Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und IT-Sicherheitsexperten warnen aktuell vor zwei kritischen Sicherheitslücken in PHP – der Programmiersprache, auf der WordPress, WooCommerce, TYPO3, Contao, Shopware und ein Großteil aller Websites weltweit basieren. Die Schwachstellen mit dem Namen „PHP2Shell“ erlauben es Hackern, eigenen Schadcode direkt auf Ihrem Webserver auszuführen.
Das Erschreckende daran: Die Angreifer benötigen dafür weder ein Passwort noch einen Login oder eine Aktion Ihrer Besucher. Der Name ist eine bewusste Anspielung auf „Log4Shell“, eine der gefährlichsten Sicherheitslücken der letzten Jahre. Erste Berichte über aktive Angriffe liegen bereits vor. Wenn Ihre Website mit PHP läuft, ist schnelles Handeln jetzt unerlässlich.
Offizielles Dokument: Sie können die Warnung des BSI direkt hier einsehen: BSI-Sicherheitswarnung zu PHP2Shell aufrufen
Ihre Website wurde gehackt oder Sie möchten kein Risiko eingehen? Ein PHP-Update schließt die Lücke, entfernt aber keine Hacker, die bereits im System sind. Wir prüfen Ihren Server und Ihre Website, aktualisieren PHP sicher, entfernen Schadsoftware rückstandslos und schließen die Sicherheitslücke – innerhalb von 24 Stunden. Notfall-Hilfe anfordern
Bin ich von „PHP2Shell“ betroffen?
Der Fehler liegt nicht in einem Plugin oder Theme, sondern in PHP selbst. Die Sicherheitslücke besteht aus zwei Fehlern (CVE-2026-109618 und CVE-2026-109619), die beide mit 9,2 von 10 Punkten als kritisch eingestuft sind. Betroffen ist praktisch jede PHP-Installation, die Webseiten ausliefert – egal ob PHP-FPM, Apache mit mod_php, LiteSpeed oder eine andere Variante.
Folgende PHP-Versionen sind akut gefährdet:
- PHP 8.5 bis einschließlich 8.5.11
- PHP 8.4 bis einschließlich 8.4.26
- PHP 8.3 bis einschließlich 8.3.35
- PHP 8.2 bis einschließlich 8.2.34
- PHP 8.1, 8.0, 7.x und 5.x – alle Versionen (vom PHP-Projekt gibt es hier kein reguläres Update mehr)
So prüfen Sie Ihre PHP-Version:
- Loggen Sie sich in Ihr WordPress-Dashboard ein.
- Klicken Sie links im Menü auf Werkzeuge > Website-Zustand.
- Öffnen Sie den Reiter Bericht und klappen Sie den Abschnitt Server auf. Dort sehen Sie Ihre PHP-Version.
Tipp: Bei Linux-Servern ändert sich die Versionsnummer nach einem Sicherheitsupdate oft nicht sichtbar. Entscheidend ist, ob Ihr Hoster die gepatchten Pakete eingespielt hat – fragen Sie im Zweifel direkt nach.
Was Sie jetzt sofort tun müssen (Schritt-für-Schritt)
Wenn Ihre Website auf einer der oben genannten Versionen läuft, müssen Sie sie sofort absichern.
Schritt 1: Vollständiges Backup erstellen Bevor Sie etwas an der PHP-Version ändern, erstellen Sie immer ein Backup Ihrer Datenbank und Ihrer Dateien (z.B. über Ihr Hosting-Panel oder ein Plugin wie UpdraftPlus).
Schritt 2: PHP auf eine sichere Version bringen Die PHP-Entwickler haben am 21. Oktober 2026 Notfall-Updates veröffentlicht. Sicher sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Bei Shared- oder Managed-Hosting muss Ihr Hoster PHP aktualisieren – lassen Sie sich das bestätigen. Auf einem eigenen Server (vServer, Plesk, cPanel) spielen Sie die Sicherheitsupdates sofort ein. Läuft Ihre Seite noch auf PHP 8.1 oder älter, stellen Sie auf PHP 8.2 oder neuer um. Achtung: Ein PHP-Wechsel kann ältere Themes und Plugins zum Absturz bringen – testen Sie die Umstellung idealerweise vorher auf einer Kopie Ihrer Website.
Schritt 3: Auf Hintertüren (Webshells) prüfen ⚠️ ACHTUNG: Das Update schließt zwar das „Fenster“, durch das die Hacker hereinkommen, aber es wirft Angreifer, die bereits im Haus sind, nicht hinaus. Die Hacker verankern sogenannte „Webshells“ in versteckten Ordnern, um jederzeit wieder Zugriff zu erhalten.
Überprüfen Sie Ihre Benutzerliste zwingend auf neue, unbekannte Administratoren und kontrollieren Sie Ihre Server-Dateien auf kürzlich geänderte oder unbekannte PHP-Dateien.
Einmal gehackt, immer ein Risiko?
Kritische Fehler wie „PHP2Shell“ zeigen, dass eine Website kein Projekt ist, das man einmal baut und dann sich selbst überlässt – und dazu gehört auch die Server-Umgebung. Wer eine veraltete PHP-Version nutzt, bekommt bei Lücken wie dieser schlicht keinen Schutz mehr. Im schlimmsten Fall droht nicht nur der Verlust der Website, sondern auch eine DSGVO-Strafe durch gestohlene Kundendaten.
Sie wollen in Zukunft nachts wieder ruhig schlafen? Überlassen Sie die Technik den Profis. In unseren Wartungspaketen überwachen wir offizielle Sicherheitswarnungen, halten PHP-Version, WordPress, Plugins und Themes aktuell und reagieren bei kritischen Lücken innerhalb weniger Stunden.
Informieren Sie sich hier über unsere Pakete und sichern Sie Ihr digitales Schaufenster dauerhaft ab: https://webhilfe.de/webseiten-wartung/
Häufig gestellte Fragen (FAQ) zur PHP2Shell Sicherheitslücke
Ja, möglicherweise. Die Lücke steckt nicht in WordPress, sondern in PHP auf Ihrem Server. WordPress-Updates schützen Sie hier nicht – entscheidend ist, ob Ihre PHP-Version aktualisiert wurde.
Nur, wenn Ihre Website in der Zwischenzeit nicht bereits angegriffen wurde. Befinden sich schon Hintertüren (Webshells) auf Ihrem Server, entfernt das Update diese nicht. In diesem Fall muss das System professionell bereinigt werden.
Für diese Versionen gibt es vom PHP-Projekt keine regulären Updates mehr. Einige Hoster und Linux-Distributionen liefern eigene Patches nach, darauf sollten Sie sich aber nicht verlassen. Die sichere Lösung ist ein Upgrade auf PHP 8.2 oder neuer. Wir übernehmen das gern inklusive Kompatibilitätstest Ihrer Plugins und Ihres Themes.
Typische Anzeichen für einen erfolgreichen Angriff sind:
– Es gibt neue, Ihnen unbekannte Benutzer mit Administrator-Rechten in Ihrem Dashboard.
– Ihre Website leitet Besucher plötzlich auf fremde Spam- oder Werbeseiten um.
– Ihr Hosting-Anbieter hat Ihre Website wegen Malware-Befalls oder hohem Ressourcenverbrauch (Spam-Versand) gesperrt.
Die Kosten hängen vom Grad der Infektion ab. Mit unserer Einmaligen Hilfe prüfen wir Ihr System sofort. Wir isolieren die Schadsoftware, bereinigen die befallenen Datenbanken und Dateien und sichern Ihr System so ab, dass die Hacker nicht zurückkehren können.
