Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell laufen. Über sie können Angreifer ohne Anmeldung Schadcode auf dem Server ausführen. Sicher sind nur die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. In den meisten Fällen spielt Ihr Hoster das Update ein, Sie sollten aber selbst nachsehen, welche Version Ihre Website wirklich nutzt. Das dauert zwei Minuten.
Das Wichtigste in Kürze
- PHP2Shell besteht aus zwei Lücken (CVE-2026-109618 und CVE-2026-109619), beide mit 9,2 von 10 Punkten bewertet. Ein Angriff braucht kein Passwort und kein Benutzerkonto.
- Betroffen ist praktisch jede PHP-Installation, die Webseiten ausliefert, also auch WordPress, Joomla, Shopware und selbst geschriebene PHP-Seiten.
- Abgesichert sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter bekommt vom PHP-Projekt kein Update mehr.
- Die Version finden Sie in WordPress unter Werkzeuge, Website-Zustand, Bericht, Server, oder im Kundenbereich Ihres Hosters.
- Bezahlte Zusatzpakete für alte PHP-Versionen (Extended Support) sollten Sie kündigen, nachdem Sie geprüft haben, dass nichts mehr von der alten Version abhängt.
Was ist PHP2Shell, und warum ist es so ernst?
PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft. Wenn Sie WordPress nutzen, nutzen Sie PHP, auch wenn Sie davon nie etwas sehen. Bei PHP2Shell liegt der Fehler nicht in einem Plugin oder einem Theme, sondern eine Ebene tiefer, in PHP selbst. Beide Lücken entstehen, wenn eine Anfrage an den Server unsauber abbricht und PHP danach mit beschädigtem Speicher weiterarbeitet. Ein Angreifer kann genau diesen Zustand gezielt herbeiführen.
Das Gefährliche daran: Laut PHP-Team kann eine präparierte Anfrage den Angriff auslösen, bevor überhaupt Code Ihrer Website läuft. Ein sicheres Passwort, ein Sicherheits-Plugin oder ein gut gepflegtes WordPress helfen in diesem Moment nicht. Entdeckt wurden die Lücken von den Sicherheitsteams von Calif, OpenAI und Wiz. Eigentlich war eine abgestimmte Veröffentlichung geplant, nach einem Leck am 20. Oktober kam das Update dann vorzeitig.
Der Ablauf in drei Tagen
- 20. Oktober 2026Details gelangen vorzeitig an die Öffentlichkeit
Zwei Tage vor dem geplanten Termin werden technische Einzelheiten bekannt. Das PHP-Team zieht die Veröffentlichung vor.
- 21. Oktober 2026Updates erscheinen
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 werden veröffentlicht. Cloudflare meldet am selben Tag erste Angriffsversuche und setzt vorläufige Filterregeln. Die britische Cyberbehörde NCSC rät, sofort zu aktualisieren oder betroffene Systeme vom Netz zu nehmen.
- Ab 22. Oktober 2026Hoster rollen aus
Große Hoster spielen die neuen Versionen nach und nach ein oder setzen bis dahin eigene Schutzregeln. Ein festes Datum für alle gibt es nicht.
In zwei Minuten: so finden Sie Ihre PHP-Version
Sie brauchen dafür kein technisches Wissen. Für WordPress-Seiten ist der schnellste Weg direkt im Backend:
- 1. Melden Sie sich in WordPress an.
- 2. Gehen Sie links im Menü auf Werkzeuge und dann auf Website-Zustand.
- 3. Wechseln Sie oben auf den Reiter Bericht und klappen Sie den Bereich Server auf.
- 4. In der Zeile PHP-Version steht eine Zahl, zum Beispiel 8.3.36. Merken Sie sich die ersten drei Teile der Nummer.
Haben Sie kein WordPress oder keinen Zugang zum Backend, sehen Sie im Kundenbereich Ihres Hosters nach. Bei den meisten Anbietern heißt der Menüpunkt PHP-Version, PHP-Einstellungen oder PHP-Konfiguration und hängt an der jeweiligen Domain. Dort steht allerdings oft nur die Hauptversion, etwa 8.3, ohne die letzte Stelle. Dann hilft nur die Nachfrage beim Support, welche genaue Nummer läuft.
Ist meine Version sicher? Die Tabelle zum Abgleich
| Ihre Version beginnt mit | Sicher ab | Was zu tun ist |
|---|---|---|
| 8.5 | 8.5.12 | Steht 8.5.12 oder höher da, ist alles in Ordnung. |
| 8.4 | 8.4.27 | Steht 8.4.27 oder höher da, ist alles in Ordnung. |
| 8.3 | 8.3.36 | Sicher ab 8.3.36. Die Reihe bekommt nur noch Sicherheitsupdates, ein Wechsel auf 8.4 oder 8.5 lohnt sich mittelfristig. |
| 8.2 | 8.2.35 | Sicher ab 8.2.35. Die Unterstützung endet laut PHP-Projekt am 31. Dezember 2026, den Wechsel jetzt planen. |
| 8.1, 8.0, 7.x oder älter | kein offizielles Update | Hoster fragen, ob er eine Korrektur eingebaut hat, und den Umstieg auf eine aktuelle Version zeitnah angehen. |
Ein Sonderfall, über den viele stolpern: Steht hinter der Nummer ein Zusatz mit Bindestrich, etwa 8.3.6-0ubuntu0.24.04.13, stammt Ihr PHP aus einer Linux-Distribution wie Ubuntu, Debian oder AlmaLinux. Diese Anbieter bauen Sicherheitskorrekturen oft in ihre eigenen Pakete ein, ohne die eigentliche Versionsnummer zu ändern. Eine scheinbar alte Nummer kann dann trotzdem abgesichert sein, und umgekehrt sagt die Nummer allein nichts aus. Hier entscheidet der Paketstand, den Ihr Server-Betreuer oder Hoster nachsehen kann.
Reicht es, wenn der Hoster die PHP-Version umstellt?
Bei klassischem Webhosting spielt der Anbieter die neue PHP-Version auf seinen Servern ein. Das ist richtig und gut so. Trotzdem gibt es drei Gründe, selbst hinzusehen. Erstens rollen große Hoster Updates gestaffelt aus, Ihre Seite kann also noch einige Tage auf dem alten Stand laufen. Zweitens bekommt eine Seite, die fest auf PHP 8.1 oder älter eingestellt ist, das Update in der Regel gar nicht automatisch. Drittens betreiben manche Unternehmen eigene Server oder einen vServer, und dort ist niemand außer Ihnen oder Ihrem Dienstleister zuständig.
Die kurze Antwort auf die Frage: Für diese eine Lücke ja, für eine sichere Website nein. Der Fehler steckt in PHP selbst, also schließt ihn das Update des Hosters, sobald es auf Ihrer Seite tatsächlich ankommt. Das klappt meist von allein, wenn nur die letzte Stelle der Nummer steigt, etwa von 8.3.35 auf 8.3.36. Der Sprung auf eine neue Reihe, etwa von 8.1 auf 8.4, bleibt dagegen fast immer Ihre Aufgabe. Und jede Domain und Subdomain in Ihrem Vertrag kann ihre eigene Einstellung haben.
Das ist sinnvoll
- Version selbst ablesen und mit der Tabelle vergleichen
- Bei unklarer Nummer schriftlich beim Hoster nachfragen, ob PHP2Shell geschlossen ist
- Vor einem Versionswechsel ein vollständiges Backup anlegen
- Nach dem Wechsel die wichtigsten Seiten, Formulare und den Login durchklicken
Das besser nicht
- Auf Links in Warnmails klicken, ohne den Absender zu prüfen
- Die PHP-Version auf einer laufenden Seite ohne Backup umstellen
- Sich auf ein Sicherheits-Plugin verlassen, das bei dieser Lücke gar nicht greift
- Eine phpinfo-Datei dauerhaft auf dem Server liegen lassen
Bezahlte Extended-Pakete: warum Sie sie kündigen sollten
Einige Hoster lassen veraltete PHP-Versionen gegen Aufpreis weiterlaufen. Bei IONOS und bei Strato heißt das zum Beispiel PHP Extended Support. Die Idee klingt fair: Wer seine Seite nicht sofort umstellen kann, bekommt mehr Zeit. In der Praxis sehe ich bei Kunden aber oft etwas anderes. Der Zuschlag läuft seit Jahren mit, niemand weiß mehr, warum, und die Seite steht auf einer Version, die das PHP-Projekt selbst längst nicht mehr pflegt.
Strato veröffentlicht keine feste Preisliste. Laut eigener Hilfeseite verlangt der Anbieter eine geringe monatliche Aufwandsentschädigung, die sich nach dem Alter der Version richtet. Für PHP 8.1 läuft der kostenpflichtige Extended Support dort seit dem 2. März 2026, für neuere Versionen beginnt er jeweils kurz nach dem Ende der offiziellen Unterstützung. Strato kündigt das vorher per Mail an. Den Betrag für Ihren Vertrag sehen Sie im Kunden-Login oder auf Ihrer Rechnung.
Das Geld ist dabei nicht einmal das größte Problem. Ein Extended-Paket hält eine Version am Leben, für die es keine regulären Updates mehr gibt. Ob und wie schnell ein Hoster eine Korrektur wie die für PHP2Shell in seine Altversion einbaut, liegt allein bei ihm. Sie bezahlen also dafür, auf einem Stand zu bleiben, den Sie eigentlich verlassen wollen.
So wechseln Sie sauber auf eine aktuelle PHP-Version
- 1. Bestand aufnehmen: Welche Seiten, Shops und Unterseiten laufen auf dem Vertrag? Welche Version nutzt jede einzelne? Steht auf der Rechnung ein Posten wie Extended Support?
- 2. Abhängigkeiten klären: Mit IT, Agentur oder Softwareanbieter sprechen. Gibt es Cronjobs, Schnittstellen, Importe oder Module, die nur mit der alten Version laufen? Für Praxis- und Branchensoftware fragen Sie direkt beim Hersteller nach.
- 3. Backup anlegen: Dateien und Datenbank komplett sichern, und zwar außerhalb des Webspace.
- 4. Erst testen: Viele Hoster bieten eine Testumgebung (Staging). Dort die neue Version einstellen und Startseite, Formulare, Login, Warenkorb und Zahlungsweg durchprobieren.
- 5. Plugins und Theme aktualisieren: Alte Erweiterungen sind der häufigste Grund, warum eine Seite nach dem Wechsel weiß bleibt. Was nicht mehr gepflegt wird, sollte ersetzt werden.
- 6. Live umstellen und gegenprüfen: Version wechseln, dieselben Klickwege noch einmal prüfen und das Fehlerprotokoll des Hosters ansehen.
- 7. Erst dann kündigen: Wenn alles läuft, das Extended-Paket beenden. Bei IONOS geht das laut Anbieter zusammen mit dem Versionswechsel im Control Center. Bei Strato stellen Sie im Kunden-Login unter Datenbanken und Webspace die neue PHP-Version ein und deaktivieren den Extended Support dort ausdrücklich, sonst läuft die Gebühr weiter.
Wer nicht sofort aktualisieren kann, kann das Risiko vorübergehend senken. Das PHP-Team nennt einige Einstellungen, etwa session.upload_progress.enabled auf 0 zu setzen oder eine niedrige Obergrenze für hochgeladene Daten (post_max_size). Es betont aber ausdrücklich, dass diese Maßnahmen nicht vollständig schützen. Sie sind eine Brücke für ein paar Tage, kein Ersatz für das Update.
Bei fast jeder Seite, die ich übernehme, finde ich irgendetwas, das seit Jahren unbemerkt mitläuft: eine alte PHP-Version, ein Zuschlag auf der Rechnung, ein Plugin, das niemand mehr kennt. Eine Lücke wie PHP2Shell ist ein guter Anlass, einmal gründlich aufzuräumen, statt nur das Nötigste zu tun.
Was PHP2Shell für Ihre Strategie bedeutet
PHP2Shell ist kein Grund zur Panik, aber ein deutliches Signal. Lücken werden schneller gefunden, auch weil Werkzeuge mit künstlicher Intelligenz das Suchen erleichtern, und zwar für beide Seiten. Wer eine Website betreibt, braucht deshalb eine feste Routine: aktuelle Software, Backups an einem zweiten Ort und jemanden, der sich zuständig fühlt. Wie Sie Ihre Seite grundsätzlich selbst auf Schwachstellen prüfen und was nach einem Befall zu tun ist, habe ich am Beispiel von wp2shell beschrieben.
Eine Seite ohne PHP und ohne Datenbank bietet dieser Art von Angriff deutlich weniger Fläche. Ganz unberührt bleibt sie trotzdem nicht, wenn im selben Hosting-Vertrag eine angreifbare PHP-Seite liegt, denn oft laufen alle Seiten eines Vertrags unter demselben Benutzer. Warum ich für viele Kunden auf diese Bauweise setze, steht im Beitrag über Websites ohne WordPress-Unterbau.
Wenn Sie das alles nicht selbst übernehmen wollen: Bei meiner Website-Betreuung prüfe ich PHP-Version, Updates und Hosting-Rechnung regelmäßig mit, teste den Wechsel vorher und kümmere mich bei der nächsten Lücke dieser Art zeitnah um Ihre Seite.
Dieser Beitrag gibt technische Hinweise nach bestem Wissen zum Stand 22. Oktober 2026 und ersetzt weder eine Rechtsberatung noch die Prüfung Ihres konkreten Systems durch Ihren Hoster oder IT-Dienstleister.
Quellen und weitere Informationen
- BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws (21.10.2026)
- Help Net Security: PHP2Shell, critical PHP vulnerabilities patched (21.10.2026)
- Datadog Security Labs: PHP2Shell, detection, analysis and remediation
- AlmaLinux: Patched PHP packages released (21.10.2026)
- IONOS: PHP Extended Support, Versionen und Preise
- Strato: Was ist der STRATO PHP Extended Support?
- PHP-Projekt: Unterstützte Versionen und Laufzeiten
Häufige Fragen
Wo finde ich meine PHP-Version, wenn ich kein WordPress habe?
Im Kundenbereich Ihres Hosters, meist unter einem Menüpunkt wie PHP-Version oder PHP-Einstellungen bei der jeweiligen Domain. Dort steht häufig nur die Hauptversion wie 8.3. Für die genaue Nummer mit der letzten Stelle fragen Sie den Support, am besten schriftlich, dann haben Sie die Antwort auch dokumentiert.
Meine Seite zeigt 8.3.35 an. Bin ich jetzt in Gefahr?
Die Version 8.3.35 enthält die Korrektur noch nicht, abgesichert ist die Reihe erst ab 8.3.36. Viele Hoster setzen bis zum Update eigene Schutzregeln und spielen die neue Version gestaffelt ein. Fragen Sie nach, wann Ihr Server umgestellt wird und ob bis dahin ein Schutz aktiv ist. Ein Grund für hektische Eigenaktionen auf der laufenden Seite ist das nicht.
Hilft ein Sicherheits-Plugin wie Wordfence gegen PHP2Shell?
Nur sehr eingeschränkt. Ein WordPress-Plugin läuft innerhalb von PHP, der Angriff kann aber laut PHP-Team ausgelöst werden, bevor WordPress und seine Plugins überhaupt starten. Schutzregeln auf Ebene des Hosters oder eines vorgeschalteten Dienstes wie Cloudflare können helfen, das Update ersetzen sie nicht.
Ich nutze PHP 8.1. Muss ich sofort umsteigen?
Sie sollten den Umstieg jetzt angehen. Für 8.1 gibt es vom PHP-Projekt keine regulären Updates mehr, ob Ihr Hoster eine Korrektur selbst eingebaut hat, müssen Sie bei ihm erfragen. Planen Sie den Wechsel mit Backup und Test, damit die Seite danach nicht weiß bleibt. Ein paar Tage Vorbereitung sind besser als ein überstürzter Wechsel am Abend.
Reicht es, wenn mein Hoster die PHP-Version aktualisiert?
Für PHP2Shell im Wesentlichen ja, sofern das Update auf Ihrer Seite tatsächlich ankommt. Prüfen Sie deshalb die Nummer selbst, und zwar für jede Domain im Vertrag, denn Seiten auf einer alten Reihe wie 8.1 bekommen es oft nicht. Für eine sichere Website reicht es aber nicht: WordPress, Plugins und Themes brauchen eigene Updates, und eine vor dem Update eingeschleuste Hintertür bleibt bestehen.
Was ist PHP Extended Support, und brauche ich das?
Das ist ein kostenpflichtiger Zusatz, mit dem manche Hoster veraltete PHP-Versionen weiterlaufen lassen. Bei IONOS kostet das laut Preisseite je nach Version zwischen 7,81 und 27,36 Euro im Monat zusätzlich, Strato nennt keine feste Liste und zeigt den Betrag im Kunden-Login. Sinnvoll ist so ein Paket höchstens als kurze Übergangslösung, solange eine Umstellung vorbereitet wird. Läuft es seit Jahren, sollten Sie die Abhängigkeiten klären, umstellen und kündigen.
Woran erkenne ich, ob im Hintergrund etwas von der alten PHP-Version abhängt?
Sicher erkennen kann das nur, wer die Seite gebaut hat oder betreut. Typische Kandidaten sind geplante Aufgaben (Cronjobs), Schnittstellen zu Warenwirtschaft, Buchhaltung oder Praxissoftware, alte Shop- und Buchungssysteme und verschlüsselte Erweiterungen von Drittanbietern. Fragen Sie Ihre IT-Verantwortlichen und die Hersteller der angebundenen Software, bevor Sie umstellen oder kündigen.
Kann meine Seite durch den Wechsel der PHP-Version kaputtgehen?
Ja, das kommt vor, vor allem bei älteren Seiten mit Plugins oder Themes, die nicht mehr gepflegt werden. Deshalb gehören ein vollständiges Backup und ein Test in einer Staging-Umgebung vor jeden Wechsel. Die meisten Hoster erlauben außerdem, die Version bei Problemen wieder zurückzustellen. Das ist ein Notausgang, aber kein Dauerzustand.
Meine Website hat gar kein PHP. Betrifft mich das?
Direkt nicht, eine Seite ohne PHP-Dateien bietet dieser Lücke keinen Angriffspunkt. Liegen im selben Hosting-Vertrag aber andere Seiten mit PHP, etwa ein altes WordPress, laufen diese oft unter demselben Benutzer. Wird eine davon übernommen, sind auch die Dateien der anderen Seiten erreichbar. Prüfen Sie deshalb immer den ganzen Vertrag, nicht nur die eine Seite.