PHP2Shell: Ist Ihre Website von der kritischen PHP-Sicherheitslücke betroffen?

PHP2Shell bezeichnet zwei kritische Sicherheitslücken in der Programmiersprache PHP:

• CVE-2026-109618: Sicherheitslücke durch Speicherbeschädigung bei der Verarbeitung von PHP-Anfragen.
• CVE-2026-109619: Sicherheitslücke durch die fehlerhafte Wiederverwendung von Speicherzuständen zwischen Anfragen.

Beide Schwachstellen wurden mit einem CVSS-v4.0-Wert von 9,2 als kritisch eingestuft.

Angreifer können unter bestimmten Bedingungen Schadcode auf einem betroffenen Server ausführen, ohne sich zuvor anmelden zu müssen.

Das Problem liegt direkt in PHP und nicht in einem bestimmten WordPress-Plugin oder Theme.

Obwohl PHP2Shell erst im Oktober 2026 öffentlich bekannt wurde, könnten die zugrunde liegenden Programmierfehler bereits seit vielen Jahren bestehen.

Die betroffenen Versionen reichen mindestens bis PHP 5.4 aus dem Jahr 2012 zurück.

PHP 5 wurde bereits 2004 veröffentlicht. Ob die konkreten PHP2Shell-Schwachstellen schon in dieser ursprünglichen Version vorhanden waren, ist allerdings nicht abschließend belegt.

Das zeigt, dass selbst lange etablierte und kontinuierlich weiterentwickelte Software unentdeckte Sicherheitsprobleme enthalten kann.

Umso wichtiger ist es, dass Hosting-Umgebungen professionell betreut und zeitnah mit Sicherheitsupdates versorgt werden.

Grundsätzlich können alle Websites betroffen sein, die PHP zur Verarbeitung von Webanfragen einsetzen und auf einer verwundbaren PHP-Version betrieben werden.

Dazu zählen unter anderem:

• WordPress und WooCommerce
• TYPO3
• Joomla
• Drupal
• Magento und andere Shopsysteme
• Individuell entwickelte PHP-Anwendungen

Auch eine vollständig aktualisierte WordPress-Installation kann betroffen sein, wenn die zugrunde liegende PHP-Laufzeitumgebung nicht ausreichend abgesichert ist.

Wichtig: Nicht jede Website ist automatisch kompromittiert. Ob ein tatsächliches Risiko besteht, hängt unter anderem vom Patchstatus und der Serverkonfiguration ab.

Am 21. Oktober 2026 wurden Sicherheitsupdates für die unterstützten PHP-Versionen veröffentlicht.

Folgende Versionen enthalten die entsprechenden Sicherheitskorrekturen:

• PHP 8.2: ab Version 8.2.35
• PHP 8.3: ab Version 8.3.36
• PHP 8.4: ab Version 8.4.27
• PHP 8.5: ab Version 8.5.12

Ältere PHP-Versionen sind ebenfalls betroffen. Bei Linux-Distributionen können Sicherheitskorrekturen allerdings auch in ältere Paketversionen zurückportiert werden.

Deshalb reicht die sichtbare PHP-Versionsnummer nicht immer aus, um festzustellen, ob ein Server geschützt ist.

Wir prüfen den tatsächlichen Sicherheitsstatus Ihrer Hosting-Umgebung.

Nein. PHP2Shell betrifft die PHP-Laufzeitumgebung selbst.

Selbst wenn WordPress, sämtliche Plugins und das Theme auf dem neuesten Stand sind, kann die Website weiterhin verwundbar sein.

Die notwendigen Sicherheitskorrekturen müssen auf Serverebene installiert werden.

Genau deshalb ist ein professionell betreutes Hosting wichtig: Die Sicherheit Ihrer Website hängt nicht nur von WordPress, sondern auch von der technischen Infrastruktur ab.

Die verwendete PHP-Version lässt sich bei vielen Hosting-Anbietern im Kundenbereich ablesen.

Bei WordPress ist sie häufig auch unter Werkzeuge → Website-Zustand → Bericht → Server sichtbar.

Allerdings lässt sich daraus nicht immer zuverlässig ableiten, ob alle erforderlichen Sicherheitsupdates installiert wurden.

Mit unserem PHP2Shell-Sicherheitscheck für einmalig 50 € netto überprüfen wir die verfügbaren technischen Informationen und beurteilen, ob Handlungsbedarf besteht.

Bei WordPress genügt in der Regel ein temporärer Administratorzugang. Bei anderen Systemen benötigen wir Zugang zur Hosting-Verwaltung.

Die Installation der entsprechenden PHP-Sicherheitsupdates behebt die bekannten PHP2Shell-Schwachstellen.

Eine vollständige Sicherheit gegen sämtliche Cyberangriffe kann allerdings kein Update garantieren.

Auch Content-Management-Systeme, Plugins, Themes und die Serverkonfiguration müssen regelmäßig überprüft und gepflegt werden.

Unser Hosting-Angebot setzt deshalb auf eine kontinuierlich betreute technische Infrastruktur.