PHP-Version Ihrer Website prüfen. Ist sie von PHP2Shell betroffen?

Zwei kritische Lücken in PHP selbst, der Sprache hinter den meisten Websites, darunter WordPress und die meisten Onlineshops. Beide erlauben Remote-Code-Ausführung ohne Anmeldung: Ein Angreifer kann mit einer Web-Anfrage eigenen Code auf dem Server ausführen. CVE-2026-109618 nutzt die Behandlung von Speichermangel aus, CVE-2026-109619 veralteten Zustand zwischen Anfragen. Das PHP-Projekt bewertet beide mit 9,2 (CVSS v4.0). Sicherheitsforscher nennen sie „PHP2Shell“.

Am Mittwoch, 21. Oktober 2026. Details waren schon am Vortag bekannt geworden, und Sicherheitsfirmen rechnen damit, dass Angreifer sofort nach ungepatchten Websites suchen. Aktualisieren Sie deshalb heute.

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Jede ältere Version dieser Reihen braucht das Update. PHP 8.1, 8.0, 7.x und 5.x haben keine offizielle neue Version bekommen. Das PHP-Projekt hat Quellcode-Korrekturen für 7.4, 8.0 und 8.1 veröffentlicht, und manche Linux-Distributionen und Anbieter mit Langzeit-Support spielen die Korrektur ein. Beachten Sie: Die Unterstützung für PHP 8.2 endet am 31. Dezember 2026.

Das ist umstritten, Stand 23. Oktober 2026. watchTowr und Amazon melden Angriffe; Amazon sah den ersten Versuch schon am 17. Oktober, vier Tage vor dem Update. Laut Sansec funktionieren die öffentlichen Angriffswerkzeuge gegen eine PHP-Standardinstallation nicht, und das BSI kennt noch keine erfolgreiche Ausnutzung in der Breite. VulnCheck gibt an, einen funktionierenden Angriff zu besitzen, nur für eigene Kunden. Eine erfolgreich angegriffene Website ist öffentlich nicht belegt. Aktualisieren Sie trotzdem: Ein funktionierender Angriff existiert und kann jederzeit öffentlich werden.

Laut PHP-Projekt alle PHP-Installationen, die Web-Anfragen beantworten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei mod_php, wo ein vorgeführter Angriff funktioniert, bevor Code der Website läuft.

Nein. Die Lücken stecken in PHP selbst, der Sprache, mit der WordPress läuft, nicht in WordPress. Entscheidend ist die PHP-Version auf Ihrem Server, und die verwaltet Ihr Hoster.

Das ist kein Hindernis: Wir arbeiten mit Ihrem bestehenden Hosting-Zugang und stellen Ihre Website auf die neueste unterstützte PHP-Version um, mit der sie läuft, inklusive Sicherung und Plugin-Prüfung. Einen Hosterwechsel brauchen Sie nicht. Die erste Einschätzung ist kostenlos.

Nicht unbedingt. Ihr Server verbirgt seine PHP-Version oder meldet ein Paket einer Distribution, deshalb können wir es von außen nicht beurteilen. Wir finden es für Sie heraus und spielen das Update ein, falls es fehlt. Die erste Einschätzung ist kostenlos.

Nur teilweise. Das PHP-Projekt nennt Einstellungen, die einzelne Angriffswege blockieren, etwa session.upload_progress.enabled abzuschalten und post_max_size zu senken. Es sagt aber klar, dass das eine Installation nicht sicher macht. Nur das Update behebt die Lücken vollständig.

Ja. Wir rufen Ihre Startseite einmal auf, genau wie der Browser eines Besuchers, und lesen die Server-Header sowie die WordPress-Version, die die Seite nennt. Wir senden nichts, was die Lücke testet. Wiederholte Checks innerhalb von zehn Minuten nutzen das erste Ergebnis, Ihre Website wird also nicht erneut aufgerufen. Wir speichern die Domain, das Ergebnis und eine pseudonymisierte Form Ihrer IP-Adresse für 90 Tage, um Missbrauch zu verhindern, und löschen sie dann automatisch.