PHP2Shell: Wie wir alle betreuten Websites noch am selben Abend abgesichert haben

Patrick Bußmann, 3. November 2026

Kurz gesagt: Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619, Spitzname “PHP2Shell”). Über sie konnten Angreifer ohne Passwort Code auf dem Server ausführen. Fast jede WordPress-, Joomla- oder TYPO3-Seite läuft auf PHP. Bei Bußmann IT waren noch am selben Abend alle betreuten Server aktualisiert. Für einige ältere Websites, für die es kein offizielles Update gibt, haben wir einen Übergangsschutz eingerichtet.

Was ist PHP2Shell?

PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft, darunter WordPress, Joomla, TYPO3 und viele Shops. Die beiden Lücken stecken in einer Funktion, die den Fortschritt von Datei-Uploads verfolgt (“Session Upload Progress”). Diese Funktion ist seit PHP 5.4 standardmäßig eingeschaltet und greift bei jeder Formular-Übermittlung, noch bevor die eigentliche Website überhaupt etwas tut.

Das macht die Lücke so gefährlich:

Kein Login nötig. Ein Angreifer braucht keinen Zugang, eine präparierte Anfrage an die Website reicht.
Es trifft fast alle. Betroffen sind alle Websites mit PHP ab Version 5.4, unabhängig vom System.
Es ging schnell. Technische Details waren schon vorher durchgesickert. Laut Cloudflare stiegen die Angriffsversuche nach der Veröffentlichung bis zum nächsten Morgen auf mehrere Millionen.

Die Lücken haben die höchste Kritikalität (CVSS 9.2). Ein erfolgreicher Angriff bedeutet im schlimmsten Fall: Schadcode auf dem Server, gestohlene Zugangsdaten, Spam-Versand oder eine Website, die Besucher auf Betrugsseiten umleitet.

Was wir am 21. Oktober gemacht haben

Die Veröffentlichung kam am Mittag. Für die aktuellen PHP-Versionen gab es gleichzeitig Updates (8.2.35, 8.3.36, 8.4.27 und 8.5.12).

Am Abend: Wir haben auf allen Servern, die wir betreuen, die neuen PHP-Versionen eingespielt und alle PHP-Prozesse neu gestartet. Weil wir unsere Server mit festen Abläufen und Skripten pflegen, war das kein Abarbeiten von Seite zu Seite, sondern ein Update pro Server. Wo die Paketquellen die neue Version noch nicht hatten, haben wir nachgezogen, sobald sie da war.

Ältere PHP-Versionen: Einige ältere Websites liefen noch auf PHP 7.4, für das es keine regulären Updates mehr gibt. Wir haben zuerst versucht, sie auf PHP 8.4 umzustellen. Wo eine Seite damit nicht lief, haben wir sie zurückgestellt und noch in der Nacht einen Übergangsschutz eingerichtet: Die betroffene Upload-Funktion ist abgeschaltet und auffällig große Anfragen werden vom Webserver abgelehnt, bevor sie PHP erreichen.

Bis kurz vor Mitternacht: Zum Schluss haben wir einen Sicherheitsscan über alle Websites gestartet. Dabei fiel bei einer Seite ein Plugin aus einer unseriösen Quelle auf. Dessen Verbindung nach außen haben wir sofort gesperrt.

Unsere Kunden mussten dafür nichts tun und nichts beauftragen. Das ist genau der Sinn einer Wartung: Wenn es brennt, ist schon jemand dran.

Was Sie jetzt prüfen sollten

Wenn Ihre Website nicht von uns betreut wird, klären Sie bitte mit Ihrem Hoster oder Dienstleister diese Punkte:

Welche PHP-Version läuft? Sie finden sie meist im Kundenbereich Ihres Hosters. Ab diesen Versionen ist die Lücke geschlossen: 8.2.35, 8.3.36, 8.4.27 oder 8.5.12.
Läuft noch PHP 7.4, 8.0 oder 8.1? Dann gibt es oft kein Update. Die sichere Lösung ist die Umstellung auf eine aktuelle Version. Bis dahin sollte zumindest die Einstellung session.upload_progress.enabled abgeschaltet sein.
Wurde nach dem Update neu gestartet? Ein Update wirkt erst, wenn alle PHP-Prozesse neu gestartet wurden.
Gibt es Auffälligkeiten? Unbekannte Administratoren, neue PHP-Dateien im Upload-Ordner oder Umleitungen auf fremde Seiten sind Warnzeichen. Was dann zu tun ist, steht in unserem Artikel WordPress gehackt: Was Sie jetzt tun sollten.

Zwei Tage später hat PHP eine weitere, verwandte Lücke gemeldet (CVE-2026-115560), die auch aktuelle Versionen betrifft, aber nur bei ungewöhnlicher Konfiguration. Auch dafür hilft es, die Upload-Fortschrittsfunktion abzuschalten. Die meisten Websites brauchen sie ohnehin nicht.

Website-Wartung von Bußmann IT

Bei einer Lücke wie PHP2Shell zählen Stunden, nicht Wochen. Mit einer Website-Wartung von Bußmann IT aus Algermissen bei Hildesheim kümmern wir uns um Updates, Backups und Überwachung, und im Ernstfall auch um die Nachtschicht. Telefon: 05126 80 47 737.

Häufige Fragen

Bin ich betroffen, wenn meine Website nicht mit WordPress läuft?

Wahrscheinlich ja. Die Lücke steckt in PHP selbst, nicht in WordPress. Betroffen sind auch Joomla, TYPO3, Shopware, eigene PHP-Anwendungen und viele Baukasten-Systeme, sofern sie auf einem eigenen Server laufen.

Reicht eine Firewall wie Cloudflare?

Sie hilft, ersetzt aber nicht das Update. Cloudflare hat schon vor der Veröffentlichung Schutzregeln aktiviert, auch im kostenlosen Tarif. Angreifer haben ihre Anfragen aber schnell abgewandelt, um solche Regeln zu umgehen. Deshalb muss PHP trotzdem aktualisiert werden.

Woran erkenne ich, ob meine Website angegriffen wurde?

Sicher nur mit einem Blick auf den Server: neue oder veränderte PHP-Dateien, unbekannte Benutzer, auffällige Einträge in den Server-Protokollen. Wenn Sie unsicher sind, lassen Sie die Seite prüfen.