PHP2Shell: Ist Ihre Website betroffen?

Stand: 22.10.2026 · Autor: Robert Keintzel, Inhaber LUSEO e.U.

PHP2Shell bezeichnet zwei kritische Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2), die seit dem 21.10.2026 bekannt sind.

Betroffen sind Websites, die auf einer nicht aktualisierten PHP-Version laufen – darunter viele WordPress-, Joomla- und Shop-Installationen. Abgesichert sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35; PHP 8.1 und älter lässt sich nur durch ein Upgrade absichern.

Was ist passiert?

Am 21.10.2026 wurden zwei Sicherheitslücken in PHP öffentlich bekannt: CVE-2026-109618 und CVE-2026-109619, zusammen „PHP2Shell“ genannt. Beide sind mit einem CVSS-Wert von 9,2 bewertet und gelten damit als kritisch.

Korrigiert sind die Lücken in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere Versionen gibt es vom PHP-Projekt keine regulären Updates mehr – hier hilft nur ein Upgrade auf einen unterstützten Versionszweig.

PHP ist die Programmiersprache, auf der ein großer Teil klassischer Websites läuft – vom Content-Management-System über Buchungsstrecken bis zum Online-Shop. Entscheidend ist deshalb nicht, welches System Sie nutzen, sondern welche PHP-Version auf Ihrem Server läuft.

Wer ist betroffen?

Betroffen sein kann jede Website, deren Server PHP in einer nicht korrigierten Version ausführt. Typische Beispiele:

  • Content-Management-Systeme: WordPress, Joomla, TYPO3, Drupal und Contao laufen auf PHP – inklusive aller Themes und Plugins.
  • Online-Shops: WooCommerce, Shopware, PrestaShop und Magento sind PHP-Anwendungen.
  • Individuelle PHP-Anwendungen: Kundenportale, Formular- und Buchungsstrecken oder Intranets, die in PHP programmiert wurden.
  • Gehostete Baukästen: Bei Website-Baukästen und Miet-Shops liegt das Update beim Anbieter. Fragen Sie im Zweifel dort nach.

Nicht unmittelbar betroffen sind Websites, die ohne PHP ausgeliefert werden. Sie haben eine kleinere Angriffsfläche und brauchen kaum Wartung – vollkommen sicher ist aber keine Website von selbst.

Was jetzt tun?

1. PHP-Version prüfen

Die genaue Version finden Sie im Kundenbereich Ihres Hosters oder in WordPress unter Werkzeuge → Website-Zustand. Eine erste Einschätzung von außen liefert unser kostenloser Check. Zum kostenlosen Website-Check

2. Update einspielen

Aktualisieren Sie auf 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder eine neuere Version desselben Zweigs. Lassen Sie danach Website, Formulare und Shop-Funktionen testen.

3. Wartung regeln

Legen Sie fest, wer künftig Sicherheitsupdates einspielt und wie schnell. Wir übernehmen das gerne – sprechen Sie uns an. Wartung anfragen

4. Relaunch prüfen

Läuft Ihre Website auf PHP 8.1 oder älter oder ist das System veraltet, ist ein Neuaufbau oft wirtschaftlicher als Flickwerk. Moderne Websites ohne PHP bieten eine kleinere Angriffsfläche und kaum Wartungsaufwand. Website-Relaunch

Zeitleiste

  1. : CVE-2026-109618 und CVE-2026-109619 werden veröffentlicht (CVSS 9,2). Korrigierte Versionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
  2. : LUSEO stellt einen kostenlosen, passiven Website-Check für Unternehmen bereit.

Häufige Fragen zu PHP2Shell

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in der Programmiersprache PHP mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit CVSS 9,2 bewertet und seit dem 21.10.2026 öffentlich bekannt.

Ist meine Website von PHP2Shell betroffen?

Wenn Ihre Website auf PHP läuft – etwa mit WordPress, Joomla, TYPO3 oder einem PHP-Shop – und die PHP-Version älter ist als 8.5.12, 8.4.27, 8.3.36 und 8.2.35 im jeweiligen Zweig, ja. Unser kostenloser Website-Check gibt eine erste Einschätzung; Gewissheit bringt ein Blick in die Serverkonfiguration.

Welche PHP-Version ist aktuell sicher?

Gegen PHP2Shell abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie neuere Versionen desselben Zweigs. Ältere Versionen dieser Zweige sollten umgehend aktualisiert werden.

Reicht ein PHP-Update oder brauche ich eine neue Website?

Meist reicht zunächst das Update auf eine korrigierte Version. Eine neue Website lohnt sich, wenn die Website auf PHP 8.1 oder älter läuft, CMS oder Plugins mit aktuellen PHP-Versionen nicht mehr funktionieren oder niemand die laufende Wartung übernimmt. Websites ohne PHP haben eine kleinere Angriffsfläche und brauchen kaum Wartung.

Was ist mit PHP 8.1 und älter?

PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Updates mehr. Absichern lässt sich die Website nur durch ein Upgrade auf einen unterstützten Versionszweig – in der Praxis oft verbunden mit Anpassungen an CMS, Theme und Plugins.

Quellen

Jetzt kostenlos prüfen: Website-Sicherheitscheck

Weiterführend: Kostenloser Website-Check · Website-Relaunch · Webentwicklung ohne WordPress · Webdesign-Preise · Kontakt