Am 21. Oktober 2026 wurden Details zu zwei kritischen Sicherheitslücken in PHP veröffentlicht, die unter dem Namen PHP2Shell aktuell für viel Aufmerksamkeit sorgen. Bereits am Vortag hatte das PHP-Team ein außerplanmäßiges Sicherheitsupdate angekündigt. Da PHP die technische Grundlage für einen großen Teil der heutigen Websites bildet war für uns ein schnelles Handeln wichtig.

Seit Bekanntwerden der Sicherheitslücke haben wir gemeinsam mit unserem Hostingpartner alles Notwendige in die Wege geleitet, um die Sicherheit der von uns betreuten Websites zu gewährleisten. Unser Hostingpartner hat entsprechende Sicherheitsmaßnahmen und Patches unmittelbar nach Veröffentlichung umgesetzt. Parallel dazu haben wir die Websites unserer Kunden geprüft, die eingesetzten PHP-Versionen kontrolliert und dort, wo es notwendig und technisch möglich war, PHP-Updates durchgeführt.

Diese Prüfungen und Aktualisierungen liefen über den 21. und 22. Oktober bis in die Abendstunden und werden auch heute, am 23. Oktober 2026, in Einzelfällen weitergeführt.

Das bedeutet nicht, dass nun automatisch jede Website kompromittiert oder akut gefährdet ist. Bei einer Sicherheitslücke dieser Größenordnung ist es aber wichtig, schnell zu reagieren, die eigene Infrastruktur zu kennen und nicht einfach abzuwarten oder pauschal zu behaupten „bei uns seid ihr sicher“.

Stand dieses Beitrags: 23. Oktober 2026

Wer damit schon alles weiß, was er wissen wollte: perfekt. Für alle anderen gilt: Wer wissen möchte, was hinter PHP2Shell steckt, welche PHP-Versionen jetzt wichtig sind und warum regelmäßige Website-Wartung bei solchen Fällen einen echten Unterschied macht – einfach weiterlesen.

Was ist PHP2Shell überhaupt?

Hinter PHP2Shell stecken zwei kritische Sicherheitslücken in PHP mit den offiziellen Bezeichnungen CVE-2026-109618 und CVE-2026-109619.

PHP ist eine serverseitige Programmiersprache und bildet die technische Grundlage für sehr viele Websites und Webanwendungen. Auch WordPress basiert auf PHP.

Wichtig ist deshalb zunächst: PHP2Shell ist keine Sicherheitslücke in WordPress und auch kein Problem eines bestimmten WordPress-Plugins.

Die Schwachstellen befinden sich tiefer im technischen Unterbau. Vereinfacht gesagt betreffen sie den Umgang von PHP mit Speicher und internen Zuständen während der Verarbeitung von Webanfragen. Unter bestimmten Voraussetzungen kann ein Angreifer diese Fehler ausnutzen und ohne vorherige Anmeldung eigenen Code auf einem Server ausführen.

Genau das macht die beiden Schwachstellen so relevant.

Wer die technische Einordnung noch detaillierter nachlesen möchte, findet dazu unter anderem eine Cybersicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Welche PHP-Versionen sollten jetzt eingesetzt werden?

Das PHP-Projekt hat am 21. Oktober Sicherheitsupdates für die aktuell unterstützten PHP-Versionen veröffentlicht.

Die Sicherheitslücken sind in folgenden Versionen geschlossen:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Wer eine dieser PHP-Reihen verwendet, sollte also mindestens auf der jeweils genannten Version sein.

Etwas komplizierter wird es bei älteren PHP-Versionen.

PHP 8.1 und älter erhalten vom PHP-Projekt regulär keine Sicherheitsupdates mehr. Dazu gehören beispielsweise PHP 8.1, PHP 8.0 und PHP 7.4, die noch immer auf älteren Websites zu finden sind.

Das bedeutet allerdings nicht automatisch, dass jede Website mit einer solchen Version aktuell ungeschützt ist. Hostinganbieter, Linux-Distributionen oder sogenannte LTS-Anbieter können Sicherheitskorrekturen teilweise auf ältere PHP-Versionen zurückportieren.

Wer eine alte PHP-Version einsetzt, sollte deshalb beim eigenen Hostinganbieter prüfen, ob ein entsprechender Sicherheits-Patch eingespielt wurde.

Langfristig bleibt aber trotzdem die sinnvollere Lösung: weg von nicht mehr unterstützten PHP-Versionen und hin zu einer aktuellen Umgebung.

Übrigens steht auch PHP 8.2 bereits kurz vor dem regulären Supportende: Am 31. Dezember 2026 endet auch für diesen Versionszweig der offizielle Sicherheitssupport.

Warum kann man PHP nicht einfach auf die neueste Version stellen?

Theoretisch klingt die Lösung ziemlich einfach:

Neue PHP-Version auswählen. Speichern. Fertig.

Bei einer aktuellen und sauber gepflegten Website funktioniert das häufig auch problemlos. Bei älteren Websites kann ein solcher Versionssprung allerdings Auswirkungen auf WordPress, Plugins, Themes oder individuelle Programmierungen haben.

Ein Plugin, das seit Jahren kein Update mehr erhalten hat, kann beispielsweise mit einer aktuellen PHP-Version nicht mehr funktionieren. Ähnliches gilt für ältere Themes oder individuell entwickelte Funktionen.

Deshalb sollte man bei einem PHP-Update nicht nur auf die Versionsnummer schauen.

Vor einer größeren Umstellung sollte geklärt sein, ob das eingesetzte System und seine Erweiterungen kompatibel sind, ob ein aktuelles Backup vorhanden ist und ob die Website nach der Umstellung weiterhin vollständig funktioniert.

Gerade hier zeigt sich auch ein Problem vieler Websites, die über Jahre technisch kaum betreut wurden. Wir haben dazu bereits ausführlicher geschrieben, wann eine ältere Website technisch zum Problem werden kann.

Was wir seit Bekanntwerden von PHP2Shell gemacht haben

Für die von uns betreuten Websites haben wir nach Bekanntwerden der Sicherheitslücke nicht einfach darauf vertraut, dass sich das Thema von selbst erledigt.

Gemeinsam mit unserem Hostingpartner haben wir die Situation geprüft und die dort bereitgestellten Sicherheitsmaßnahmen verfolgt. Gleichzeitig haben wir kontrolliert, welche PHP-Versionen bei unseren Kunden tatsächlich eingesetzt werden und wo Handlungsbedarf besteht.

Wo ein PHP-Update notwendig und möglich war, haben wir dieses durchgeführt und anschließend geprüft, ob die jeweiligen Websites weiterhin sauber funktionieren.

Bei älteren Systemen ist diese Prüfung besonders wichtig. Denn ein Sicherheitsupdate bringt wenig, wenn die Website danach aufgrund inkompatibler Komponenten nicht mehr funktioniert.

Genau deshalb gehören technische Pflege, Updates und regelmäßige Kontrollen für uns auch nach dem Go-live zu einer Website dazu. Mehr über unseren Ansatz rund um Webdesign, Wartung und Support gibt es auf unserer Webdesign-Seite.

Warum ein Wartungsvertrag bei solchen Fällen sinnvoll ist

Eine Website ist kein abgeschlossenes Projekt.

WordPress entwickelt sich weiter. Plugins verändern sich. PHP-Versionen erreichen ihr Supportende. Sicherheitslücken werden entdeckt und geschlossen. Hostingumgebungen werden aktualisiert.

Vieles davon passiert im Hintergrund – und Website-Betreiber bekommen davon im Alltag verständlicherweise wenig mit.

Solange alles funktioniert, ist das meistens auch kein Problem.

Interessant wird es in Situationen wie PHP2Shell.

Dann stellt sich plötzlich die Frage: Welche PHP-Version läuft eigentlich auf unserer Website? Ist sie betroffen? Kann sie aktualisiert werden? Sind WordPress und Plugins aktuell? Und wer kümmert sich darum?

Bei Websites mit einem laufenden Wartungsvertrag müssen unsere Kunden diese Fragen nicht erst selbst beantworten.

Wir kennen die betreuten Systeme, halten sie regelmäßig aktuell und können bei Sicherheitsmeldungen entsprechend reagieren. Ein Wartungsvertrag kann natürlich nicht verhindern, dass irgendwo eine neue Sicherheitslücke entdeckt wird. Er sorgt aber dafür, dass jemand hinschaut, wenn es darauf ankommt.

Und genau das ist bei IT-Sicherheit oft mindestens genauso wichtig wie das eigentliche Update.

Läuft meine Website auf einer alten PHP-Version?

Wer seine Website selbst betreut und aktuell nicht weiß, welche PHP-Version eingesetzt wird, sollte das jetzt einmal prüfen.

Bei WordPress lässt sich die verwendete PHP-Version beispielsweise über den Website-Zustand im Backend herausfinden. Alternativ findet man sie in der Regel direkt in der Verwaltungsoberfläche des Hostinganbieters.

Läuft dort noch PHP 8.1, PHP 8.0, PHP 7.4 oder eine noch ältere Version, sollte man genauer hinschauen.

Dabei geht es nicht nur um PHP2Shell. Eine nicht mehr unterstützte PHP-Version ist grundsätzlich ein Zeichen dafür, dass der technische Unterbau einer Website überprüft werden sollte.

Ein sofortiger Klick auf die neueste verfügbare PHP-Version ist bei älteren Websites allerdings nicht immer die beste Lösung. Im Zweifel sollte zunächst geprüft werden, ob Website, Theme, Plugins und individuelle Erweiterungen damit kompatibel sind.

Kein Grund zur Panik – aber ein guter Grund zum Prüfen

PHP2Shell ist eine ernstzunehmende Sicherheitslücke. Die veröffentlichten Sicherheitsupdates sollten entsprechend zeitnah eingesetzt werden.

Trotzdem besteht kein Grund, pauschal davon auszugehen, dass jede PHP-Website bereits angegriffen oder kompromittiert wurde.

Entscheidend ist jetzt vielmehr, die eigene Situation zu kennen: Welche PHP-Version läuft? Hat der Hostinganbieter die notwendigen Patches eingespielt? Ist ein Update erforderlich? Und funktioniert die Website anschließend weiterhin sauber?

Für unsere Wartungskunden sind genau diese Prüfungen seit Bekanntwerden der Sicherheitslücke bereits gelaufen und laufen aktuell weiter.

Und wer bei seiner eigenen Website gerade feststellt, dass er weder die eingesetzte PHP-Version kennt noch weiß, wann technisch zuletzt etwas aktualisiert wurde, hat mit PHP2Shell zumindest einen ziemlich guten Anlass, sich das einmal genauer anzusehen.

Wenn dabei Fragen auftauchen oder eine ältere Website technisch überprüft werden soll, einfach kurz bei uns melden.