Sicherheitswarnung · veröffentlicht am 21.10.2026 · zuletzt aktualisiert am 23.10.2026

PHP2Shell: Kritische Sicherheitslücke in PHP

Zwei Schwachstellen im Kern von PHP erlauben es Angreifern, ohne Anmeldung eigenen Code auf Webservern auszuführen. Betroffen ist jede PHP-Installation, die Webanfragen verarbeitet. Updates sind verfügbar und sollten sofort eingespielt werden.

Was ist passiert?

Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates gegen zwei kritische Schwachstellen veröffentlicht. Die Lücken werden zusammen „PHP2Shell“ genannt. Über präparierte Anfragen kann ein Angreifer beliebigen Code auf dem Server ausführen — und damit zum Beispiel Daten stehlen, Schadsoftware installieren oder die Website übernehmen. Dafür braucht er weder ein Passwort noch ein Benutzerkonto.

Die US-Cybersicherheitsbehörde CISA rät, betroffene Systeme sofort zu aktualisieren. Sicherheitsforscher berichten bereits von ersten Angriffsversuchen.

Bin ich betroffen?

Sehr wahrscheinlich, wenn deine Website oder Anwendung mit PHP läuft. Das gilt unter anderem für:

• Websites und Shops mit WordPress, WooCommerce, Shopware, TYPO3, Joomla, Contao, Drupal oder Magento
• Anwendungen auf Basis von Laravel, Symfony oder eigenem PHP-Code
• Nextcloud und andere selbst betriebene Software mit PHP
• Eigene Server, vServer und Cloud-Server, auf denen PHP installiert ist

Welche PHP-Version deine Website nutzt, siehst du meist im Kundenbereich deines Hosters. In WordPress steht sie unter Werkzeuge → Website-Zustand → Bericht → Server.

Welche Versionen sind sicher?

Hinweis: Wird PHP über die Paketverwaltung des Betriebssystems installiert (z. B. Debian, Ubuntu, Red Hat), können die Versionsnummern abweichen. Dann ist das Sicherheitsupdate des jeweiligen Herstellers maßgeblich.

Was jetzt zu tun ist

1. Bestand aufnehmen: Alle Systeme erfassen, auf denen PHP läuft — auch Software, in der PHP unbemerkt mitläuft. Systeme, die aus dem Internet erreichbar sind, zuerst.
2. Sofort aktualisieren: Auf eine der sicheren Versionen updaten und danach prüfen, ob alles funktioniert.
3. Übergangsschutz, falls ein Update nicht sofort möglich ist: feste Speicher- und Upload-Limits setzen, Anfragen am Webserver begrenzen, eine Web Application Firewall vorschalten. Im Zweifel das System vorübergehend vom Netz nehmen.
4. Auf Angriffe prüfen: Logs und laufende Prozesse kontrollieren — zum Beispiel PHP-Prozesse, die Shells starten oder Programme nachladen.

Häufige Fragen

Reicht es, WordPress und alle Plugins zu aktualisieren?

Nein. Die Lücke steckt in PHP selbst, also unterhalb von WordPress, Shopware oder TYPO3. Geschützt bist du erst, wenn die PHP-Version auf dem Server aktualisiert ist.

Meine Website liegt bei einem Hoster. Muss ich etwas tun?

Bei Shared Hosting spielt meist der Hoster das PHP-Update ein. Prüfe trotzdem, welche PHP-Version deine Website nutzt, und frag beim Hoster nach. Bei eigenem Server, vServer oder Cloud-Server bist du selbst verantwortlich.

Ich nutze noch PHP 8.1, 8.0 oder 7.x. Was jetzt?

Für diese Versionen gibt es kein offizielles Update mehr. Die CISA empfiehlt, solche Systeme vom Netz zu nehmen, bis sie auf eine unterstützte Version migriert sind. Vor der Migration sollte geprüft werden, ob die Anwendung mit der neuen Version läuft.

Woran erkenne ich, ob mein Server schon angegriffen wurde?

Typische Hinweise sind PHP-Prozesse, die Shells starten oder Dateien nachladen, unbekannte Dateien im Webverzeichnis und ungewöhnliche ausgehende Verbindungen. Eine saubere Prüfung braucht Zugriff auf Server und Logs.

Was kostet die Hilfe von Bitlink?

Das hängt von der Zahl und Art deiner Systeme ab. Das erste Gespräch ist kostenlos: Wir klären, was betroffen ist, und sagen dir danach transparent, was zu tun ist und was es kostet.

So helfen wir dir

Wir sind ein Entwicklerteam aus Bruchsal und betreiben selbst zahlreiche Server und Webanwendungen. Wenn du Unterstützung brauchst, übernehmen wir:

• den Check, welche Server, Websites und Anwendungen betroffen sind
• das PHP-Update — geplant und getestet, damit deine Seite nicht ausfällt
• einen Übergangsschutz, wenn ein Update nicht sofort möglich ist
• die Prüfung auf Angriffsspuren und die Bereinigung
• den Umstieg von PHP 8.1 und älter auf eine unterstützte Version
• einen kurzen schriftlichen Bericht, was wir gefunden und getan haben

Du sprichst direkt mit den Entwicklern — ohne Ticket-Warteschlange. Das erste Gespräch ist kostenlos.

Quellen

• CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21.10.2026)
• php.net — offizielle Release-Hinweise
• watchTowr: PHP2Shell FAQ