PHP2Shell: Kritische PHP-Sicherheitslücken 2026 – jetzt handeln

Zwei kritische Sicherheitslücken in PHP sorgen aktuell weltweit für Aufsehen. Die unter dem Namen PHP2Shell bekannten Schwachstellen ermöglichen es Angreifern unter bestimmten Voraussetzungen, Schadcode auf betroffenen Webservern auszuführen – und das ohne vorherige Anmeldung.

Am 21. Oktober 2026 veröffentlichte das PHP-Entwicklungsteam Sicherheitsupdates für die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619. Beide wurden mit einem Schweregrad von 9,2 von 10 Punkten nach CVSS v4.0 bewertet.

Betroffen sein können unter anderem Unternehmenswebsites, WordPress-Installationen, Webshops und individuell entwickelte Webanwendungen. Besonders kritisch ist die Situation für Unternehmen, deren Server noch mit veralteten PHP-Versionen betrieben werden.

Die gute Nachricht: Für die aktuell unterstützten PHP-Versionen stehen bereits Sicherheitsupdates zur Verfügung. Entscheidend ist, dass diese zeitnah installiert und die betroffenen Systeme überprüft werden.

In diesem Beitrag erklären wir, was hinter PHP2Shell steckt, welche PHP-Versionen betroffen sind und wie Sie Ihre Website und Webserver schützen können.

Was ist PHP2Shell?

PHP2Shell bezeichnet zwei kritische Schwachstellen in der weitverbreiteten Programmiersprache PHP. PHP kommt auf zahlreichen Websites und Webservern zum Einsatz und bildet die technische Grundlage vieler Content-Management-Systeme, Webshops und individueller Geschäftsanwendungen.

Die Schwachstellen befinden sich direkt in der PHP-Laufzeitumgebung und nicht in einer bestimmten Website oder einem einzelnen Plugin.

Ein erfolgreicher Angriff kann unter bestimmten Voraussetzungen zu einer sogenannten Remote Code Execution (RCE) führen. Dabei gelingt es einem Angreifer, eigene Befehle auf einem fremden Server auszuführen.

Abhängig von der Serverkonfiguration und den vorhandenen Berechtigungen können Angreifer dadurch beispielsweise:

• Vertrauliche Unternehmens- und Kundendaten auslesen
• Dateien auf dem Webserver verändern oder löschen
• Schadsoftware oder sogenannte Webshells installieren
• Websites manipulieren oder für weitere Angriffe missbrauchen
• Weitere erreichbare Systeme innerhalb der IT-Infrastruktur angreifen

Besonders problematisch ist, dass die Schwachstellen bereits bei der Verarbeitung von HTTP-Anfragen ausgenutzt werden können. Eine vorherige Anmeldung an der betroffenen Webanwendung ist dafür nicht zwingend erforderlich.

Welche Sicherheitslücken stecken hinter PHP2Shell?

Unter PHP2Shell werden zwei Schwachstellen zusammengefasst:

CVE-2026-109618 – Fehler bei der Speicherverwaltung

Unter bestimmten Bedingungen kann die Verarbeitung von HTTP-Anfragen einen Fehler bei der Speicherverwaltung auslösen. Dabei kann PHP versuchen, unvollständig initialisierte Speicherbereiche zu verarbeiten. Eine gezielte Ausnutzung kann zur Ausführung von Schadcode führen.

CVE-2026-109619 – Zugriff auf bereits freigegebenen Speicher

Bei dieser Schwachstelle können interne Speicherreferenzen nach der Freigabe des zugehörigen Speichers erhalten bleiben. Werden diese später erneut verwendet, kann dies ebenfalls die Ausführung von Schadcode ermöglichen.

Beide Schwachstellen sind kritisch. Das PHP-Entwicklungsteam empfiehlt deshalb ausdrücklich, betroffene Installationen auf eine korrigierte Version zu aktualisieren.

Weitere technische Details finden Sie in der offiziellen Sicherheitsmitteilung des PHP-Projekts.

Welche PHP-Versionen sind von PHP2Shell betroffen?

Am 21. Oktober 2026 wurden Sicherheitsupdates für PHP 8.2, 8.3, 8.4 und 8.5 bereitgestellt.

Folgende PHP-Versionen enthalten die Korrekturen für die beiden ursprünglichen PHP2Shell-Schwachstellen:

• PHP 8.5: Sicherheitsupdate auf Version 8.5.12
• PHP 8.4: Sicherheitsupdate auf Version 8.4.27
• PHP 8.3: Sicherheitsupdate auf Version 8.3.36
• PHP 8.2: Sicherheitsupdate auf Version 8.2.35
• PHP 8.1 und älter: Upgrade oder entsprechende Sicherheitskorrektur des Herstellers erforderlich.

Wichtig: PHP 8.1 und ältere Versionen erhalten vom offiziellen PHP-Projekt keine regulären Sicherheitsupdates mehr. Einige Linux-Distributionen und kommerzielle Anbieter stellen allerdings weiterhin zurückportierte Sicherheitskorrekturen zur Verfügung.

Daher reicht die reine Versionsnummer nicht immer aus, um den tatsächlichen Sicherheitsstatus eines Servers zu beurteilen.

Auch PHP 8.2 erreicht am 31. Dezember 2026 sein offizielles Support-Ende. Unternehmen, die diese Version noch einsetzen, sollten rechtzeitig einen Umstieg auf eine länger unterstützte Version planen.

Zusätzlicher Sicherheitshinweis vom 23. Oktober 2026

Nur zwei Tage nach der Veröffentlichung der ursprünglichen Sicherheitsupdates informierte das PHP-Projekt über einen weiteren möglichen Angriffsweg.

Die zusätzliche Schwachstelle CVE-2026-115560 betrifft die Funktion zur Fortschrittsanzeige bei Datei-Uploads innerhalb von PHP-Sessions.

Eine Ausnutzung setzt eine ungewöhnliche Kombination bestimmter PHP-Konfigurationen und Anwendungscode voraus. Dennoch empfiehlt das PHP-Projekt vorsorglich, die Funktion bis zur Veröffentlichung einer entsprechenden Korrektur zu deaktivieren:

session.upload_progress.enabled=0

Diese Konfigurationsänderung sollte durch einen Administrator geprüft und umgesetzt werden, da sie Auswirkungen auf Anwendungen haben kann, die diese Funktion tatsächlich verwenden.

Weitere Informationen enthält der offizielle PHP-Sicherheitshinweis vom 23. Oktober 2026.

Ist meine WordPress-Website von PHP2Shell betroffen?

Auch WordPress-Websites können von PHP2Shell betroffen sein. Entscheidend ist dabei nicht die installierte WordPress-Version, sondern die PHP-Laufzeitumgebung auf dem Server.

Das bedeutet: Eine vollständig aktualisierte WordPress-Installation kann weiterhin gefährdet sein, wenn auf dem Webserver eine verwundbare PHP-Version eingesetzt wird.

Dasselbe gilt für zahlreiche andere PHP-basierte Anwendungen, beispielsweise:

• WooCommerce und andere PHP-basierte Shopsysteme
• Joomla und Drupal
• Anwendungen auf Basis von Laravel oder Symfony
• Kundenportale und individuelle Unternehmenssoftware
• Interne Webanwendungen und Verwaltungsoberflächen

Ein Update des Content-Management-Systems oder seiner Plugins behebt die Schwachstellen in PHP selbst nicht.

Gerade bei älteren Websites ist häufig unklar, welche PHP-Version tatsächlich verwendet wird oder wer für die regelmäßige Wartung verantwortlich ist.

Werden Websites oder Webshops langfristig ohne geregelte Updates betrieben, können sich solche Sicherheitsrisiken über Jahre ansammeln.

Mehr Informationen zur professionellen Erstellung, Modernisierung und Wartung von Webanwendungen finden Sie unter Websites, Apps und Webshops von comm-IT.

PHP2Shell prüfen: Ist mein Webserver gefährdet?

Der erste Schritt besteht darin, festzustellen, ob PHP eingesetzt wird und welchen Sicherheitsstand die Installation aufweist.

Dazu sollten folgende Punkte überprüft werden:

1. PHP-Version ermitteln: Welche PHP-Version läuft tatsächlich auf dem Webserver?
2. Sicherheitsupdates kontrollieren: Sind die aktuellen Sicherheitspatches beziehungsweise entsprechende Herstellerkorrekturen installiert?
3. Serverkonfiguration überprüfen: Wird PHP beispielsweise über PHP-FPM, Apache mod_php oder eine andere Laufzeitumgebung betrieben?
4. Erreichbarkeit bewerten: Welche PHP-Anwendungen sind öffentlich über das Internet erreichbar?
5. Sicherheitsprotokolle kontrollieren: Gibt es Hinweise auf verdächtige Anfragen, ungewöhnliche Fehler oder mögliche Angriffsversuche?

Kostenloser PHP2Shell-Checker

Für eine erste Einschätzung können Sie unseren kostenlosen PHP2Shell-Checker verwenden.

Der Check soll dabei helfen, mögliche Risiken rund um die öffentlich erreichbare Website frühzeitig zu erkennen.

Bitte beachten Sie: Eine externe Überprüfung kann nicht zuverlässig feststellen, welche PHP-Version tatsächlich installiert ist oder ob ein Server bereits kompromittiert wurde. Ein unauffälliges Ergebnis ist daher keine Garantie für einen sicheren Webserver.

Für eine verlässliche Beurteilung müssen auch der tatsächliche Patch-Status, die Serverkonfiguration und gegebenenfalls die Sicherheitsprotokolle überprüft werden.

Wenn Sie eine umfassendere Analyse Ihrer IT-Infrastruktur wünschen, unterstützt Sie comm-IT mit einer strukturierten IT-Bestandsaufnahme und Sicherheitsprüfung.

PHP2Shell-Sicherheitslücke schließen: Diese Maßnahmen sind jetzt wichtig

Wer PHP-basierte Websites oder Anwendungen betreibt, sollte die folgenden Maßnahmen zeitnah umsetzen.

1. PHP auf eine korrigierte Version aktualisieren

Die wichtigste Maßnahme ist die Installation der verfügbaren Sicherheitsupdates.

Überprüfen Sie dazu sämtliche Server und Hosting-Umgebungen, auf denen PHP ausgeführt wird. Dazu gehören auch Testsysteme, ältere Kundenportale und Anwendungen, die möglicherweise nicht mehr aktiv weiterentwickelt werden.

Bei einem selbst verwalteten Server sollte das Update über die vorgesehenen Paketquellen oder den jeweiligen Softwareanbieter eingespielt werden.

Bei Shared-Hosting-Angeboten übernimmt üblicherweise der Hosting-Anbieter die Bereitstellung der PHP-Versionen. Ob ein Update automatisch erfolgt oder manuell aktiviert werden muss, hängt jedoch vom jeweiligen Anbieter ab.

Nach der Installation muss überprüft werden, ob die aktualisierte PHP-Version tatsächlich vom Webserver verwendet wird. Je nach Umgebung ist dazu auch ein Neustart der entsprechenden Dienste notwendig.

Ein einfaches WordPress- oder Plugin-Update ersetzt kein PHP-Sicherheitsupdate.

2. Serverkonfiguration und Sicherheitsmaßnahmen überprüfen

Neben den eigentlichen Updates sollte auch die Konfiguration des Webservers überprüft werden.

Dazu gehören insbesondere:

• Sichere PHP- und Webserver-Einstellungen
• Beschränkung unnötiger Dienste und Zugriffsrechte
• Zugriffsschutz für administrative Oberflächen
• Überprüfung und Auswertung von Sicherheitsprotokollen
• Sinnvolle Begrenzung von HTTP-Anfragen und Uploads
• Einsatz einer Web Application Firewall (WAF), sofern sinnvoll

Eine Web Application Firewall kann bekannte Angriffsmuster erkennen und blockieren. Sie bietet damit eine zusätzliche Schutzschicht, ersetzt aber nicht die Installation der notwendigen Sicherheitsupdates.

Für eine umfassende Betrachtung Ihrer Infrastruktur bietet comm-IT Lösungen im Bereich Netzwerk und IT-Sicherheit, darunter Firewall-Management, Sicherheitsanalysen und die Unterstützung bei Sicherheitsvorfällen.

3. Backups überprüfen und auf mögliche Angriffe reagieren

Falls bereits ein Angriff stattgefunden hat, reicht das Einspielen eines Updates allein nicht aus.

Bei einem Verdacht auf eine Kompromittierung sollten betroffene Systeme möglichst rasch untersucht und bei Bedarf isoliert werden. Wichtig ist dabei, relevante Protokolle und Beweismittel zu sichern.

Anschließend sollten unter anderem Dateien, Benutzerkonten, Zugriffsrechte und mögliche Veränderungen an der Anwendung überprüft werden.

Ebenso wichtig sind funktionierende und regelmäßig überprüfte Backups. Diese sollten so aufbewahrt werden, dass sie durch einen Angriff auf den produktiven Webserver nicht ohne Weiteres gelöscht oder manipuliert werden können.

Bei einer bestätigten Kompromittierung kann es notwendig sein, betroffene Systeme vollständig aus einer vertrauenswürdigen Grundlage wiederherzustellen und Zugangsdaten zu erneuern.

4. Laufende Wartung und Patch-Management sicherstellen

Sicherheitsupdates sollten nicht erst dann ein Thema werden, wenn eine kritische Schwachstelle öffentlich bekannt wird.

Ein geregeltes Patch-Management stellt sicher, dass Betriebssysteme, PHP-Versionen, Webserver und Anwendungen regelmäßig auf verfügbare Updates überprüft werden.

Dabei sollten besonders kritische Sicherheitslücken außerhalb der üblichen Wartungsintervalle behandelt werden.

Mit unseren Leistungen im Bereich IT-Betrieb und Wartung unterstützt comm-IT Unternehmen beim laufenden Betrieb ihrer IT-Systeme, bei regelmäßigen Updates, Monitoring und der Umsetzung notwendiger Sicherheitsmaßnahmen.

Warum PHP2Shell auch für österreichische KMU relevant ist

Cyberangriffe betreffen längst nicht nur internationale Konzerne. Auch kleinere Unternehmen können durch automatisierte Angriffe auf öffentlich erreichbare Systeme ins Visier geraten.

Angreifer müssen dafür nicht unbedingt ein bestimmtes Unternehmen auswählen. Häufig werden automatisiert große Mengen an Websites und Webservern nach bekannten Schwachstellen durchsucht.

Dabei spielt es keine Rolle, ob eine Website einem großen Unternehmen, einem kleinen Handwerksbetrieb oder einer Arztpraxis gehört.

Besonders problematisch wird ein erfolgreicher Angriff, wenn über eine Webanwendung sensible Kundendaten verarbeitet werden oder eine direkte Verbindung zu weiteren Unternehmenssystemen besteht.

Mögliche Folgen sind Betriebsunterbrechungen, Datenabfluss, erheblicher Wiederherstellungsaufwand und gegebenenfalls datenschutzrechtliche Meldepflichten.

Gerade deshalb ist es wichtig, öffentlich erreichbare Systeme regelmäßig zu überprüfen und Sicherheitsupdates nicht unnötig aufzuschieben.

Wie comm-IT Ihr Unternehmen unterstützen kann

Als IT-Dienstleister mit Sitz in Wien unterstützt comm-IT Unternehmen bei der Absicherung und Betreuung ihrer IT-Infrastruktur.

Im Zusammenhang mit PHP2Shell und ähnlichen Sicherheitslücken können wir Sie unter anderem bei folgenden Aufgaben unterstützen:

• Überprüfung vorhandener Webserver und PHP-Installationen
• Bewertung eingesetzter Versionen und verfügbarer Sicherheitsupdates
• Aktualisierung und Härtung von Serverumgebungen
• Analyse von Sicherheitsprotokollen und verdächtigen Aktivitäten
• Überprüfung bestehender Backup- und Wiederherstellungskonzepte
• Einrichtung von Monitoring und regelmäßigem Patch-Management

Auch die zugrunde liegende Server-Infrastruktur spielt eine wichtige Rolle. Mit unseren Rechenzentrums- und Cloud-Services bieten wir Unternehmen professionelle Hosting-Lösungen einschließlich laufender Betreuung und Wartung.

Dabei steht nicht nur die Behebung einer einzelnen Sicherheitslücke im Vordergrund, sondern auch die langfristige Sicherheit und Verfügbarkeit Ihrer Systeme.

Fazit: PHP2Shell zeigt, warum aktuelle PHP-Versionen entscheidend sind

Die im Oktober 2026 veröffentlichten PHP2Shell-Schwachstellen zeigen, dass auch weitverbreitete und etablierte Software kritische Sicherheitslücken enthalten kann.

Für Unternehmen ist jetzt vor allem wichtig, den tatsächlichen PHP-Versionsstand ihrer Systeme zu kennen und verfügbare Sicherheitsupdates einzuspielen.

Wer seine Webanwendungen regelmäßig aktualisiert, die Serverkonfiguration überprüft und Sicherheitsmaßnahmen laufend verbessert, reduziert das Risiko erfolgreicher Angriffe deutlich.

Sie sind unsicher, ob Ihre Website oder Ihr Webserver betroffen ist?

Nutzen Sie unseren PHP2Shell-Checker für eine erste Einschätzung oder lassen Sie Ihre Infrastruktur professionell überprüfen.

Das Team von comm-IT unterstützt Sie gerne bei der Bewertung möglicher Sicherheitsrisiken und der Umsetzung notwendiger Maßnahmen.

Jetzt Kontakt mit comm-IT aufnehmen

Häufig gestellte Fragen zu PHP2Shell

Was ist PHP2Shell?

PHP2Shell ist die Bezeichnung für zwei kritische Sicherheitslücken in PHP, die im Oktober 2026 öffentlich bekannt wurden. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 können unter bestimmten Voraussetzungen zur Ausführung von Schadcode auf betroffenen Webservern führen.

Welche PHP-Versionen sind von PHP2Shell betroffen?

Die ursprünglichen Schwachstellen wurden mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Ältere Versionen benötigen ein Upgrade oder eine entsprechende Sicherheitskorrektur des jeweiligen Anbieters. Zusätzlich ist der Sicherheitshinweis zu CVE-2026-115560 vom 23. Oktober 2026 zu berücksichtigen.

Ist WordPress von PHP2Shell betroffen?

WordPress selbst ist nicht die Ursache der Schwachstellen. Da WordPress auf PHP basiert, können WordPress-Websites allerdings betroffen sein, wenn die zugrunde liegende PHP-Laufzeitumgebung verwundbar ist.

Wie kann ich meine PHP-Version überprüfen?

Die verwendete PHP-Version lässt sich häufig im Administrationsbereich des Hosting-Anbieters oder direkt auf dem Server ermitteln. Bei Linux-Systemen kann beispielsweise der Befehl php -v verwendet werden. Dabei ist zu beachten, dass die PHP-Version der Kommandozeile von jener des Webservers abweichen kann.

Reicht eine Firewall zum Schutz vor PHP2Shell aus?

Nein. Eine Web Application Firewall kann bekannte Angriffsmuster blockieren und das Risiko reduzieren. Sie bietet jedoch keinen vollständigen Schutz vor den PHP2Shell-Schwachstellen. Entscheidend ist die Installation der entsprechenden PHP-Sicherheitsupdates.

Was tun, wenn ein Webserver bereits angegriffen wurde?

Bei einem begründeten Verdacht sollten betroffene Systeme untersucht und gegebenenfalls isoliert werden. Wichtig sind die Sicherung von Protokollen, die Prüfung auf Schadsoftware und unbefugte Änderungen sowie die kontrollierte Wiederherstellung. Ein Update allein entfernt keine bereits installierte Schadsoftware.

Kann comm-IT bei der Absicherung meiner Website helfen?

Ja. comm-IT unterstützt Unternehmen bei der Überprüfung und Absicherung von Servern und Webanwendungen sowie bei Sicherheitsupdates und der laufenden IT-Betreuung. Über unsere Kontaktseite können Sie eine unverbindliche Erstberatung anfragen.