Stand: 26.10.2026. Bei allen Hostern, die ich für meine Kunden geprüft habe, ist die Korrektur inzwischen eingespielt. Am 26. Oktober wurde der erste erfolgreiche Angriff bestätigt; eine Ausnutzung in der Breite ist dem BSI bisher nicht bekannt. Maßgeblich sind die Hinweise des PHP-Projekts, des BSI und Ihres Hosters.
Was PHP ist
PHP ist die Programmiersprache, in der WordPress, Shopware, Joomla, Drupal, TYPO3, Magento und viele andere Systeme geschrieben sind. Sie läuft auf dem Server Ihres Hosters. Bei jedem Seitenaufruf nimmt PHP die Anfrage des Besuchers entgegen, startet Ihr System und gibt die fertige Seite zurück.
Updates von WordPress oder Shopware betreffen die zweite Schicht. PHP2Shell steckt in der dritten.
- 01Ihre InhalteSeiten, Produkte, Bilder, Kundendaten
- 02Ihr SystemWordPress, Shopware, Joomla mit Plugins und Theme
- 03PHPdie Programmiersprache, in der Ihr System läuft. Hier steckt PHP2Shell.
- 04Webserver und BetriebssystemApache, nginx, Linux
Was die Lücke erlaubt
Beide Fehler stecken in der Art, wie PHP Speicher verwaltet, während es eine Anfrage verarbeitet.
Punkten nach CVSS 4.0 erreichen beide Lücken, CVE-2026-109618 und CVE-2026-109619.
PHP-Projekt, 21.10.2026kann genügen, um fremden Code auszuführen, bevor die Anwendung überhaupt startet.
PHP-Projekt, 21.10.2026Für den Angriff ist weder eine Anmeldung noch ein Zutun des Betreibers nötig.
BSI, 21.10.2026Eine einzige Anfrage
Es genügt eine präparierte Anfrage in dem Format, das Formulare mit Dateiupload verwenden. Ein solches Formular muss die Website dafür nicht haben.
Fremder Code auf dem Server
Wer Code auf dem Server ausführen kann, kann die Website verändern, Kundendaten lesen, Schadsoftware ablegen oder Spam versenden.
Daten aus anderen Anfragen
Zusätzlich können Daten aus dem Speicher abfließen, etwa Passwörter oder Sitzungsdaten anderer Besucher.
Quelle: Sansec, 21.10.2026
Wer betroffen ist
Die Lücke steckt nicht in einem Plugin, das manche nutzen und andere nicht, sondern in der Grundlage. Laut PHP-Projekt ist jede PHP-Installation gefährdet, die Webanfragen beantwortet, egal ob PHP-FPM, Apache mit mod_php, CGI, FrankenPHP oder LiteSpeed. Die Standardeinstellungen sind verwundbar.
- 01
Websites auf Shared Hosting
Also die meisten Hosting-Pakete, in denen mehrere Kunden einen Server teilen.
- 02
Eigene Server und VPS
Hier pflegen Sie oder Ihr Administrator PHP selbst.
- 03
Onlineshops
Mit Kundenkonten, Bestellungen und Zahlungen steht hier am meisten auf dem Spiel.
- 04
Andere PHP-Anwendungen
Etwa Nextcloud, Webmail oder phpMyAdmin auf demselben Server.
Die Größe der Website spielt keine Rolle. Angriffe dieser Art laufen automatisiert und suchen das Internet nach verwundbaren Servern ab.
Warum Sicherheits-Plugins und Wartungsmodus nicht helfen
Eine Anfrage durchläuft den Server in einer festen Reihenfolge. PHP2Shell greift beim Einlesen, also bevor Ihr System die Anfrage überhaupt sieht.
Der Weg einer Anfrage
- 1Der Webserver nimmt die Anfrage an
- 2PHP liest die Anfrage ein: Hier greift PHP2Shell
- 3WordPress oder Shopware startet
- 4Plugins, Anmeldung und Wartungsmodus werden aktiv
Hilft nicht
- Sicherheits-Plugins und Firewall-Funktionen in WordPress oder Shopware
- Der Wartungsmodus von WordPress oder Shopware, denn er läuft selbst in PHP
- Updates von WordPress, Shopware, Plugins oder Themes
Hilft
- Eine korrigierte PHP-Version, vom Hoster eingespielt
- Übergangsweise: eine Wartungsseite, die der Webserver ganz ohne PHP ausliefert
- Übergangsweise: eine vorgeschaltete Firewall wie die von Cloudflare gegen die bekannten Angriffsmuster
Der Stand am 26. Oktober 2026
Alle Zeiten in deutscher Zeit. Die Lage entwickelt sich weiter.
- August 2026
Sicherheitsforscher von Calif und Wiz Research melden die Lücken vertraulich an das PHP-Projekt.
Sansec - 17. Oktober
Amazon beobachtet einen ersten Angriffsversuch, vier Tage vor der Korrektur.
Amazon - 20. Oktober
Details gelangen vorzeitig an die Öffentlichkeit. Das PHP-Projekt kündigt eine Sicherheitsversion für den nächsten Tag an.
PHP-Projekt - 21. Oktober, 9:43 Uhr
Cloudflare beobachtet Angriffe, noch bevor die Korrektur erschienen ist. Ein Angriffswerkzeug ist öffentlich verfügbar.
Sansec · Cloudflare - 21. Oktober, 16 Uhr
Das PHP-Projekt veröffentlicht PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ubuntu und Debian liefern eigene korrigierte Pakete.
PHP-Projekt · Ubuntu USN-8948-1 · Debian - 21. Oktober
Das BSI warnt mit Stufe 3 von 4 (Orange) und rät, Server vorübergehend vom Internet zu trennen, wenn die Korrektur nicht umgehend eingespielt werden kann. CERT-EU, das Sicherheitsteam der EU-Institutionen, rät ebenso dazu, betroffene Anwendungen bis zum Update abzuschotten. Laut BSI haben einige Betreiber in Deutschland Websites vorsorglich vom Netz genommen.
BSI · CERT-EU - 22. Oktober
Sansec stuft die Lage neu ein: Die öffentlich bekannten Angriffswerkzeuge funktionieren nicht gegen eine PHP-Standardinstallation, sondern nur unter weiteren Voraussetzungen. Massenhafte Angriffe hält Sansec deshalb für weniger wahrscheinlich; aktualisiert werden muss PHP trotzdem. Dem BSI ist bisher keine erfolgreiche Ausnutzung in der Breite bekannt.
Sansec · BSI - 23. Oktober
Das PHP-Projekt meldet eine weitere Lücke (CVE-2026-115560), die auch die korrigierten Versionen betrifft, aber nur unter seltenen Bedingungen ausnutzbar ist. Bis zur nächsten regulären PHP-Version empfiehlt es session.upload_progress.enabled = 0.
PHP-Projekt - 26. Oktober
Sicherheitsforscher bestätigen den ersten erfolgreichen Angriff: Auf einem ihrer Testserver mit nicht korrigiertem PHP 8.4.26 führten Angreifer eigenen Code aus.
BleepingComputer
Warum diesmal der Hoster handeln muss
PHP gehört zum Server, nicht zu Ihrer Website. Bei Shared Hosting und verwalteten Servern installiert und aktualisiert der Hoster PHP. Sie wählen im Kundenmenü meist nur die Hauptversion, etwa PHP 8.3. Auf einem eigenen Server oder VPS sind Sie oder Ihr Administrator selbst zuständig.
- Die korrigierte PHP-Version einspielen
- Die PHP-Prozesse neu starten, damit die Korrektur wirkt
- Für ältere Versionen eine Korrektur bereitstellen oder den Wechsel empfehlen
- Prüfen, ob Ihre Website schon geschützt ist
- Beim Hoster nachfragen, wenn das unklar ist
- Eine veraltete PHP-Version umstellen
- Entscheiden, ob die Website bis zur Korrektur offline geht
Diese Versionen bekommen vom PHP-Projekt keine regulären Updates mehr. Für Fachleute, die PHP selbst bauen, hat es Korrekturen im Quellcode veröffentlicht, und manche Linux-Distributionen liefern eigene. Bei einem Hosting-Paket ist der sichere Weg, jetzt auf PHP 8.3 oder 8.4 umzustellen. PHP 8.2 wird laut PHP-Projekt noch bis zum 31. Dezember 2026 mit Sicherheitsupdates versorgt.
Was Sie jetzt tun können
Die Schritte in der richtigen Reihenfolge, mit einer Vorlage für die Anfrage an Ihren Hoster, fasse ich im Ratgeber PHP2Shell: Was Sie jetzt tun sollten zusammen.
Wenn Sie unsicher sind, ob Ihre Website betroffen ist, schreiben Sie mir. Ich prüfe den Stand und sage Ihnen, was zu tun ist. Einen Wechsel der PHP-Version teste ich vorher auf dem Doppelgänger, einer exakten Kopie Ihrer Website.
- 1PHP-Version herausfinden
- 2Mit den korrigierten Versionen vergleichen
- 3Beim Hoster nachfragen
- 4Ohne Korrektur die Website übergangsweise schützen
- 5Nach Spuren eines Einbruchs sehen
Quellen: PHP-Projekt, Sicherheitshinweis vom 21.10.2026 · BSI, IT-Sicherheitshinweis 2026-297981-1032, Version 1.2 vom 22.10.2026 · CERT-EU, Security Advisory 2026-018 · Sansec, PHP2Shell, aktualisiert am 22.10.2026 · Amazon Threat Intelligence, 21.10.2026 · PHP-Projekt, Hinweis zu CVE-2026-115560 vom 23.10.2026 · BleepingComputer, 26.10.2026 · Cloudflare, 21.10.2026 · Ubuntu, USN-8948-1
Zwischen der Veröffentlichung einer Sicherheitslücke und dem ersten Angriff liegen heute oft nur noch Stunden. Ein Update im Quartal hält da nicht mehr mit.
Kurz beantwortet.
Ist meine Website von PHP2Shell betroffen?
Wenn sie mit WordPress, Shopware, Joomla, Drupal, TYPO3 oder einem anderen PHP-System läuft, sehr wahrscheinlich ja, solange PHP auf dem Server nicht auf einem korrigierten Stand ist. Entscheidend ist nicht die Version Ihres Systems, sondern die PHP-Version auf dem Server. Wie Sie sie herausfinden, steht im Ratgeber PHP2Shell: Was Sie jetzt tun sollten.
Schützt mich ein Sicherheits-Plugin oder der Wartungsmodus?
Nein. Die Lücke liegt in dem Teil von PHP, der eine Anfrage entgegennimmt. Das passiert, bevor WordPress, Shopware und ihre Plugins starten. Auch im Wartungsmodus läuft PHP weiter. Schutz bietet nur eine korrigierte PHP-Version, übergangsweise eine Wartungsseite, die ganz ohne PHP ausgeliefert wird.
Reicht es, WordPress oder Shopware zu aktualisieren?
Nein. Updates von WordPress, Shopware, Plugins oder Themes ändern nichts an PHP selbst. Aktualisiert werden muss PHP auf dem Server, bei Hosting-Paketen durch den Hoster.
Wer muss das Update einspielen?
Bei Shared Hosting und verwalteten Servern der Hoster. Sie wählen im Kundenmenü meist nur die Hauptversion, etwa PHP 8.3, die genaue Unterversion spielt der Hoster ein. Bei einem eigenen Server oder VPS sind Sie oder Ihr Administrator zuständig.
Was ist mit PHP 8.1 und älter?
Diese Versionen bekommen vom PHP-Projekt keine regulären Updates mehr. Für Fachleute, die PHP selbst bauen, hat es Korrekturen im Quellcode veröffentlicht, und manche Linux-Distributionen liefern eigene Korrekturen. Bei einem Hosting-Paket ist der sichere Weg, jetzt auf PHP 8.3 oder 8.4 umzustellen.
Woher kommt der Name PHP2Shell?
Eine Shell ist der direkte Zugang zur Kommandozeile eines Servers. Der Name beschreibt, was die Lücke ermöglicht: aus einer gewöhnlichen Anfrage an eine PHP-Website Zugriff auf den Server zu bekommen. Laut BSI erinnert er bewusst an Log4Shell, eine ähnlich weitreichende Lücke aus dem Jahr 2021.