PHP2Shell und WordPress: Ist Ihre WordPress-Website betroffen?

Ist meine WordPress-Website von PHP2Shell betroffen?

Ihre WordPress-Website ist betroffen, wenn die PHP-Version, auf der sie läuft, älter ist als die gepatchte Version ihres Versionszweigs, oder wenn sie PHP 8.1 oder älter ohne Patch des Anbieters nutzt. PHP2Shell besteht aus zwei Fehlern in PHP selbst (CVE-2026-109618 und CVE-2026-109619). Deshalb ist jede WordPress-Website auf einem ungepatchten PHP betroffen, unabhängig von Theme, Plugins oder WordPress-Version.

Wie prüfen Sie Ihre WordPress-Website in zwei Minuten auf PHP2Shell?

Sie brauchen ein Administratorkonto, aber keinen Zugriff auf den Server.

1. Öffnen Sie im WordPress-Adminbereich Werkzeuge → Website-Zustand (englische Oberfläche: Tools → Site Health).
2. Wechseln Sie zum Tab Bericht (Info) und klappen Sie Server auf.
3. Notieren Sie die PHP-Version und die PHP-SAPI (wie PHP läuft, etwa FPM oder Apache).
4. Geben Sie beides in den PHP2Shell-Checker ein. Er vergleicht Ihre Angaben mit den gepatchten Versionen und sagt Ihnen, was als Nächstes zu tun ist.

Der Website-Zustand zeigt das PHP, das Ihre Website tatsächlich ausliefert, und genau diese Version zählt. php -v auf dem Server kann ein anderes Kommandozeilen-PHP melden. Weitere Wege: PHP-Version prüfen.

Beheben Updates für WordPress, Theme oder Plugins PHP2Shell?

Nein. PHP2Shell steckt in der PHP-Laufzeitumgebung unter WordPress. Updates für WordPress-Core, Themes und Plugins ändern nichts an der PHP-Version Ihres Servers. Halten Sie sie trotzdem aktuell, aber den Fix für PHP2Shell bringt nur ein Update von PHP auf eine gepatchte Version oder auf das gepatchte Paket Ihres Anbieters.

Ist PHP2Shell dasselbe wie wp2shell?

Nein. wp2shell ist eine eigenständige Sicherheitslücke im WordPress-Core, die durch ein WordPress-Update behoben wird. PHP2Shell steckt in PHP und wird durch ein PHP-Update behoben. Suchmaschinen zeigen bei der Suche nach „php2shell wordpress“ manchmal Ergebnisse zu wp2shell. Prüfen Sie deshalb beides:

• wp2shell: Der WordPress-Core ist aktuell (Dashboard → Aktualisierungen).
• PHP2Shell: Die PHP-Version im Website-Zustand entspricht der gepatchten Version ihres Versionszweigs oder ist neuer.

Wer aktualisiert PHP für Ihre WordPress-Website?

Das hängt davon ab, wie Ihre Website gehostet wird.

Wenn Sie nur Zugriff auf den WordPress-Adminbereich haben, schicken Sie Ihrem Hoster die fertige Anfrage aus der Anleitung zum PHP2Shell-Patch.

Kann ein PHP-Update meine WordPress-Website lahmlegen?

Der Wechsel auf eine neuere Version desselben Versionszweigs, etwa von 8.3.30 auf 8.3.36, enthält Korrekturen und legt WordPress selten lahm. Ein Wechsel des Versionszweigs, etwa von 7.4 auf 8.3, kann ältere Themes und Plugins beschädigen. Sichern Sie vor einem solchen Wechsel die Website und testen Sie auf einer Staging-Kopie, wenn Ihr Hoster eine anbietet. Unter WordPress-PHP-Version lesen Sie, wie Sie sicher wechseln.

Schützt ein Sicherheits-Plugin oder Cloudflare WordPress vor PHP2Shell?

Beides kann das Risiko verringern, ist aber kein Fix. Cloudflare berichtet, dass seine WAF bekannte Angriffsmuster blockiert und dass es schon vor dem Patch Angriffsversuche beobachtet hat. Ein WordPress-Sicherheits-Plugin läuft auf PHP und kann die PHP-Laufzeitumgebung daher nicht patchen; PHP hat zudem mindestens einen Angriffsweg bestätigt, der läuft, bevor überhaupt Anwendungscode ausgeführt wird. Bis Sie aktualisieren, finden Sie unter Übergangsmaßnahmen zu CVE-2026-109618 die offiziellen Übergangsmaßnahmen und ihre Grenzen.

Wie prüfen Sie, ob Ihre WordPress-Website bereits gehackt wurde?

Ein PHP-Update stoppt neue Angriffe, sagt aber nichts über die Vergangenheit. Achten Sie in WordPress auf Folgendes:

• Benutzer: Administratorkonten, die Sie nicht kennen (Benutzer → nach Administrator filtern).
• Uploads: .php-Dateien in wp-content/uploads, wo nur Mediendateien liegen sollten.
• Must-Use-Plugins: unbekannte Dateien in wp-content/mu-plugins, die in der normalen Plugin-Liste nicht erscheinen.
• Plugins und Themes: alles, was Sie nicht installiert haben, und kürzlich geänderte Dateien, die Sie nicht angefasst haben.

Wenn Sie etwas finden, folgen Sie der vollständigen Checkliste bei Kompromittierung, bevor Sie etwas ändern, und ändern Sie nach der Bereinigung alle Passwörter und die Schlüssel in wp-config.php.

Was sollten Agenturen ihren WordPress-Kunden sagen?

Sagen Sie Ihren Kunden, was Sie getan haben, nicht nur, wie groß das Risiko ist: welche PHP-Version jede Website jetzt nutzt, dass sie der gepatchten Version entspricht oder neuer ist und dass Sie auf Anzeichen einer Kompromittierung geprüft haben. Die Anleitung zum PHP2Shell-Patch enthält eine Kundeninformation, die Sie anpassen können, und der PHP2Shell-Checker liefert pro Website eine schnelle Bewertung.