PHP2Shell: Was die kritischen PHP-Sicherheitslücken für WordPress-Seiten bedeuten

Wir werden diesen Artikel aktualisieren, sobald neue offizielle Informationen vorliegen.

Am 20. Oktober 2026 wurden Details zu zwei kritischen Sicherheitslücken in PHP bekannt, noch bevor ein Patch bereitsteht. PHP ist die Sprache, auf der WordPress läuft, sodass fast jede WordPress-Website betroffen sein könnte. Hier erfahren Sie, was passiert ist, was das für die Websites Ihrer Kunden bedeutet und was Sie jetzt tun sollten.

Die Sicherheitslücke „PHP2Shell“ im Detail

Sicherheitsforscher haben zwei kritische Sicherheitslücken in PHP entdeckt: CVE-2026-109618 und CVE-2026-109619, die den Spitznamen „PHP2Shell“ tragen. Beide ermöglichen die Ausführung von Code aus der Ferne. Das bedeutet, dass ein Angreifer von jedem beliebigen Ort im Internet aus eigene Befehle auf einem Server ausführen könnte, ohne sich anzumelden, und so die Kontrolle über jede Website auf diesem Server übernehmen könnte.

Die Forscher meldeten das Problem vertraulich, damit PHP eine Korrektur vorbereiten konnte. Die Details sollten bis zum 22. Oktober, nachdem die Korrektur veröffentlicht worden war, geheim bleiben. So hätten alle Zeit gehabt, ein Update durchzuführen, bevor Angreifer wussten, wonach sie suchen mussten.

So ist es aber nicht gelaufen. Am 20. Oktober wurden Details zu beiden Sicherheitslücken öffentlich bekannt, noch bevor der Patch fertig war.

Am 21. Oktober veröffentlichte PHP den Patch und gab zwei offizielle Sicherheitshinweise heraus (CVE-2026-109618 und CVE-2026-109619). Die erste Schwachstelle kann durch speziell gestaltete Datei-Upload-Anfragen ausgenutzt werden, die dazu führen, dass PHP der Speicher ausgeht. Die zweite nutzt Datenreste aus, die PHP zwischen den Anfragen speichert. Beide können es einem Angreifer ermöglichen, die Kontrolle über den Server zu übernehmen.

Was das für WordPress bedeutet

Die meisten Sicherheitsmeldungen zu WordPress betreffen ein Plugin oder ein Theme. Diese hier ist anders, da das Problem in PHP selbst liegt. Jedes Mal, wenn jemand eine WordPress-Seite besucht, wird zuerst PHP ausgeführt und anschließend WordPress mit seinen Plugins geladen.

Das hat zwei wesentliche Konsequenzen: Ein Update von WordPress, Plugins oder Themes kann einen potenziellen Sicherheitsangriff nicht verhindern – das kann nur eine neue PHP-Version. Außerdem können Sicherheits-Plugins und Firewalls, die innerhalb von WordPress laufen, einen solchen Angriff nicht blockieren. Sie greifen erst, nachdem PHP die Anfrage bereits bearbeitet hat.

Welche Standorte sind betroffen?

Laut CERT-EU könnten die Sicherheitslücken alle PHP-Versionen ab PHP 5 betreffen.

PHP-Version	Ist eine Korrektur zu erwarten?	Korrigierte Version
8.5	Ja	8.5.12
8.4	Ja	8.4.27
8.3	Ja	8.3.36
8.2	Ja	8.2.35
8.1 und älter	Nein, diese Versionen sind nicht mehr unterstützt.	Keine. Führen Sie ein Upgrade auf PHP 8.2 oder höher durch.

Was WordPress-Agenturen für ihre Portfolios tun können

Die offizielle Empfehlung des PHP-Teams lautet, das Update durchzuführen, sobald die neue Version verfügbar ist. Auch CERT-EU rät: Wenn Sie das Update nicht umgehend durchführen können, sollten Sie in Erwägung ziehen, öffentlich zugängliche Websites aus dem Internet zu nehmen, bis dies möglich ist.

Hier sind einige praktische Tipps für WordPress-Agenturen:

1. Überprüfen Sie die PHP-Version jeder Website.
Erstellen Sie eine Liste Ihrer Kundenwebsites und der jeweils verwendeten PHP-Version. Für Websites, die PHP 8.1 oder älter verwenden, ist ein Upgrade-Plan erforderlich. Auf WordPress.org finden Sie eine Liste der empfohlenen PHP-Versionen.

Mit „ WP Umbrella “ können Sie die PHP-Version jeder verbundenen Website einsehen, und die Zustandsprüfungen der Websites kennzeichnen Versionen, für die keine Sicherheitsupdates mehr bereitgestellt werden. Dadurch wird Schritt 1 zu einer schnellen Überprüfung, anstatt dass jede Website einzeln geprüft werden muss. Mit dem MCP-Konnektor von „WP Umbrella“ können Sie Ihren KI-Assistenten außerdem fragen: „Auf welchen meiner Websites läuft PHP 8.1 oder älter?“

2. Stellen Sie sicher, dass Sie eine fehlerfreie Sicherungskopie bereit haben, die wiederhergestellt werden kann.
Stellen Sie sicher, dass für jede Website vor und nach dem PHP-Update ein aktuelles, fehlerfreies und vollständiges Backup außerhalb des Servers gespeichert ist. Sollte etwas schiefgehen, können Sie auf eine fehlerfreie Kopie zurückgreifen.

Mit „ WP Umbrella “ können Sie Ihre Websites automatisch sichern – nach einem Zeitplan, der für Sie am besten passt. Sie können auch manuell eine Sicherung erstellen, unmittelbar bevor die PHP-Version Ihrer Website aktualisiert wird. Die Sicherungen werden extern auf den eigenen Servern von „ WP Umbrella“ gespeichert. Auf diese Weise verfügen Sie auch dann noch über eine einwandfreie Kopie, wenn der Server Ihres Hosts nicht erreichbar ist. Sollte etwas schiefgehen, können Sie über Ihr „ WP Umbrella “-Dashboard mit einem Klick eine einwandfreie Version Ihrer Website wiederherstellen.

3. Arbeiten Sie mit Ihren Gastgebern zusammen.

Bei den meisten Hosting-Paketen kann nur der Hosting-Anbieter PHP aktualisieren. Prüfen Sie, ob Ihr Hosting-Anbieter Sie bereits bezüglich PHP2Shell kontaktiert hat.

Falls dies nicht der Fall ist, können Sie fragen: „Wann werden Sie die korrigierte PHP-Version installieren?“, „Werden Sie PHP anschließend neu starten, damit die neue Version auch tatsächlich verwendet wird?“, „Werden Sie für Websites, die mit PHP 8.1 oder älter laufen, den Fix für diese Versionen bereitstellen, oder muss ich ein Upgrade durchführen?“

6. Überprüfen Sie Ihre Websites auf Anzeichen eines Angriffs.

Überprüfen Sie jede Website auf verdächtige Aktivitäten:

• Neue Admin-Benutzer, die Sie nicht angelegt haben
• PHP-Dateien, die Sie nicht kennen, insbesondere im Ordner „uploads“
• Sonstige ungewöhnliche Aktivitäten, wie beispielsweise geänderte Kerndateien

Mit „ WP Umbrella “: Auf Websites mit dem Security-Add-on protokolliert das Sicherheitsaktivitätsprotokoll jede Aktivität, die auf der Website stattfindet, wie beispielsweise die Erstellung neuer Administratorkonten oder Änderungen an Kern-Dateien. Darüber hinaus wird der Malware-Scanner täglich ausgeführt und benachrichtigt Sie umgehend, falls etwas Ihre Aufmerksamkeit erfordert.

Abschließende Überlegungen

PHP2Shell macht deutlich, dass die Sicherheit von WordPress nicht bei WordPress selbst endet. Diesmal lag das Risiko in PHP, der zugrunde liegenden Programmiersprache, und die Lösung erfolgte durch ein PHP-Update statt durch ein Sicherheits-Plugin.

Die meisten Ihrer Kunden werden den Namen „PHP2Shell“ nie hören, und genau so sollte es auch sein. Was ihnen auffallen wird, ist, dass ihre Websites weiterhin liefen, während Sie die PHP-Versionen überprüft, sich mit den Hosting-Anbietern abgestimmt und sichergestellt haben, dass jede Website aktualisiert wurde. Diese Arbeit im Hintergrund ist ein wesentlicher Bestandteil dessen, wozu ein Wartungsvertrag dient.

Wenn Sie sich mit den technischen Details befassen möchten, finden Sie in den offiziellen PHP-Sicherheitshinweisen zu CVE-2026-109618 und CVE-2026-109619 genaue Erläuterungen dazu, was behoben wurde.