PHP2Shell: Ist meine Website betroffen? PHP-Version jetzt prüfen
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen, die unter dem Namen „PHP2Shell“ bekannt geworden sind. Betroffen ist fast jede Website, die mit PHP läuft, also auch jede WordPress-Seite. Mit dem Prüf-Tool unten sehen Sie in wenigen Sekunden, ob Ihre PHP-Version bereits abgesichert ist.
Die Eckdaten:
- Schweregrad: CVSS 9.2, „kritisch“
- Zwei Lücken: CVE-2026-109618 und CVE-2026-109619
- Angriff aus der Ferne möglich, ohne Login
- Updates veröffentlicht am 21. Oktober 2026
Website prüfen
Was ist passiert?
PHP ist die Programmiersprache, auf der die meisten Websites laufen, darunter WordPress, Shopware, Joomla und viele individuelle Anwendungen. Die beiden Lücken stecken im PHP-Kern selbst, also unterhalb von WordPress, Plugins und Themes. Über sie können Angreifer ohne Zugangsdaten eigenen Code auf dem Server ausführen. Im schlimmsten Fall übernehmen sie so die komplette Website.
Die Lücken wurden bereits vor der Veröffentlichung der Updates bekannt, erste Angriffe wurden gemeldet. Deshalb ist schnelles Handeln wichtig.
Welche Versionen sind sicher?
| PHP-Zweig | Abgesichert ab | Status |
|---|---|---|
| 8.5 | 8.5.12 | offizielles Update |
| 8.4 | 8.4.27 | offizielles Update |
| 8.3 | 8.3.36 | offizielles Update |
| 8.2 | 8.2.35 | offizielles Update |
| 8.1 und älter | – | kein offizielles Update, nur Nachbesserungen einzelner Hoster |
Ein Update von WordPress oder von Plugins schließt die Lücke nicht. Entscheidend ist allein die PHP-Version auf dem Server.
So finden Sie Ihre PHP-Version
WordPress: im Dashboard unter Werkzeuge › Website-Zustand › Bericht, Abschnitt „Server“, Zeile „PHP-Version“.
Hosting-Kundenbereich: Bei den meisten Hostern steht die Version in den PHP-Einstellungen der Domain, zum Beispiel im cPanel unter „Select PHP Version“ oder in Plesk unter „PHP-Einstellungen“.
Hoster fragen: Der Support nennt Ihnen die genaue Version, die für Ihre Domain aktiv ist.
Achten Sie auf die vollständige Nummer, etwa 8.3.36. Die Angabe 8.3 allein reicht nicht, um den Patch-Stand zu beurteilen.
Was ist zu tun?
- PHP-Version prüfen, am einfachsten mit dem Tool oben.
- Bei Shared Hosting: Das Update spielt der Hoster ein. Fragen Sie nach, wann es für Ihre Domain aktiv ist, falls Ihre Version noch nicht abgesichert ist.
- Bei eigenem Server oder VPS: PHP selbst aktualisieren und anschließend PHP-FPM bzw. den Webserver neu starten.
- PHP 8.1 oder älter: Auf eine unterstützte Version wechseln, möglichst 8.3 oder 8.4. Vorher ein Backup anlegen und die Website danach testen.
Übergangsmaßnahmen für Server-Betreiber
Bis das Update eingespielt ist, empfiehlt das PHP-Team, in der PHP-Konfiguration session.upload_progress.enabled = 0 zu setzen und unter PHP 8.5 zusätzlich fatal_error_backtraces = 0. Danach PHP neu starten. Das schließt einzelne Angriffswege, ersetzt das Update aber nicht.
Wichtiger Hinweis zur Versionsnummer
Manche Hoster und Linux-Distributionen bauen Sicherheitskorrekturen in ältere Versionen ein, ohne die Versionsnummer zu ändern. Eine niedrigere Nummer kann dann trotzdem abgesichert sein. Im Zweifel bestätigt Ihr Hoster den Stand verbindlich.
Unsicher, ob Ihre Website betroffen ist?
Wir prüfen Ihre Website und übernehmen auf Wunsch die Abstimmung mit Ihrem Hoster. Schreiben Sie uns an office@nfs-creation.de.
Stand: 22. Oktober 2026. Quellen: PHP Security Advisory vom 21.10.2026, CERT-EU Security Advisory 2026-018. Das Prüf-Tool vergleicht nur die eingegebene Versionsnummer mit den offiziell abgesicherten Versionen und ersetzt keine Prüfung des Servers.