Stand: 21. Oktober 2026. Zwei kritische Sicherheitslücken in PHP halten seit Anfang der Woche Hoster und Website-Betreiber in Atem. Sicherheitsforscher nennen sie „PHP2Shell“. Die gute Nachricht: Seit dem Nachmittag des 21. Oktober gibt es offizielle Updates. Die schlechte: Wer sie nicht einspielt, ist ernsthaft gefährdet. Hier lesen Sie, was passiert ist und was Sie jetzt tun sollten.
Was ist passiert?
PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft – darunter die meisten Content-Management-Systeme und viele Online-Shops. Am 20. Oktober 2026 kündigte das PHP-Sicherheitsteam zwei kritische Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 an. Beide wurden mit 9,2 von 10 Punkten bewertet.
Das Gefährliche: Die Lücken stecken nicht in einem einzelnen Plugin oder Shop-System, sondern in PHP selbst. Angreifer können über eine einzige manipulierte Anfrage eigenen Programmcode auf dem Server ausführen – ohne Anmeldung und bevor die eigentliche Website überhaupt startet. Betroffen ist laut den Fachmeldungen jede PHP-Installation, die Webanfragen beantwortet.
Der Cybersicherheitsdienst der EU (CERT-EU) warnte am 20. Oktober und riet, Websites notfalls vom Netz zu nehmen, bis das Update installiert ist. Einige Anbieter haben ihre Seiten vorsorglich abgeschaltet. Hoster meldeten bereits vor Veröffentlichung des Patches erste Angriffe.
Welche PHP-Versionen sind sicher?
Die Lücken sind in diesen Versionen geschlossen:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Für PHP 8.1 und ältere Versionen gibt es offiziell keine Pakete mehr, nur Quellcode-Korrekturen für Spezialisten. Wer noch PHP 8.1 oder älter nutzt, sollte jetzt auf eine unterstützte Version umsteigen. Das betrifft erfahrungsgemäß viele ältere Websites.
Was Sie jetzt tun sollten
- PHP-Version prüfen. Im Kundenmenü Ihres Hosters sehen Sie, welche PHP-Version Ihre Website nutzt. Viele Content-Management-Systeme zeigen sie auch im Backend unter „Website-Zustand“ oder „Systeminfo“ an.
- Hoster fragen. Bei verwaltetem Hosting spielt in der Regel der Anbieter das Update ein. Fragen Sie nach, ob das bereits passiert ist.
- Backup sichern. Vor jeder Umstellung der PHP-Version gehört eine aktuelle Sicherung von Dateien und Datenbank dazu.
- Website testen. Nach dem Update Startseite, Kontaktformular, Login und gegebenenfalls Bestellvorgang ausprobieren.
- Auf Auffälligkeiten achten. Unbekannte Admin-Konten, seltsame Weiterleitungen oder neue Dateien können auf einen Einbruch hindeuten.
Hilft ein Update des CMS oder der Plugins?
Nein. Ein Update Ihres Content-Management-Systems oder Ihrer Erweiterungen ändert nichts an der PHP-Version des Servers. Seien Sie außerdem vorsichtig mit angeblichen „Fix-Plugins“ oder kopierten Code-Schnipseln aus Foren. Sicher ist nur das offizielle Update.
Und wenn doch Daten abgeflossen sind?
Haben Angreifer Zugriff auf personenbezogene Daten erhalten – etwa Kundendaten aus Formularen oder einem Shop –, müssen Verantwortliche das in der Regel innerhalb von 72 Stunden der Datenschutz-Aufsichtsbehörde melden (Art. 33 DSGVO). Holen Sie sich in diesem Fall fachliche Unterstützung.
So sind unsere Wartungskunden betroffen
Die Websites in unserer Wartung laufen auf aktuellen PHP-Versionen bei einem deutschen Hoster, der das Sicherheitsupdate zeitnah einspielt. Wir prüfen nach dem Update jede Website auf Funktion. Sie müssen nichts tun.
Sie sind nicht sicher, ob Ihre Website betroffen ist? Nutzen Sie unseren kostenlosen Website-Check oder melden Sie sich direkt bei uns – wir sehen nach.
Quellen: Help Net Security, Dr. Web, netzwelt.