PHP Sicherheitslücke PHP2Shell: So sichern Sie Ihre Website ab
Was die PHP Sicherheitslücke PHP2Shell bedeutet
PHP2Shell bezeichnet zwei kritische Schwachstellen im PHP-Kern, CVE-2026-109618 und CVE-2026-109619, bewertet mit CVSS v4.0 9.2. Angreifer können ohne Anmeldung Code auf dem Server ausführen und Speicherinhalte auslesen, darunter Passwörter, Session-Tokens und API-Schlüssel. Behoben sind die Lücken seit dem 21. Oktober 2026 in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Das BSI warnt mit Kritikalität drei von vier. Cloudflare hat bereits Angriffsverkehr beobachtet, CERT-EU meldet erste Proof-of-Concept-Exploits. Verlässliche Übergangslösungen gibt es nicht, nur das Update schließt die Lücke.
Warum auch eine gepflegte Website betroffen ist
Die PHP Sicherheitslücke sitzt nicht im Content-Management-System, sondern in der Schicht darunter. Ein aktuelles WordPress, gepflegte Plugins und ein sauberes Theme schützen hier nicht. Betroffen ist jede Installation, die Webanfragen verarbeitet, von WordPress über WooCommerce und Drupal bis Magento und Shopware.
Bei Apache mit mod_php läuft der demonstrierte Angriff ab, bevor Ihr Anwendungscode überhaupt startet. Kein Plugin und keine Firewall im CMS kann daran etwas ändern. Geschlossen wird die Lücke ausschließlich auf Serverebene, durch ein PHP-Update.
Diese Schritte sichern Ihre Website jetzt ab
Vier Schritte führen zum Ziel: PHP-Version über den Webserver prüfen, Update einspielen, PHP-FPM beziehungsweise den Webserver neu starten, Version erneut kontrollieren. Der Neustart ist entscheidend, weil laufende Prozesse sonst weiter den alten, verwundbaren Code nutzen. Danach lohnt ein Blick in die Zugriffsprotokolle für das Zeitfenster seit dem 20. Oktober.
Beim klassischen Shared Hosting spielt der Anbieter die Updates ein. Fragen Sie trotzdem nach, ob und wann das geschehen ist. Bei eigenen Servern liegt die Verantwortung vollständig bei Ihnen.
Woran Sie erkennen, wie gut Ihre Website abgesichert ist
Ein Vorfall wie PHP2Shell ist ein Belastungstest für Ihre Betriebsorganisation.
Vier Fragen machen den Reifegrad sichtbar:
- Wer spielt Sicherheitsupdates auf Serverebene ein, Sie oder Ihr Hoster?
- Wie schnell geschieht das, in Stunden oder in Wochen?
- Wer bemerkt es, wenn ein PHP-Prozess plötzlich Programme startet, die dort nichts zu suchen haben?
- Was passiert, wenn der Verdacht auf einen erfolgreichen Angriff besteht?
Wer auf diese vier Fragen keine klare Antwort hat, hat kein PHP-Problem, sondern eine offene Stelle im Betriebskonzept, das zum Verhängnis werden kann, sobald die nächste kritische Schwachstelle kommt.
Warum Website-Sicherheit einen festen Ansprechpartner braucht
Sicherheit entsteht nicht an dem Tag, an dem eine Meldung durch die Presse geht, sondern in den Wochen davor. Wer weiß, welche PHP-Version wo läuft, welcher Hoster wie schnell reagiert und welche Systeme Sonderfälle sind, kann bei einem Vorfall wie PHP2Shell in Stunden handeln statt in Tagen. Diese Übersicht lässt sich nicht kurzfristig herstellen, sie wächst mit der Betreuung.
Genau an dieser Stelle arbeitet Partner & Söhne: Wir behalten die Sicherheitslage für die Websites im Blick, die wir betreuen, ordnen Meldungen für Sie ein und klären mit Hostern und IT-Teams, wer was wann übernimmt. Beim Hosting arbeiten wir mit Mittwald zusammen, einem deutschen Hoster mit eigenem Rechenzentrum in Deutschland. Ihre Daten bleiben damit im Land und unterliegen deutschem Datenschutzrecht. Vieles davon bemerken Sie im Alltag gar nicht und das ist der Sinn der Sache.
PHP2Shell ist dafür ein gutes Beispiel: Zwischen Leak am Dienstagabend und Patch am Mittwochnachmittag lagen keine 24 Stunden. Wer in dieser Zeit erst klären musste, wer zuständig ist, hat Stunden verloren, in denen die ersten Angriffe bereits liefen.
Was eine laufende Betreuung konkret abdeckt
Überblick über alle eingesetzten PHP-Versionen und Systeme, auch die vergessenen
Einordnung von Sicherheitsmeldungen, bevor sie Sie erreichen
Abstimmung mit Hosting-Anbietern und bestehenden Dienstleistern
Kontrolle, dass ein Update tatsächlich aktiv ist, nicht nur eingespielt
Vorgehen im Verdachtsfall, von der Protokollauswertung bis zur Bereinigung
Sie haben noch Fragen?
Gemeinsam finden wir heraus, wie gut Ihre Website gegen PHP2Shell und künftige Sicherheitslücken aufgestellt ist: Wir prüfen, welche PHP-Version tatsächlich auf Ihrem Server läuft, klären mit Ihrem Hoster, ob und wann das Update eingespielt wurde und kontrollieren, dass es nach dem Neustart auch wirklich aktiv ist. In einem unverbindlichen Gespräch zeigen wir Ihnen, wo bei Ihrer Website Handlungsbedarf besteht und wo Sie bereits gut abgesichert sind. Nehmen Sie dazu einfach Kontakt mit uns auf.
Häufig gestellte Fragen zur PHP Sicherheitslücke PHP2Shell
Weitere Beiträge
Aktuelles aus unserer Arbeit und Einordnungen zu den Themen, die uns beschäftigen.
Wir freuen uns auf Ihre Anfrage.
Katrin, Maximilian & Max-Raphael
Geschäftsführende Gesellschafter:innen