PHP2Shell einfach erklärt: Was die PHP-Sicherheitslücke für deine Website bedeutet

PHP2Shell ist eine kritische Sicherheitslücke in PHP, der Technik hinter WordPress und vielen anderen Websites, und das wichtigste Gegenmittel ist ein schnelles PHP-Update.

Vielleicht hast du in den letzten Tagen in den Nachrichten oder in einer Mail von deinem Hostinganbieter von PHP2Shell gelesen und dich gefragt, ob du dir jetzt Sorgen um deine Website machen musst. Die Meldungen klingen dramatisch, sind voller Fachbegriffe und lassen viele Website-Betreibende ratlos zurück. In diesem Artikel erklären wir dir ohne Technik-Kauderwelsch, was hinter PHP2Shell steckt, ob deine Website betroffen sein kann und was du jetzt konkret tun solltest. Und keine Sorge: In den meisten Fällen ist das Problem erstmal mit einem Update gelöst.

Was ist PHP2Shell? Einfach erklärt

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in der Programmiersprache PHP, die das PHP-Projekt in der Woche vom 20. Oktober 2026 veröffentlicht und mit Updates geschlossen hat. Über diese Lücken können Angreifende unter bestimmten Bedingungen eigenen Code auf einem Webserver ausführen, ohne sich vorher irgendwo anmelden zu müssen. Der Name ist dabei Programm: „Shell“ steht für den direkten Zugriff auf den Server, also genau das, was Angreifende haben wollen.

Was ist PHP überhaupt?

PHP ist die Sprache, mit der sehr viele Websites im Hintergrund arbeiten. Wenn jemand deine Website aufruft, sorgt PHP dafür, dass die Seite zusammengebaut wird: Texte aus der Datenbank, Bilder, Menüs und Formulare. Auch WordPress ist in PHP geschrieben. Laut dem Sicherheitsunternehmen Imperva nutzen mehr als 69 Prozent aller Websites, deren serverseitige Programmiersprache bekannt ist, PHP. Du merkst also schon: Das Thema betrifft nicht nur ein paar Nischen-Websites, sondern einen großen Teil des Internets.

Was genau ist die Lücke?

Die beiden Schwachstellen tragen die Nummern CVE-2026-109618 und CVE-2026-109619 und wurden laut Qualys jeweils mit 9,2 von 10 Punkten auf der CVSS-Skala bewertet. Das ist die Skala, mit der Fachleute den Schweregrad von Sicherheitslücken einordnen, und 9,2 gilt als kritisch.

Technisch geht es darum, wie PHP mit seinem Arbeitsspeicher umgeht. Stell dir PHP wie ein Hotel vor, in dem jede Anfrage an deine Website ein Gast ist, der kurz ein Zimmer bezieht. Nach jedem Gast sollte das Zimmer vollständig aufgeräumt werden. Bei PHP2Shell passiert genau das nicht immer sauber:

Die erste Lücke (CVE-2026-109618)

Wenn PHP mitten in einer Aufgabe der Speicher ausgeht, bricht es ab. Beim anschließenden Aufräumen werden halb fertige Daten so behandelt, als wären sie in Ordnung. Im Hotelbild: Das Zimmer wird als „sauber“ markiert, obwohl die Reinigung mittendrin abgebrochen wurde.
Die zweite Lücke (CVE-2026-109619)

Informationen aus einer früheren Anfrage bleiben im Speicher liegen, obwohl sie längst hätten gelöscht werden müssen. Eine spätere Anfrage kann diese Reste benutzen. Im Hotelbild: Der nächste Gast findet noch den Schlüsselbund des Vorgängers auf dem Nachttisch.

Wer diese Fehler gezielt ausnutzt, kann im schlimmsten Fall den Server übernehmen. Laut Help Net Security reicht dafür eine einzige präparierte Anfrage, und zwar noch bevor der eigentliche Code deiner Website überhaupt läuft.

Warum gerade jetzt so viel Aufregung?

Die Fehler stecken laut den Sicherheitsforschenden von Wiz schon sehr lange in PHP. Bisher war es aber extrem aufwendig, sie auszunutzen. Laut Wiz haben moderne KI-Modelle diese Hürde deutlich gesenkt, wie Help Net Security berichtet. Dazu kommt, dass bereits echte Angriffe beobachtet wurden: Amazon Threat Intelligence hat einen ersten Ausnutzungsversuch am 17. Oktober 2026 registriert, also schon vier Tage bevor die Lücke öffentlich bekannt wurde. Auch Cloudflare und der WordPress-Sicherheitsdienst Patchstack berichten laut Qualys von Angriffsaktivität. Deshalb ist es so wichtig, jetzt zu handeln und nicht erst in ein paar Wochen.

Ist deine Website von PHP2Shell betroffen?

Grundsätzlich kann jede Website betroffen sein, die auf einem Server mit einer ungepatchten PHP-Version läuft. Das PHP-Projekt nennt laut Qualys alle Installationen als gefährdet, die Anfragen aus dem Web beantworten. Dazu gehören die gängigen Server-Varianten PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Diese Begriffe musst du dir nicht merken. Wichtig ist nur: Fast jedes typische Hosting-Setup für WordPress fällt darunter.

Was bedeutet das für WordPress-Websites?

PHP2Shell ist kein Fehler in WordPress selbst, sondern in der Technik, auf der WordPress läuft. Deshalb hilft es dieses Mal auch nicht, nur WordPress, dein Theme oder deine Plugins zu aktualisieren. Entscheidend ist die PHP-Version auf deinem Server und hier ist vor allem dein Hostinganbieter gefragt. Dazu gleich mehr.

Was im schlimmsten Fall passieren kann

Wenn Angreifende eine Lücke wie PHP2Shell erfolgreich ausnutzen, können sie im Ernstfall Folgendes tun:

Schadcode auf deinem Server ablegen, zum Beispiel eine sogenannte Webshell, über die sie später immer wieder zurückkommen können.
Deine Website verändern, Spam-Links einbauen oder Besuchende auf fremde Seiten umleiten.
Zugangsdaten auslesen. Laut Qualys wurde gezeigt, dass Unbefugte ohne Anmeldung auf den Arbeitsspeicher von PHP zugreifen können, in dem zum Beispiel Passwörter, Tokens oder API-Schlüssel liegen.
Den Server für weitere Angriffe oder den Versand von Spam-Mails missbrauchen.

Das klingt beunruhigend, ist aber kein Grund zur Panik. Ob ein Angriff im Einzelfall wirklich funktioniert, hängt laut PHP-Projekt stark von der Konfiguration des Servers ab. Und ein aktuelles PHP-Update schließt die Lücke vollständig.

Nicht verwechseln: PHP2Shell und wp2shell

Vielleicht erinnerst du dich an wp2shell, eine WordPress-Lücke, über die im Sommer 2026 berichtet wurde. Die Namen klingen ähnlich, es handelt sich aber um zwei verschiedene Probleme. wp2shell betraf WordPress selbst, PHP2Shell betrifft die Programmiersprache PHP darunter.

Was du jetzt tun solltest: deine PHP2Shell-Checkliste

Die wichtigste Maßnahme gegen PHP2Shell ist ein Update auf eine reparierte PHP-Version. Das PHP-Projekt sagt dazu sehr deutlich, dass ein Update die einzige vollständige Lösung ist. Alle anderen Maßnahmen senken das Risiko nur vorübergehend.

Diese PHP-Versionen schließen die Lücke

Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr, hier musst du auf jeden Fall deine PHP Version aktualisieren.

Finde heraus, welche PHP-Version du nutzt. In WordPress findest du sie unter „Werkzeuge“ und dann „Website-Zustand“ im Reiter „Bericht“ unter „Server“. Alternativ zeigt dir auch das Kundenmenü deines Hostinganbieters die aktuelle PHP-Version an.
Wechsle weg von veralteten PHP-Versionen. Wenn deine Website noch mit PHP 8.1 oder älter läuft, ist jetzt der richtige Zeitpunkt für einen Wechsel. Für diese Versionen gibt es laut Help Net Security nur noch Quellcode-Korrekturen, aber keine reguläre Unterstützung mehr.
Mach vorher ein Backup. Bevor du die PHP-Version umstellst, sichere deine Website komplett. So kannst du jederzeit zurück, falls ein altes Plugin nicht mitspielt.
Prüfe, ob dein Hostinganbieter schon reagiert hat. Viele Anbieter informieren per Mail, im Kundenbereich oder auf ihrer Statusseite über Sicherheitsupdates. Bei klassischem Shared Hosting oder Managed-WordPress-Hosting spielt in der Regel der Anbieter selbst die Updates auf seinen Servern ein.
Teste deine Website nach dem Update. Klick dich einmal durch die wichtigsten Seiten, schick dir selbst eine Nachricht über dein Kontaktformular und prüfe, ob Shop oder Buchungstool noch funktionieren.
Aktualisiere auch WordPress, Theme und Plugins. Mit PHP2Shell hat das zwar nichts zu tun, aber eine neue PHP-Version verträgt sich am besten mit aktuellen Plugins.

Kein Grund zur Panik, aber ein guter Grund für ein Update

PHP2Shell ist eine ernstzunehmende Sicherheitslücke in PHP, die bereits aktiv ausgenutzt wird und sehr viele Websites betreffen kann, auch WordPress-Websites. Das Gute daran: Die Lösung ist klar. Ein Update auf PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer schließt die Lücke. Wenn deine Website noch mit PHP 8.1 oder älter läuft, ist jetzt der richtige Moment für einen Wechsel auf eine aktuelle Version.

Die meisten Hostinganbieter spielen die Sicherheitsupdates bereits auf ihren Servern ein. Wirf trotzdem einen kurzen Blick in dein Kundenmenü oder in den Website-Zustand von WordPress, damit du sicher weißt, welche PHP-Version bei dir läuft.

Und falls du Kund:in mit Wartungsvertrag bei uns bist, kannst du dich entspannt zurücklehnen: Für alle Websites aus unseren Wartungsverträgen haben wir PHP bereits aktualisiert. Du musst also nichts weiter tun.

Ein Einblick in unsere Projekte

Silvie

Webdesign Hamburg: Monkey Creations

Dürfen wir dich begleiten?

Wir sind Silvie und Conny von Monkey Creations – zwei freiberufliche Webdesignerinnen für mittelständische Unternehmen & Selbstständige, die online überzeugen wollen.

Möchtest du endlich deine Website mit Wordpress professionell erstellen lassen, mit der du dich aus der Masse abhebst? Dann mach den ersten Schritt und buche dir ganz unverbindlich ein digitales Kennlern-K:äffchen mit uns via Zoom.

Dort klären wir alle offenen Fragen, wir lernen uns kennen und schauen, wie wir dich am besten unterstützen können.

Conny

Paula S.

Wir sind unglaublich zufrieden mit der Zusammenarbeit und können die beiden von Herzen weiterempfehlen! Von Anfang an waren beide super professionell, sympathisch und zuverlässig. Die Kommunikation war unkompliziert und herzlich, auf Fragen haben wir immer schnell eine Antwort bekommen und unsere Wünsche und Vorstellungen wurden nicht nur berücksichtigt, sondern wirklich verstanden und toll umgesetzt. Das Ergebnis unserer neuen Website hat unsere Erwartungen sogar übertroffen – modern, lebendig und genau so, wie wir es uns vorgestellt haben. Vielen Dank für eure tolle Arbeit, eure Geduld und die schöne Zusammenarbeit! Wir würden euch jederzeit wieder beauftragen und freuen uns schon auf das nächste gemeinsame Projekt :)

Autismus Hamburg e.V.

Wir sagen Danke für die tolle Unterstützung bei der Überarbeitung unserer Homepage. Der Kontakt mit Conny war sehr professionell, kreativ und absolut zuverlässig. Wir freuen uns auf die weitere Zusammenarbeit mit Monkey Creations!

Andrea Heck

Absolute Empfehlung! Die beiden Schwestern sind echte Expertinnen - und dabei so sympathisch und herzlich dass ich mich von Anfang an gut aufgehoben gefühlt habe. Meine Wünsche wurden gehört, ich wurde gut abgeholt und bin mit dem Ergebnis sehr zufrieden - Jetzt sieht meine Homepage so aus, wie ich es mir vorgestellt habe - nein - eigentlich noch besser! Danke Conny! Also wer seine Homepage in guten Händen wissen möchte, der ist hier richtig.

Iva Kovač

Ich bin unglaublich dankbar für die tolle Zusammenarbeit mit Silvie und Conny! Conny hat mich mit ihrer Kreativität, ihrem Gespür für Design und ihrer herzlichen Art besonders begeistert. Die gesamte Zusammenarbeit war absolut unkompliziert und sehr angenehm. Meine Webseite ist wunderschön geworden – ich bekomme ständig Komplimente dafür! Vielen herzlichen Dank für eure großartige Arbeit. Ich würde euch jederzeit wieder beauftragen und kann euch von Herzen weiterempfehlen!

Linda Sasse

In love mit meiner neuen Webseite! Für meinen Web-Auftritt war es Zeit für ein Upgrade, und da Silvie und Conny von Monkey Creations bereits zauberhafte Pages für zwei Kolleginnen gestaltet hatten, bin ich mit ihnen ins Gespräch gegangen. Mir war vorab wichtig, dass sie verstehen, welche Ästhetik die Seite haben soll, dass sie MICH sehen und das in der Seite festhalten. Im ersten Gespräch war schnell klar, dass die beiden dafür die richtigen sind. Silvie und Conny haben tolle Designvorschläge gemacht - einer der ersten zwei war es bereits und wir haben nur noch Kleinigkeiten angepasst. Super easy, schnell in der Umsetzung, zuverlässig, herzlich. Es sind keine Wünsche offen geblieben - ich liebe meine neue Seite. <3 Danke, dass ihr mich so gesehen habt, ihr beiden! Absolute Empfehlung!

Hergen Hillen

Auf der Suche nach einem Webdesigner habe ich in den vergangenen zwei Jahren viele frustrierende, aber auch skurrile und filmreife Erfahrungen gemacht. Für meine Website war schon lange ein Relaunch notwendig, aber jeder erzählte etwas anderes oder von fachlichen Dingen, die ich nicht verstanden habe. Die Welt der Webdesigner ist zweifelsohne vielschichtig und unberechenbar. Dann ist mir Monkey Creations empfohlen worden. Silvie und Conny Hofmann sind wirklich das Beste, was mir in Sachen Internetpräsenz mit meiner Website passieren konnte. Beide verstehen sehr viel von dem, was sie machen und anbieten. Sie reden nicht um den heißen Brei. Die Kommunikation war sehr verbindlich, auf Augenhöhe, informativ, schnörkellos und unerschrocken. Über das Ergebnis ihrer Arbeit habe ich mich sehr gefreut. Ein absoluter Glücksfall! Am Ende der Zusammenarbeit gab es dazu noch ein professionelles Erklär-Video, mit dem ich noch weitere Texte und Bilder in meine Webseiten einarbeiten kann. Ich bin mit der Arbeit sehr zufrieden und kann Monkey Creations mit gutem Gewissen weiterempfehlen. Ihr seid wirklich klasse!

ClaudiaD

Die Zusammenarbeit mit Monkey Creations war hoch professionell und sehr fokussiert. Die Erstellung der Webseite erfolgte nach einem umfassenden briefing in kürzester Zeit. Ich bin mit dem Design und den Texten sehr zufrieden. Auf alle meine Fragen wurde zeitnah reagiert und die abschließende Übergabe war sehr umfassend und detailliert. Große Empfehlung!

Caroline Hess

Absolute Herzempfehlung für alle, die ihre Webseite Profis überlassen wollen, die mit viel Herz und Know How alles einwandfrei und für mich vor allem Sorgenfrei ins www zaubern. Auch bei technischen Problemen ist sofort Hilfe da, großes Dankeschön!

Kerstin M.

Ich habe jemanden gesucht, der mich beim Relaunch meiner alten „Yoga im Hof“-Website unterstützt. Es brauchte ein neues Kleid – und endlich sollte sichtbar werden, was diesen besonderen Raum eigentlich ausmacht. Mit Silvie und Conny von Monkey Creations habe ich ein Team gefunden, das nicht nur fachlich richtig gut ist, sondern auch einfach super sympathisch. Humor ist mir in der Zusammenarbeit auch immer wichtig – und den haben die beiden genauso mitgebracht wie Herz und Können. Sie haben meine Ideen verstanden, wunderbar umgesetzt und eigene, inspirierende Vorschläge eingebracht. So ist eine Website entstanden, die sich endlich so anfühlt wie mein Raum: klar, warm und authentisch. Ich kann Monkey Creations von Herzen empfehlen!

Karla Sausner

Monkey Creations sing eine absolute Herzensempfehlung. Meine Website wurde noch viel schöner als ich mir sie vorgestellt habe. Die beiden sind genau auf meine Wünsche eingegangen und haben sie ansprechend für meine Kunden gestaltet. Die beiden arbeiten super effektiv und schnell, aber auch sehr gründlich. Wer also noch eine Webdisignerin braucht, die weiß was der Kunde braucht, ist hier genau richtig! Vielen vielen Dank ihr beiden!