PHP2Shell: Kritische PHP-Sicherheitslücke, was WordPress-Betreiber jetzt tun müssen

Stand: 21. Oktober 2026, 16:30 Uhr. Ich aktualisiere diesen Beitrag, sobald es Neues gibt.

In PHP stecken zwei kritische Sicherheitslücken, genannt PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen und damit die ganze Website übernehmen, auch bei WordPress. Das PHP-Team hat am 21. Oktober um 16 Uhr deutscher Zeit die abgesicherten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Wenn Ihre WordPress-Website auf einer älteren Version läuft, muss PHP heute aktualisiert werden. Ein Update von WordPress oder den Plugins reicht nicht.

Was passiert ist

Forscher, unter anderem von der Firma Calif, haben die Fehler im August entdeckt und dem PHP-Team gemeldet. Bevor die Updates fertig waren, gelangten Einzelheiten an die Öffentlichkeit. Das PHP-Team hat deshalb am 20. Oktober vorab gewarnt und die Updates auf den 21. Oktober, 14 Uhr UTC gelegt. Beide Lücken haben den Schweregrad 9,2 von 10 (CVSS 4.0).

Das BSI warnt, dass alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar sind, und hält eine großflächige Ausnutzung innerhalb weniger Stunden nach den Updates für wahrscheinlich. Laut dem Sicherheitsdienst Sansec meldete Cloudflare schon am Morgen vor der Veröffentlichung erste Angriffe. Die Forscher von Calif haben die Lücke nach eigener Darstellung unter anderem gegen WordPress 7.1.2, Drupal, Joomla, Magento und Nextcloud ausgenutzt, ohne Anmeldung.

Ist meine WordPress-Website betroffen?

Sehr wahrscheinlich ja, bis PHP auf Ihrem Server aktualisiert ist. WordPress ist in PHP geschrieben, jede WordPress-Website läuft also auf PHP. Das PHP-Team nennt in seiner Sicherheitsmeldung alle PHP-Installationen, die Webanfragen beantworten, als gefährdet, ganz gleich ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Am höchsten ist das Risiko bei Apache mit mod_php: Dort lässt sich der Angriff auslösen, bevor WordPress überhaupt startet.

So sehen Sie, welche PHP-Version Ihre Website nutzt: Melden Sie sich in WordPress an und öffnen Sie Werkzeuge, Website-Zustand, Bericht. Im Abschnitt „Server“ steht die PHP-Version.

PHP-Version auf Ihrem Server	Was das heißt
8.5.12, 8.4.27, 8.3.36, 8.2.35 oder höher	Abgesichert. Prüfen Sie trotzdem, ob es vor dem Update Auffälligkeiten gab (unten).
8.2 bis 8.5, aber eine ältere Unterversion	Verwundbar. Das Update muss heute eingespielt werden, bei Hosting-Paketen vom Hoster.
8.1, 8.0, 7.x oder älter	Verwundbar und vom PHP-Projekt nicht mehr versorgt. Wechsel auf PHP 8.2 oder neuer, außer Ihr Hoster liefert ausdrücklich einen Sicherheitsfix für diese Version.

Was Sie jetzt tun müssen

1. PHP-Version prüfen, wie oben beschrieben, und den Stand notieren.
2. Beim Hoster nachfragen, wenn Ihre Website in einem Hosting-Paket liegt. Die meisten Hoster aktualisieren PHP selbst, oft melden sie den Stand auf ihrer Statusseite. Eine kurze Mail reicht: „Ist PHP für meine Website bereits auf eine Version gegen CVE-2026-109618 und CVE-2026-109619 aktualisiert?“
3. Auf eine unterstützte Version wechseln, wenn Ihre Website noch PHP 8.1 oder älter nutzt. Laut php.net werden nur noch PHP 8.2 und neuer gepflegt. Die Version stellen Sie meist im Kundenmenü des Hosters um. Machen Sie vorher ein Backup: Alte Plugins und Themes laufen auf neuem PHP nicht immer.
4. Eigener Server: PHP-Pakete der Distribution aktualisieren und alle PHP-Prozesse neu starten (PHP-FPM, Apache). Das PHP-Team weist darauf hin, dass das verbreitete Paketarchiv rpms.remirepo.net am 21. Oktober keine Updates hatte. Wer es nutzt, sollte auf die Pakete der Distribution wechseln.
5. Nach dem Update auf Spuren prüfen (nächster Abschnitt).

Für Server-Administratoren nennt das PHP-Team Einstellungen, die einzelne Angriffswege erschweren, wenn ein Update nicht sofort möglich ist. Es schreibt aber ausdrücklich, dass sie eine Installation nicht sicher machen. Ich würde mich nicht darauf verlassen. Läuft heute kein Update, ist vorübergehendes Abschalten der Website die sichere Wahl. Laut n-tv haben unter anderem die Stadt Mainz und die Universität Mannheim ihre Websites aus diesem Grund vom Netz genommen.

Warum ein WordPress-Update diesmal nicht hilft

Bei den meisten Sicherheitswarnungen zu WordPress geht es um ein Plugin oder um WordPress selbst, und ein Klick auf „Aktualisieren“ im Dashboard behebt das Problem. Diesmal liegt der Fehler eine Ebene tiefer, in PHP, also in der Software auf dem Server, die WordPress ausführt. Sansec bringt es auf den Punkt: Die Lücke lässt sich nicht aus dem Code der Website heraus schließen. Auch Sicherheits-Plugins kommen bei Apache mit mod_php zu spät, weil der Angriff schon vor dem Start von WordPress greifen kann.

Das ist der Grund, warum gute WordPress-Wartung mehr umfasst als Plugin-Updates: Jemand muss auch wissen, auf welcher PHP-Version die Website läuft, und den Wechsel auf eine neue Version vorher auf einer Testkopie prüfen.

Woran Sie einen erfolgreichen Angriff erkennen

Ein PHP-Update schließt die Lücke, entfernt aber nichts, was ein Angreifer vorher hinterlassen hat. Prüfen Sie nach dem Update deshalb:

• neue Administrator-Konten unter Benutzer, die niemand angelegt hat
• unbekannte PHP-Dateien, besonders im Ordner wp-content/uploads, wo normalerweise nur Bilder und Dokumente liegen
• geänderte Dateien in WordPress, im Theme oder in Plugins (ein Abgleich mit frischen Originaldateien zeigt das)
• Weiterleitungen auf fremde Seiten, Spam-Seiten bei Google unter Ihrer Domain oder Warnungen im Browser

Sansec beschreibt außerdem, dass eine der Lücken Speicherinhalte anderer Anfragen preisgeben kann, darunter Passwörter, Sitzungen und API-Schlüssel. Wenn Ihre Website ungepatcht im Netz war, würde ich nach dem Update die Passwörter der Administratoren ändern, die Sicherheitsschlüssel in der wp-config.php erneuern (das meldet alle Nutzer ab) und Zugangsschlüssel zu angebundenen Diensten wie Zahlungsanbieter oder Newsletter-Tool austauschen.

Finden Sie eines dieser Zeichen, ist die Website wahrscheinlich kompromittiert. Dann hilft ein Update allein nicht mehr, sondern eine Bereinigung. Wie die abläuft, steht auf meiner Seite WordPress gehackt: Soforthilfe.

Häufige Fragen

Welche PHP-Version ist sicher?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer, veröffentlicht am 21. Oktober 2026. PHP 8.1 und älter bekommen vom PHP-Projekt kein Update mehr. Dort hilft nur ein Wechsel auf eine unterstützte Version oder ein Sicherheitspaket Ihres Hosters, falls er eines anbietet.

Reicht es, WordPress und die Plugins zu aktualisieren?

Nein. Die Lücke steckt in PHP selbst, also in der Software, auf der WordPress läuft. Geschlossen wird sie nur durch ein PHP-Update auf dem Server. WordPress- und Plugin-Updates bleiben trotzdem wichtig, sie schließen diese Lücke aber nicht.

Hilft ein Sicherheits-Plugin wie Wordfence?

Nicht zuverlässig. Laut PHP-Team kann der Angriff bei Apache mit mod_php ausgelöst werden, bevor überhaupt Code der Anwendung läuft. Ein Plugin in WordPress kommt dann zu spät. Nur das PHP-Update schließt die Lücke.

Ich bin bei einem Hoster. Muss ich trotzdem etwas tun?

Ja: prüfen, ob Ihr Hoster schon aktualisiert hat, und auf einen Tarif mit PHP 8.2 oder neuer wechseln, falls Ihre Website noch auf 8.1 oder älter läuft. Das Update von PHP selbst spielt der Hoster ein, die Wahl der PHP-Version treffen Sie meist im Kundenmenü.

Muss ich meine Website offline nehmen?

Wenn Ihr Server heute nicht aktualisiert werden kann, ist vorübergehendes Abschalten die sichere Wahl. Mehrere Städte und Hochschulen haben ihre Websites am 21. Oktober genau deshalb vom Netz genommen. Ist PHP aktualisiert, kann die Website wieder online gehen.

Hilfe, wenn Sie nicht weiterkommen

Sie wissen nicht, auf welcher PHP-Version Ihre Website läuft, der Hoster antwortet nicht, oder nach dem PHP-Wechsel funktioniert etwas nicht mehr? Ich prüfe das für Sie, spiele das Update ein und teste die Website danach. Rufen Sie an unter 089 3288 6771 oder schreiben Sie mir über das Kontaktformular. Wenn Sie solche Lagen künftig nicht mehr selbst verfolgen wollen: Das ist der Kern meiner WordPress-Betreuung.

Quellen: Sicherheitsmeldung des PHP-Teams mit den technischen Details in GHSA-w8hw-w9fx-j79w und GHSA-6wmf-4rv5-p3rp, Pressemitteilung des BSI und CERT-EU.