Prüfen, ob Ihre Website nach PHP2Shell gehackt wurde

Gibt es offizielle Anzeichen für eine Kompromittierung durch PHP2Shell?

Eine verbindliche Liste PHP2Shell-spezifischer Indikatoren hat PHP bis zum 22. Oktober 2026 nicht veröffentlicht. In einem Thread auf X empfehlen die Forscher von Wiz, auf ungewöhnliche Multipart-Anfragen mit anschließenden Speicherlimit-Fehlern oder HTTP-500-Antworten zu achten, außerdem auf fehlerhafte PHPSESSID-Session-Cookies und auf PHP-Worker, die auffällig oft neu starten. Mehrere nationale Behörden raten zudem, nach Hintertüren zu suchen. Werten Sie diese Anzeichen als Hinweise, denen Sie nachgehen, nicht als Beweis. Die folgenden Prüfungen zielen auf die üblichen Spuren einer Website-Übernahme.

Was sollte ich vor der Prüfung tun?

Spielen Sie den PHP2Shell-Patch ein und starten Sie PHP neu. Wer eine noch verwundbare Website prüft, erfährt nur etwas über die Vergangenheit. Sehen Sie aktiven Schaden (verunstaltete Seiten, Spam, Weiterleitungen), nehmen Sie die Website zuerst vom Netz.

Wie prüfe ich, ob meine Website gehackt wurde?

Suchen Sie nach Änderungen, die Sie nicht selbst vorgenommen haben:

1. Admin-Konten, die Sie nicht kennen. In WordPress öffnen Sie „Benutzer“ und filtern nach „Administrator“. Prüfen Sie auch die Konten für Hosting, FTP/SFTP und Datenbank.
2. PHP-Dateien, wo sie nicht hingehören. Upload-Ordner wie wp-content/uploads sollten Bilder und Dokumente enthalten. Eine .php-Datei dort ist ein deutliches Warnsignal.
3. Kürzlich geänderte Dateien, die Sie nicht angefasst haben. Sortieren Sie die Dateien im Dateimanager nach Änderungsdatum und schauen Sie sich alles genau an, was seit Bekanntwerden der Sicherheitslücken geändert wurde.
4. Plugins, Themes oder Must-Use-Plugins, die Sie nicht installiert haben. Prüfen Sie den Ordner wp-content/mu-plugins; er taucht in der normalen Plugin-Liste nicht auf.
5. Geplante Aufgaben, die Sie nicht angelegt haben. Prüfen Sie die Cronjobs in Ihrer Hosting-Verwaltungsoberfläche; Angreifer nutzen sie, um Hintertüren erneut zu installieren.
6. Warnungen von außen. Meldungen Ihres Hosters, Sicherheitsprobleme in der Google Search Console oder Hinweise auf Spam oder Weiterleitungen von Ihrer Domain.
7. Logs, sofern vorhanden: ungewöhnliche Anfragen, gehäufte Fehler oder Abstürze rund um den Zeitpunkt der Veröffentlichung.

Ist eine unbekannte PHP-Datei ein Beweis für PHP2Shell?

Nein. Eine unerklärliche Datei, ein fremdes Konto oder eine Weiterleitung beweist, dass es ein Problem gibt, aber nicht, welche Sicherheitslücke es verursacht hat. Gehen Sie der Sache in jedem Fall nach.

Was tue ich, wenn ich etwas finde?

Gehen Sie in dieser Reihenfolge vor und sichern Sie eine Kopie, bevor Sie etwas löschen:

1. Nehmen Sie die Website vom Netz oder sperren Sie den öffentlichen Zugriff.
2. Sichern Sie Beweise: Kopien verdächtiger Dateien, Logs und einen Snapshot, jeweils mit notierten Uhrzeiten.
3. Ändern Sie alle Passwörter von einem sauberen Gerät aus: Hosting, FTP/SFTP, Datenbank, jedes Admin-Konto sowie die geheimen Schlüssel und API-Tokens der Website.
4. Stellen Sie ein Backup von vor dem Einbruch wieder her oder bauen Sie die Website aus vertrauenswürdigen Quellen neu auf. Aktualisieren Sie dann PHP, die Anwendung, Themes und Plugins, bevor Sie wieder online gehen.
5. Informieren Sie Ihren Hoster und alle, die Sie benachrichtigen müssen, falls personenbezogene Daten oder Zahlungsdaten betroffen sein könnten.

Entfernt der Patch einen Angreifer?

Nein. Der Patch schließt die Lücke; eine Hintertür, ein fremdes Konto oder gestohlene Zugangsdaten entfernt er nicht. Da die Forschung auch das Auslesen von Speicher beschreibt, schließt eine saubere Dateiprüfung zudem nicht aus, dass Daten abgeflossen sind.

Sollte ich mir professionelle Hilfe holen?

Ja, wenn die Website Zahlungen oder personenbezogene Daten verarbeitet, wenn Sie kein sauberes Backup finden, wenn das Problem nach der Bereinigung wiederkehrt oder wenn Sie nicht abschätzen können, wie weit der Einbruch reicht. Eine professionelle Incident Response kann den Schaden sauber eingrenzen.

Wurde meine Website gehackt, nur weil PHP verwundbar war?

Nicht unbedingt. Cloudflare hat Angriffsversuche gemeldet, eine erfolgreiche Kompromittierung ist in den Quellen, die wir bis zum 22. Oktober 2026 geprüft haben, aber nicht bestätigt. Das beweist umgekehrt nicht, dass Ihre Website sauber ist. Prüfen Sie, statt etwas anzunehmen. Zurück zum PHP2Shell-Checker.

Welche Quellen belegen diese Seite?

• Wiz Research: Hinweise zur Überwachung (Thread auf X)
• Wiz Research: ursprüngliche Forschung
• CISA: Playbooks für Incident und Vulnerability Response
• CISA/FBI: Advisory mit Hinweisen zur Abwehr von Web Shells
• The PHP Group: Sicherheitshinweis
• Cloudflare: WAF-Schutzmaßnahmen