Am 21.10.2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell bekannt geworden sind. Über sie können Angreifer ohne Anmeldung eigenen Code auf einem Webserver ausführen. Betroffen ist jede Website, die mit PHP läuft. Dazu gehört jede WordPress-Seite.
Was Sie tun müssen, passt in einen Satz: Sorgen Sie dafür, dass Ihre Website mit PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder einer neueren Fassung läuft. Updates von WordPress, Theme oder Plugins schließen diese Lücke nicht. Dieser Ratgeber gibt den Stand vom 22.10.2026 wieder.
Was ist PHP2Shell?
PHP2Shell ist der Name für zwei Schwachstellen in PHP, mit denen Angreifer einen Webserver aus der Ferne übernehmen können.
- CVE-2026-109618: Geht PHP während einer Anfrage der Speicher aus, kann es halb vorbereitete Daten später als gültig behandeln.
- CVE-2026-109619: Daten einer Anfrage bleiben im Speicher stehen und werden von einer späteren Anfrage desselben Prozesses weiterverwendet.
Beide Lücken sind mit 9,2 von 10 Punkten bewertet. Angreifer brauchen weder ein Passwort noch eine Handlung des Opfers. Betroffen sind alle üblichen Arten, PHP auf einem Webserver zu betreiben: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Für Apache mit mod_php beschreibt das PHP-Team einen Angriff, der greift, bevor überhaupt Programmcode der Website läuft.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 21.10.2026 eine Cybersicherheitswarnung mit der Kritikalität 3 / Orange veröffentlicht. Es rät, den Patch unverzüglich einzuspielen.
Gibt es schon Angriffe?
Ja, es gibt Berichte über Angriffsversuche. Amazon meldet einen ersten Versuch am 17.10.2026, also vier Tage vor der Veröffentlichung, und schreibt, die Lücke werde inzwischen breit angegriffen. Ob diese Versuche auf echten Systemen erfolgreich waren, ist laut Amazon offen. Das BSI kannte in seiner Warnung vom 21.10.2026 noch keine bestätigte Ausnutzung.
Für Sie heißt das: nicht abwarten, bis es bestätigte Schäden gibt.
Welche PHP-Versionen sind betroffen?
Betroffen sind alle PHP-Versionen vor den korrigierten Fassungen. Für PHP 8.1 und älter gibt es vom PHP-Projekt kein offizielles Update mehr.
Eine Ausnahme bei der Versionsnummer: Linux-Distributionen wie Debian oder Ubuntu spielen Korrekturen oft in ältere Versionsnummern ein. Dort sagt die Nummer allein nichts, maßgeblich ist der Paketstand der Distribution.
Wer ist zuständig, Sie oder Ihr Hoster?
Bei normalem Webhosting spielt der Hoster die korrigierte PHP-Fassung ein. Sie wählen nur die Version.
- Webhosting-Paket, zum Beispiel bei IONOS oder STRATO: Prüfen Sie die eingestellte Version. Steht dort 8.1 oder älter, stellen Sie um. Steht dort 8.2 bis 8.5, muss der Hoster die korrigierte Fassung einspielen. Fragen Sie im Zweifel beim Support nach.
- Eigener Server oder VPS: Sie sind selbst zuständig. Aktualisieren Sie die PHP-Pakete, starten Sie PHP-FPM oder Apache neu und bauen Sie Docker-Container mit aktuellen Images neu.
- Baukasten wie Wix, Squarespace oder Shopify: Sie betreiben dort kein eigenes PHP. Zuständig ist der Anbieter.
Wie finden Sie heraus, welche PHP-Version läuft?
In WordPress steht die genaue Versionsnummer unter Werkzeuge → Website-Zustand → Bericht → Server → PHP-Version.
Läuft eine ältere Version, zeigt WordPress im Reiter „Zustand“ außerdem einen Hinweis. Dort steht auch: „Die minimal empfohlene PHP-Version ist 8.3.“
- Kundenmenü des Hosters: Dort sehen Sie, welche Version eingestellt ist. Den genauen Patchstand zeigt das Menü oft nicht.
- Eigener Server: Der Befehl
php -v zeigt die Version auf der Kommandozeile. Der Webserver kann eine andere PHP-Fassung nutzen, prüfen Sie deshalb auch die Version, die Ihre Website tatsächlich ausliefert.
- HTTP-Header: Manche Server nennen die Version im Header „X-Powered-By“. Fehlt die Angabe, heißt das nichts. Viele Hoster blenden sie aus.
Was müssen Sie jetzt tun?
Prüfen Sie die Version, stellen Sie sie wenn nötig um und testen Sie danach Ihre Website.
- Version prüfen, wie oben beschrieben.
- Bei PHP 8.1 oder älter: im Kundenmenü auf PHP 8.3 oder 8.4 umstellen.
- Bei PHP 8.2 bis 8.5 mit älterem Patchstand: beim Hoster nachfragen, wann die korrigierte Fassung kommt. Auf eigenen Servern selbst aktualisieren.
- Website testen: Startseite, Kontaktformular, Terminbuchung oder Shop, Anmeldung im Backend.
- Wenn etwas nicht läuft: Theme und Plugins aktualisieren, dann erneut testen. Notfalls vorübergehend eine andere unterstützte Version wählen. Nicht zurück auf PHP 8.1.
- Wenn Sie nicht zeitnah aktualisieren können: Das BSI nennt als Alternative, den Webserver bis zum Update vorübergehend vom Internet zu trennen.
Der Wechsel der PHP-Version ändert keine Dateien und keine Inhalte. Er lässt sich im Kundenmenü wieder zurückstellen.
Wie stellen Sie die PHP-Version bei IONOS und STRATO um?
Bei beiden Hostern im Kundenmenü, in wenigen Klicks. Die Bezeichnungen können je nach Vertrag leicht abweichen.
IONOS: Melden Sie sich im IONOS-Kundenkonto an. Öffnen Sie Hosting, dann den Bereich PHP, und klicken Sie auf Öffnen. Setzen Sie den Haken bei Ihrer Domain, klicken Sie auf PHP-Version ändern, wählen Sie die Version und speichern Sie. Die Umstellung kann etwas dauern.
Für veraltete Versionen wie PHP 8.1 berechnet IONOS eine monatliche Gebühr, den sogenannten „PHP Extended Support“. IONOS gibt an, in diesem Rahmen Sicherheitslücken alter Versionen selbst zu schließen. Ob PHP2Shell schon dabei ist, fragen Sie am besten schriftlich nach. Sicherer ist der Wechsel auf PHP 8.3 oder 8.4. Nach dem Wechsel auf eine unterstützte Version bietet IONOS an, den Extended Support zu kündigen.
STRATO: Melden Sie sich im STRATO Kunden-Login an und wählen Sie über das Drei-Punkte-Menü Ihr Paket. Rufen Sie in der Paketübersicht Datenbanken und Webspace → PHP-Version einstellen auf, wählen Sie die Version und speichern Sie. STRATO bestätigt die Umstellung. Laut STRATO-Hilfe stehen PHP 8.2 bis 8.5 zur Wahl. In manchen Paketen, etwa „Hosting für WordPress“, fehlt dieser Menüpunkt. Dann klärt der STRATO-Support, wo sich die Version einstellen lässt.
Andere Hoster: Suchen Sie in der Hilfe Ihres Hosters nach „PHP-Version ändern“. Die Einstellung liegt fast immer im Kundenmenü beim Webspace oder bei der Domain.
Lesen Sie danach in WordPress die genaue Versionsnummer ab. Erst wenn dort die korrigierte Fassung steht, ist der Fix angekommen.
Helfen WordPress-Updates oder ein Sicherheits-Plugin?
Nein. Die Lücke steckt in PHP, nicht in WordPress, und kann ausgenutzt werden, bevor WordPress überhaupt startet.
Updates von WordPress, Theme und Plugins bleiben trotzdem wichtig, denn ältere Erweiterungen laufen auf neuen PHP-Versionen manchmal nicht. Eine Web Application Firewall kann die Gefahr vorübergehend senken. Anbieter wie Cloudflare haben Regeln gegen die bekannten Angriffswege eingeführt. Vollständig schützt laut BSI nur das Update oder die Trennung vom Internet.
Was bringen Einstellungen in der php.ini?
Sie schützen nur teilweise.
Das PHP-Team nennt Übergangseinstellungen für Administratoren eigener Server. Sie versperren einzelne Angriffswege, machen eine Installation aber nicht sicher. Vollständig hilft nur das Update.
Warum gleich auf PHP 8.3 oder 8.4?
PHP 8.2 bekommt nur noch bis 31.12.2026 Sicherheitsupdates. Wer jetzt von 8.1 auf 8.2 wechselt, muss in wenigen Wochen erneut umstellen.
PHP 8.3 wird bis Ende 2027 mit Sicherheitsupdates versorgt, PHP 8.4 bis Ende 2028. WordPress empfiehlt selbst mindestens PHP 8.3.
Was tun, wenn Ihre Website schon angegriffen wurde?
Informieren Sie Ihren Hoster, spielen Sie ein sauberes Backup ein und ändern Sie alle Passwörter.
Anzeichen für einen Angriff sind unbekannte Dateien auf dem Webspace, neue Administratoren in WordPress, Weiterleitungen auf fremde Seiten oder Warnungen Ihres Hosters. Dann:
- Hoster informieren und um Prüfung bitten.
- Ein Backup einspielen, das vor dem ersten bekannten Angriffsversuch am 17.10.2026 entstanden ist.
- Danach sofort die PHP-Version aktualisieren.
- Alle Passwörter ändern: Hosting, FTP, Datenbank und WordPress.
- Prüfen, ob personenbezogene Daten betroffen sein können. Dann muss der Vorfall unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren haben, der Datenschutzaufsicht gemeldet werden (Art. 33 DSGVO), außer er führt voraussichtlich zu keinem Risiko für die Betroffenen.
Sie möchten das nicht selbst machen?Mit unserer
WordPress-Wartung prüfen wir PHP-Version, Updates und Backups und halten jeden Schritt im Protokoll fest. Sie sprechen direkt mit dem Inhaber, der Ihre Seite betreut. Antwort in unter 24 Stunden.
