PHP2Shell: Prüfen Sie, ob Ihr PHP betroffen ist, und schließen Sie die Lücke

Was müssen Sie über PHP2Shell wissen?

Hier geht es los: was PHP2Shell ist, wer davor gewarnt hat und was bestätigt ist und was nicht.

Was ist PHP2Shell, und wie gefährlich ist die Lücke?

PHP2Shell ist der Name, den Wiz Research zwei Speicherfehlern in der PHP-Laufzeitumgebung gegeben hat: CVE-2026-109618 („RCE via OOM corruption“) und CVE-2026-109619 („RCE via stale global state“). Das PHP-Projekt stuft beide als kritisch ein (CVSS-4.0-Wert 9.2), weil eine Anfrage aus dem Internet zur Ausführung von Code aus der Ferne führen kann: Angreifer könnten Befehle mit den Rechten Ihres Webservers ausführen, Dateien der Website ändern und Datenbankpasswörter auslesen.

Die Fehler stecken in PHP, nicht in WordPress, Drupal oder einer anderen Anwendung. Deshalb betreffen sie jede Website, deren PHP mit einer ungepatchten Version Webanfragen verarbeitet. Die Seite zur PHP2Shell-Sicherheitslücke erklärt beide Fehler, wer betroffen ist und was noch unklar ist.

Welche Regierungen und Behörden haben vor PHP2Shell gewarnt?

Nationale Cybersicherheitsbehörden in mehr als einem Dutzend Ländern und Regionen haben vor PHP2Shell gewarnt, darunter die USA (NSA, FBI), Großbritannien (NCSC), die EU (CERT-EU), Japan, Deutschland, Frankreich und Singapur. In Deutschland hat das BSI eine Cybersicherheitswarnung veröffentlicht. Die meisten Behörden fordern Organisationen auf, herauszufinden, wo sie PHP einsetzen, und es sofort zu aktualisieren; mehrere raten, eine Website vom Netz zu nehmen oder zu isolieren, wenn sie sich nicht patchen lässt. Die vollständige Liste der nationalen Warnungen zu PHP2Shell verlinkt jeweils auf die Originalwarnung der Behörde.

Ich nutze nur das Internet und betreibe keine Website. Muss ich etwas tun?

Wegen PHP2Shell müssen Sie an Ihrem Smartphone oder Computer nichts tun. Den Fix müssen die Betreiber von Websites auf ihren Webservern installieren. Manche Produkte, etwa Netzwerkspeicher (NAS) oder andere Geräte mit einer Weboberfläche zur Verwaltung, enthalten PHP, worauf mehrere nationale Behörden hinweisen. Lassen Sie bei solchen Geräten automatische Firmware-Updates eingeschaltet und installieren Sie Updates, sobald der Hersteller sie veröffentlicht. Ändern Sie ein Passwort nur, wenn ein Dienst, den Sie nutzen, Sie dazu auffordert, und seien Sie misstrauisch bei E-Mails oder SMS, die PHP2Shell als Grund nennen, etwas zu „aktualisieren“ oder sich anzumelden: Betrüger nutzen große Sicherheitsmeldungen gezielt aus.

Wird PHP2Shell gerade ausgenutzt?

Angriffsversuche wurden gemeldet, eine erfolgreiche Kompromittierung ist aber nicht bestätigt. Cloudflare hat nach eigenen Angaben schon vor Erscheinen des Fixes Angriffsverkehr beobachtet und gesehen, wie Angreifer ihre Payloads veränderten. Keine der Quellen, die wir bis zum 22. Oktober 2026 geprüft haben, bestätigt, dass eine Website tatsächlich über PHP2Shell übernommen wurde; das ist nicht dasselbe wie die Aussage, dass niemand die Lücke ausnutzt. Die viel geteilte Behauptung, Websites würden innerhalb von 15 Minuten nach dem Patch übernommen, stützen die geprüften Quellen nicht: Sansec schrieb, man erwarte eine massenhafte Ausnutzung, nannte aber keinen Zeitrahmen. So oder so: Aktualisieren Sie jetzt.

Warum sind wegen PHP2Shell so viele Websites offline?

Meist aus Vorsicht. Behörden in den USA, Großbritannien, der EU und Japan forderten Organisationen auf, PHP-Systeme vom Netz zu nehmen, wenn sie nicht sofort patchen konnten. Laut Reuters gingen daraufhin Websites von Behörden in Deutschland, Frankreich, den Niederlanden, Finnland und Tschechien, der Hafen Rotterdam und einige Systeme von Wikimedia offline. Offline heißt nicht gehackt. Siehe wer Websites abgeschaltet hat.

Hängen aktuelle Datenlecks mit PHP2Shell zusammen?

Wir haben keine öffentlichen Belege gefunden, die bestimmte aktuelle Datenlecks mit PHP2Shell in Verbindung bringen. Einige Hoster haben Dienste oder Funktionen vorsorglich ausgesetzt, zum Beispiel Lolipop und Sakura Internet in Japan; eine vorsorgliche Abschaltung ist kein Datenleck. Betrachten Sie Beiträge, die ein bestimmtes Leck PHP2Shell zuschreiben, als unbestätigt, solange das betroffene Unternehmen das nicht selbst sagt.

Ist PHP2Shell dasselbe wie wp2shell?

Nein. wp2shell ist der Name einer eigenständigen kritischen Sicherheitslücke im WordPress-Core, die durch ein WordPress-Update behoben wird. PHP2Shell steckt in PHP selbst und wird durch ein PHP-Update behoben. Wenn Sie WordPress betreiben, sorgen Sie dafür, dass sowohl WordPress als auch PHP aktuell sind.

Ist meine Website von PHP2Shell betroffen?

Finden Sie heraus, welches PHP Ihre Website tatsächlich nutzt, und vergleichen Sie es mit den gepatchten Versionen.

Ist meine WordPress-Website von PHP2Shell betroffen?

Wahrscheinlich, solange Sie es nicht geprüft haben. WordPress läuft auf PHP. Eine WordPress-Website ist also betroffen, wenn das PHP, auf dem sie läuft, älter ist als die gepatchte Version seines Versionszweigs. Updates für WordPress, Themes oder Plugins beheben PHP2Shell nicht; das schafft nur ein PHP-Update. In WordPress finden Sie die PHP-Version unter Werkzeuge → Website-Zustand → Bericht → Server (englische Oberfläche: Tools → Site Health → Info → Server). Unsere Anleitung zur WordPress-PHP-Version führt Sie Schritt für Schritt durch.

Den vollständigen Selbsttest für WordPress finden Sie unter PHP2Shell und WordPress.

Wo sehe ich, welche PHP-Version meine Website verwendet?

Sehen Sie an einer dieser Stellen nach:

• WordPress: Werkzeuge → Website-Zustand → Bericht → Server.
• Verwaltungsoberfläche Ihres Hosters: die PHP-Einstellungen Ihrer Domain.
• Server oder Container: php -v auf diesem Host oder in diesem Container. Der Befehl zeigt das PHP der Kommandozeile, das sich vom PHP Ihrer Website unterscheiden kann. Prüfen Sie daher, welcher PHP-FPM-Pool oder welches Apache-Modul die Website ausliefert.

Geben Sie das Ergebnis in den PHP-Version-Checker ein. Die Anleitung PHP-Version prüfen beschreibt alle Methoden.

Können Sie meine Website online auf PHP2Shell prüfen?

Teilweise. Der PHP2Shell-Checker kann die PHP-Version lesen, die Ihre Website in ihren HTTP-Headern angibt, und nutzt dafür die Logik von OpenAIs php2shell-checker. Er sendet eine gewöhnliche Anfrage und sonst nichts. Viele Websites verbergen diesen Header, und ein Header kann falsch sein oder einen Backport des Anbieters nicht erkennen lassen. Eine fehlende oder alt wirkende Version ist daher nicht das letzte Wort. Am zuverlässigsten ist die Version aus Ihrer Verwaltungsoberfläche oder dem Website-Zustand, eingegeben in denselben Checker.

Wurde meine Website schon gehackt?

Das kann eine Versionsprüfung nicht beantworten. Aktualisieren Sie zuerst PHP und suchen Sie dann nach Änderungen, die Sie nicht selbst vorgenommen haben: unbekannte Administratorkonten, PHP-Dateien in Upload-Ordnern, kürzlich geänderte Dateien und geplante Aufgaben, die Sie nicht angelegt haben. Wenn Sie etwas finden, sichern Sie Beweise, ändern Sie Passwörter und stellen Sie ein sauberes Backup wieder her. Nutzen Sie die Anleitung Prüfen, ob Ihre Website gehackt wurde.

Wie behebe ich PHP2Shell?

Aktualisieren Sie PHP auf eine gepatchte Version oder auf das gepatchte Paket Ihres Anbieters und starten Sie PHP anschließend neu.

Welche PHP-Versionen beheben PHP2Shell?

Das sind die ersten gepatchten Versionen der unterstützten Versionszweige; jede neuere Version desselben Zweigs enthält den Fix ebenfalls. Linux-Distributionen übernehmen den Fix oft per Backport in ihre eigenen Pakete, ohne die PHP-Versionsnummer zu ändern. Eine niedrigere Nummer von Ubuntu oder Debian kann also trotzdem gepatcht sein. Die Anleitung zum PHP2Shell-Patch erklärt, wie Sie aktualisieren und das Ergebnis prüfen.

Ich habe Shared Hosting. Schließt mein Hoster PHP2Shell automatisch?

Beim Shared Hosting oder Managed Hosting installiert Ihr Hoster PHP, also muss er auch die gepatchte Version bereitstellen. Manche Hoster aktualisieren automatisch; bei anderen wählen Sie die PHP-Version pro Website selbst, und der Fix greift erst, wenn Sie eine gepatchte Version auswählen. Prüfen Sie, welche Version Ihre Website meldet, und fragen Sie dann den Support. Die Anleitung zum Patch enthält eine fertige Nachricht an Ihren Hoster.

Was gilt für PHP 7.4, 8.0 oder 8.1?

Für diese Versionszweige erscheinen keine PHP-Releases mehr, also gibt es keine neue offizielle Version 7.4, 8.0 oder 8.1 mit dem Fix. Wegen der Schwere der Lücken hat PHP für alle, die PHP selbst bauen, minimale Quellcode-Patches für 7.4, 8.0 und 8.1 veröffentlicht, und einige Linux-Distributionen und Anbieter von Langzeitsupport liefern Pakete mit Backport aus; das php8.1-Paket von Ubuntu 22.04 ist zum Beispiel gepatcht. Für Versionszweige vor 7.4 gibt es überhaupt keinen offiziellen Patch. Die dauerhafte Lösung ist der Wechsel auf einen unterstützten Versionszweig. Siehe PHP-End-of-Life und PHP2Shell.

Wie erkläre ich PHP2Shell meinem Chef, meinen Kunden oder meinem Hoster?

Bleiben Sie bei den Fakten: welche Websites PHP nutzen, welche Version jede davon nutzt, wer sie aktualisiert und bis wann. Für die Geschäftsleitung: „PHP, auf dem unsere Websites laufen, hat zwei kritische Sicherheitslücken; Fixes sind verfügbar; wir aktualisieren und prüfen jede Website bis [Datum].“ Die Anleitung zum Patch enthält eine Anfrage an Hoster zum Kopieren.

Was tun, wenn ich PHP noch nicht aktualisieren kann?

Übergangsmaßnahmen verringern das Risiko über bestimmte Angriffswege. Keine davon ist ein Fix.

Schützt mich Cloudflare oder eine andere WAF vor PHP2Shell?

Teilweise, und nur für Datenverkehr, der durch sie hindurchläuft. Cloudflare hat etwa neun Stunden vor der Veröffentlichung WAF-Regeln für alle Tarife mit aktivierter WAF ausgerollt, auch für den Free-Tarif, und berichtet, dass Angreifer ihre Payloads veränderten, um sie zu umgehen. Eine WAF filtert bekannte Angriffsmuster; am PHP auf Ihrem Server ändert sie nichts, und Anfragen, die Ihren Server direkt erreichen, gehen an ihr vorbei. Eine WAF ist eine zusätzliche Schutzschicht, kein Fix: Aktualisieren Sie PHP auch dann, wenn Sie Cloudflare nutzen. Was Sie prüfen sollten, steht unter PHP2Shell und Cloudflare; zu AWS WAF, Fastly und Imperva siehe WAF-Regeln gegen PHP2Shell.

Reicht es, session.upload_progress abzuschalten?

Nein. Laut PHP blockiert die Einstellung session.upload_progress.enabled=0 einige bestätigte Angriffswege für CVE-2026-109619, aber nicht jede Variante, und gegen CVE-2026-109618 hilft sie gar nicht. Außerdem wirkt sie nur, wenn sie vor der Verarbeitung der Anfrage gesetzt ist und danach jeder PHP-Worker neu gestartet wird. PHP selbst sagt, dass nur ein Update eine vollständige Lösung ist. Die Seite zu den Übergangsmaßnahmen gegen PHP2Shell listet alle offiziellen Übergangsmaßnahmen für beide Lücken und ihre Grenzen auf.

Die Sicherheitswarnung von PHP ist eindeutig: Nur ein Update ist eine vollständige Lösung („only an update is a complete solution“). — Sicherheitswarnung von PHP

Woher stammen diese Fakten?

Aus der Sicherheitswarnung von PHP, den beiden GitHub-Security-Advisories, Sicherheitshinweisen von Linux-Anbietern, nationalen Cybersicherheitsbehörden und der ursprünglichen Forschung. Wir haben sie am 22. Oktober 2026 geprüft. Wir führen niemals Exploits aus.

• The PHP Group: Sicherheitswarnung und gepatchte Versionen
• GitHub-Advisory: RCE via OOM corruption
• GitHub-Advisory: RCE via stale global state
• Wiz Research: ursprüngliche Forschung zu PHP2Shell
• Cloudflare: WAF-Schutz gegen PHP2Shell
• Sansec: Forschung und Zeitleiste zu PHP2Shell
• Canonical: Ubuntu-Sicherheitshinweis zu PHP
• Debian: Sicherheitsankündigung zu php8.4
• Lolipop: Hinweis auf vorsorgliche Abschaltung (X)
• Nikkei: Sakura Internet setzt einige Funktionen aus
• Rapid7: wp2shell, eine eigenständige Sicherheitslücke im WordPress-Core