Website-Sicherheit · Praxisratgeber

PHP2Shell: So prüfen und schützen Sie Ihre Website

Von Gerhard G. StocKinger · Stand: 21. Oktober 2026, 20:10 Uhr MESZ

Zwei kritische Sicherheitslücken in PHP können Angreifern ermöglichen, ohne Anmeldung Code auf einem Webserver auszuführen. Die Sicherheitsupdates sind verfügbar. Für Unternehmen zählt jetzt: die tatsächlich verwendete PHP-Version prüfen, den Hoster einbinden und die Behebung bestätigen lassen.

Was ist passiert – und warum betrifft das meine Website?

Unter dem Namen PHP2Shell werden zwei Sicherheitslücken im PHP-Kern zusammengefasst: CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten nach CVSS 4.0 als kritisch eingestuft. Vereinfacht gesagt kann PHP bei Speicherfehlern oder beim Wechsel zwischen Anfragen mit ungültigem Speicherzustand weiterarbeiten. Unter passenden Bedingungen lässt sich darüber fremder Code mit den Rechten des Webprozesses ausführen. Technische Details: PHP-Advisory zur ersten Lücke und PHP-Advisory zur zweiten Lücke.

PHP ist die technische Grundlage vieler Websites, etwa mit WordPress, TYPO3 oder Drupal, und vieler Shops und individueller Anwendungen. Deshalb kann auch eine ordentlich gewartete Website auf einer betroffenen PHP-Laufzeit laufen. Ein Update des CMS, eines Plugins oder eines Themes allein schließt diese Lücken im PHP-Kern nicht.

Das PHP-Team stuft grundsätzlich alle Installationen, die Webanfragen verarbeiten, als gefährdet ein – auch PHP-FPM. Das höchste Risiko nennt es für Apache mit mod_php. Maßgeblich ist deshalb die PHP-Laufzeit der jeweiligen Domain. Quelle: offizielle PHP-Sicherheitsmeldung vom 21. Oktober 2026.

Was Sie jetzt tun sollten

1. Prüfen: Lassen Sie sich die vollständige PHP-Version und den Patchstand Ihrer Domain nennen.
2. Aktualisieren: Beauftragen Sie Ihren Hoster mit dem passenden Sicherheitsupdate für beide CVEs.
3. Bestätigen: Lassen Sie die laufende Webumgebung nach dem Update erneut prüfen und testen Sie wichtige Website-Funktionen.

Welche PHP-Versionen enthalten die Korrektur?

Am 21. Oktober 2026 wurden folgende Sicherheitsversionen veröffentlicht. Verwenden Sie mindestens die passende korrigierte Version Ihres Zweigs oder eine neuere stabile Version mit diesen Fixes.

Die Angabe „PHP 8.5“ reicht also nicht: 8.5.11 liegt vor dem Fix, 8.5.12 enthält ihn. Bei manchen Linux-Distributionen oder Hosting-Anbietern werden Korrekturen in ältere Versionsstände zurückportiert. Dann benötigen Sie eine ausdrückliche Bestätigung des Anbieters für beide CVEs; die sichtbare Versionsnummer allein entscheidet nicht.

PHP 8.1 und ältere Zweige erhalten keine regulären Updates mehr vom PHP-Projekt. Prüfen Sie dort einen konkret belegten Anbieter-Patch und planen Sie den Wechsel auf eine unterstützte Version. Das PHP-Team hat zusätzlich minimale Quellcode-Backports für 7.4, 8.0 und 8.1 bereitgestellt; sie ersetzen kein gepflegtes Hosting-Angebot. Quelle: PHP-Sicherheitsmeldung.

So prüfen Sie Ihre Website ohne Technikkenntnisse

Öffnen Sie die Domainverwaltung Ihres Hosting-Anbieters. Häufig finden Sie dort eine Einstellung wie „PHP-Version“ oder „PHP-Konfiguration“. Prüfen Sie jede relevante Domain und Subdomain, einschließlich Shop, Kundenportal und älterer Testumgebungen. Eine einzige aktualisierte Hauptdomain reicht für mehrere getrennte Anwendungen nicht aus.

Zeigt das Kundenmenü nur „8.4“ oder „8.5“, fragen Sie nach der vollständigen Versionsnummer und dem eingespielten Sicherheitsstand. Auch Systeminformationen im CMS können helfen. Entscheidend bleibt, welche Laufzeit die Website tatsächlich verwendet und ob der Anbieter beide Korrekturen bestätigt.

Meine Empfehlung: Lassen Sie sich diese Auskunft schriftlich geben. So haben Sie eine nachvollziehbare Grundlage für Ihre Wartungsdokumentation und wissen, wer den nächsten Schritt übernimmt.

Für technisch betreute Websites: der OpenAI PHP2Shell-Checker

Mit dem frei verfügbaren php2shell-checker von OpenAI lässt sich eine erste Versionsprüfung durchführen. Mit installiertem Git und Node.js führen Sie im Terminal aus und ersetzen die Beispieladresse durch Ihre eigene Domain:

git clone github.com/openai/php2shell-checker.git
cd php2shell-checker
node phpcheck.js "https://example.com"

Das Tool liest HTTP-Header. Es sendet eine HEAD-Anfrage und wechselt nur bei HTTP 405 oder 501 auf GET; Exploit-Anfragen werden nicht ausgeführt. Weiterleitungen verfolgt es nicht. Verwenden Sie deshalb die endgültige HTTPS-Adresse.

• VULNERABLE: Die erkannte Version liegt laut Vergleichstabelle vor dem Fix. Aktualisierung oder belegten Anbieter-Backport klären.
• OK: Die erkannte stabile Version liegt oberhalb der hinterlegten Grenze. Das Tool prüft nicht den eingebauten Patch oder die gesamte Website-Sicherheit.
• UNKNOWN: Keine auswertbare Versionsangabe oder keine Antwort. Das kann etwa an ausgeblendeten Headern oder einem Timeout liegen. Die interne Prüfung bleibt erforderlich.

UNKNOWN ist keine Entwarnung. Header können außerdem verändert sein; Anbieter-Backports erkennt der Versionsvergleich nicht zuverlässig. Blenden Sie Versionsinformationen nicht eigens öffentlich ein, um ein positives Testergebnis zu erhalten. Quelle und Grenzen: Dokumentation des Checkers.

Mit Serverzugang ist ergänzend node phpcheck.js --local möglich. Dabei wird das lokale php -v ausgewertet. Das muss auf dem betreffenden Server geschehen. Die Kommandozeile kann jedoch eine andere PHP-Version verwenden als die Website; lassen Sie die Web-Laufzeit zusätzlich bestätigen.

So wird das Problem behoben

Bei betreutem Hosting: Beauftragen Sie das Sicherheitsupdate beim Anbieter. Häufig genügt ein Patch innerhalb des bestehenden PHP-Zweigs; ein ungeplanter Wechsel auf eine neue Haupt- oder Nebenversion ist dafür nicht nötig. Klären Sie dennoch die Kompatibilität Ihrer Anwendung.

Bei selbst verwalteten Servern: Aktualisieren Sie die Pakete beziehungsweise Container-Images aus einer vertrauenswürdigen Quelle. Ersetzen oder starten Sie alle betroffenen PHP-Worker und Container kontrolliert neu und prüfen Sie danach die tatsächlich laufende Version. Berücksichtigen Sie weitere Server, Pools und eingebettete PHP-Laufzeiten.

Planen Sie eine aktuelle Sicherung und testen Sie anschließend insbesondere Anmeldung, Kontaktformulare, Uploads und gegebenenfalls den Bestellablauf. Dokumentieren Sie Domain, Version oder Anbieter-Paketstand, Zeitpunkt und Prüfergebnis.

Was, wenn das Update noch nicht bereitsteht?

Verlangen Sie vom Hoster einen konkreten Termin und eine Übergangslösung. Bei besonders sensiblen Anwendungen sollte der Betreiber auch eine vorübergehende Zugriffsbeschränkung prüfen. Eine Web Application Firewall kann zusätzlichen Schutz liefern, ersetzt aber keine korrigierte PHP-Laufzeit.

Die offizielle technische Anleitung nennt unter anderem das administrative Abschalten von session.upload_progress.enabled und unter PHP 8.5 von fatal_error_backtraces, jeweils mit Neustart aller Worker. Diese Maßnahmen decken nur bestimmte Angriffspfade ab. Lassen Sie solche Änderungen durch die Administration anhand der vollständigen Advisories umsetzen. Beide Lücken werden durch die vollständigen Korrekturen in PHP behoben.

Diese Anfrage können Sie Ihrem Hoster senden

Bitte prüfen Sie unsere Domains und Subdomains auf PHP2Shell, CVE-2026-109618 und CVE-2026-109619.

Welche vollständige PHP-Version und welcher Anbieter-Paketstand verarbeiten die Webanfragen je Domain? Sind beide Sicherheitskorrekturen installiert? Falls ein Backport verwendet wird, bitte ich um den entsprechenden Nachweis.

Bitte bestätigen Sie außerdem, dass alle betroffenen PHP-Worker beziehungsweise Container nach der Aktualisierung neu gestartet oder ersetzt wurden und der korrigierte Stand tatsächlich aktiv ist. Falls die Behebung noch aussteht: Bis wann erfolgt sie, und welche Übergangsmaßnahmen empfehlen Sie?

Prüfen, aktualisieren und den Erfolg belegen

Eine erreichbare Website sagt wenig über ihren Patchstand aus. Für Ihre Entscheidung brauchen Sie eine belastbare Versions- oder Anbieterbestätigung und nach dem Update einen kurzen Funktionstest. Wenn es bereits Hinweise auf einen Einbruch gibt, müssen zusätzlich Protokolle und Systemzustand untersucht werden: Ein Update entfernt keine bereits eingeschleusten Dateien.

Sie möchten klären, was Ihr Hoster übernimmt und wie Sie die Prüfung dokumentieren? Sprechen wir über die nächsten Schritte für Ihre Website.

Dieser Beitrag gibt den geprüften Informationsstand vom 21. Oktober 2026 wieder. Versionsangaben und Anbieterhinweise vor einer späteren Umsetzung erneut prüfen.