartner für Ihre Sicherheit
Firewall und Schutz von bewährten Herstellern
Als Securepoint-Partner setzen wir eine Firewall vor Ihre Systeme – plus Endpoint Security, Updates und geprüfte Backups.
FAQ
Häufige Fragen zur PHP-Sicherheitslücke
Bin ich von der PHP-Sicherheitslücke betroffen?
Betroffen ist jede Website, die mit einer nicht aktualisierten PHP-Version läuft – unabhängig vom CMS. Dieser Online-Check zeigt Ihnen, ob Ihre Seite überhaupt PHP einsetzt. Ob Ihre konkrete PHP-Version noch verwundbar ist, klären wir im persönlichen Check oder Sie fragen Ihren Hoster nach der installierten Version.
Was ist „PHP2Shell"?
„PHP2Shell" ist der Spitzname für die beiden am 21. Oktober 2026 veröffentlichten Lücken CVE-2026-109618 und CVE-2026-109619 im PHP-Kern. Beide können es Angreifern ermöglichen, ohne Anmeldung Schadcode auf dem Webserver auszuführen (Remote Code Execution), mit den Rechten des Webservers.
Reicht ein Update meiner WordPress-Plugins?
Nein. Die Lücke steckt nicht in den Plugins, sondern in PHP selbst. Entscheidend ist, dass Ihr Server auf einer gepatchten PHP-Version läuft (8.2.35, 8.3.36, 8.4.27 oder 8.5.12). Plugin-Updates und Sicherheits-Plugins sind zusätzlich sinnvoll, ersetzen das PHP-Update aber nicht.
Kümmert sich mein Hoster darum?
Bei Managed-Hosting-Paketen oft ja – aber nicht immer sofort und nicht bei jedem Tarif. Fragen Sie konkret nach Ihrer PHP-Version. Bei eigenen Servern müssen Sie oder Ihr Dienstleister selbst aktualisieren.
Ist der Check gefährlich für meine Website?
Nein. Wir rufen Ihre Startseite einmal ganz normal auf, wie ein Browser, und lesen nur frei sichtbare Angaben wie den Server-Typ aus. Es wird nichts angegriffen, nichts verändert und keine verborgene Adresse durchsucht. Nicht öffentliche oder interne Adressen werden abgewiesen.
Quellen: offizielle Advisories des PHP-Projekts sowie Analysen von JFrog, Palo Alto Networks Unit 42, Rapid7, Tenable und Red Hat. Stand: 21. Oktober 2026.
Unsicher, ob Ihre Website geschützt ist?
Wir prüfen Ihre PHP-Version, aktualisieren Ihre Systeme und setzen eine Firewall davor – für Unternehmen und Praxen im Landkreis Fürstenfeldbruck. Das Erstgespräch ist kostenlos.
Ihr AnsprechpartnerOsman AkyüzGeschäftsführer