Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen, die unter dem Namen „PHP2Shell“ bekannt geworden sind. Betroffen ist praktisch jede Website, die mit PHP läuft – also auch jede WordPress-Seite und jeder WooCommerce-Shop. Sicher sind Sie erst mit PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
Ob Ihre Website bereits abgesichert ist, prüfen Sie mit unserem kostenlosen Selbsttest in einer Minute.
Aktuell: Viele Websites offline oder spürbar langsam: Seit dem 20. Oktober nehmen Betreiber weltweit Websites vorsorglich vom Netz oder schalten sie in den Wartungsmodus, bis die Updates eingespielt sind. Fachmedien berichten von Hunderten betroffenen Seiten, darunter Behörden und große Unternehmen. Auch wir beobachten am Abend des 21. Oktober, dass sehr viele Websites extrem langsam laden – bei All-Inkl.com ebenso wie bei anderen Hosting-Anbietern. Naheliegend ist, dass viele Hoster gleichzeitig PHP aktualisieren und zusätzlich massenhafte automatisierte Scans abfangen. Eine offizielle Bestätigung der Hoster liegt uns dazu noch nicht vor. Rechnen Sie in den nächsten Stunden mit Einschränkungen.
Was ist PHP2Shell?
PHP2Shell ist der Sammelname für zwei Fehler im Kern von PHP: CVE-2026-109618 und CVE-2026-109619. Das PHP-Team bewertet beide mit 9,2 von 10 Punkten (CVSS v4.0), also als kritisch.
Vereinfacht gesagt: Bricht PHP eine Anfrage wegen eines schweren Fehlers ab, etwa weil der Speicher ausgeht, räumt es danach nicht sauber auf. Es arbeitet dann mit halb angelegten oder bereits freigegebenen Daten weiter. Genau diesen Zustand kann ein Angreifer mit einer präparierten Anfrage gezielt herbeiführen.
Dafür braucht er weder ein Benutzerkonto, noch muss jemand auf der Website etwas anklicken. Die Details sind am 20. Oktober vorzeitig durchgesickert, das PHP-Team hat die Updates deshalb einen Tag früher veröffentlicht. Das BSI warnt mit der zweithöchsten Stufe (Orange).
Was kann passieren?
Im schlimmsten Fall übernimmt ein Angreifer den Webserver. Konkret heißt das:
- Fremder Code auf dem Server: Angreifer können beliebige Befehle ausführen, Hintertüren ablegen und die Website für Spam, Phishing oder Schadsoftware missbrauchen.
- Abfluss von Zugangsdaten: Laut den Entdeckern lässt sich über CVE-2026-109618 Arbeitsspeicher auslesen. Darin können Passwörter, Sitzungsdaten und API-Schlüssel aus anderen Anfragen stehen.
- Zugriff auf Kundendaten: Bei Shops und Formularen geraten Bestellungen, Adressen und Nachrichten in Reichweite.
- Folgeschäden: Warnhinweise in Browsern und Suchmaschinen, Rufschaden und Kosten für die Bereinigung.
Cloudflare hat schon vor dem offiziellen Update Angriffe auf Websites beobachtet. Jetzt, da die Updates öffentlich sind, ist mit massenhaften automatisierten Scans zu rechnen.
Wer ist betroffen?
Praktisch jede Website mit PHP: WordPress, WooCommerce, Joomla, Drupal, Magento und viele mehr. Ein aktuelles WordPress mit aktuellen Plugins schützt hier nicht, denn der Fehler steckt eine Ebene darunter. Auch ein Sicherheits-Plugin kann die Lücke nicht schließen.
Helfen kann nur das PHP-Update auf dem Server. Bei klassischem Webhosting spielt es Ihr Hoster ein, bei eigenen Servern sind Sie selbst zuständig.
Welche PHP-Versionen sind sicher?
| PHP-Zweig | Sicher ab |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 (Support endet am 31.12.2026) |
| PHP 8.1 und älter | kein offizielles Update – auf 8.4 oder 8.5 umstellen |
Tipp: Ein Zusatz hinter der Nummer, etwa „-nmm1“, ist meist nur die Build-Kennung des Hosters – maßgeblich ist die Zahl davor. Ausnahme sind Server mit Paketen von Ubuntu oder Debian: Dort zeigt PHP oft nur die Grundversion an, obwohl der Fix enthalten ist. Klarheit bringt dann der Sicherheitshinweis der Distribution oder unser Selbsttest.
Selbsttest: Ist meine Website sicher?
Mit unserem kostenlosen PHP-Sicherheitscheck prüfen Sie in einer Minute, welche PHP-Version Ihre Website nutzt und ob sie den Fix enthält. Der Test arbeitet nur mit öffentlich sichtbaren Informationen und Ihren eigenen Angaben – Ihre Website wird dabei nicht angegriffen.
Oder selbst nachsehen in WordPress
- Im Dashboard Werkzeuge → Website-Zustand öffnen.
- Den Reiter Bericht wählen und den Abschnitt Server aufklappen.
- Den Wert bei PHP-Version mit der Tabelle oben vergleichen.
Ohne WordPress-Zugang zeigt das Kundenmenü Ihres Hosters die PHP-Version an. Im Zweifel fragen Sie Ihren Hoster, ob die Updates vom 21. Oktober 2026 eingespielt sind.
Gute Nachricht für Kunden von All-Inkl.com
Auf den von uns geprüften Websites bei All-Inkl.com lief am Abend des 21. Oktober bereits PHP 8.5.12. Der Hoster hat also offenbar schnell reagiert. Eine eigene öffentliche Meldung von All-Inkl haben wir bis dahin nicht gefunden.
So erkennen Sie den Stand Ihrer Website bei All-Inkl:
- Sicher: Im Website-Zustand steht 8.5.12-nmm1, 8.4.27-nmm1, 8.3.36-nmm1 oder 8.2.35-nmm1. Der Zusatz „-nmm1“ ist die Build-Kennung von All-Inkl.
- Niedrigere Nummer im selben Zweig: Wenden Sie sich an den All-Inkl-Support und fragen Sie nach dem Update.
- PHP 8.1 oder älter: Stellen Sie die PHP-Version im KAS bei der jeweiligen Domain auf 8.4 oder 8.5 um. Prüfen Sie vorher, ob Theme und Plugins damit kompatibel sind.
Jeder All-Inkl-Account kann auf einem anderen Server liegen. Prüfen Sie deshalb jede Website einzeln.
Was Sie jetzt tun sollten
- PHP-Version prüfen – mit dem PHP-Sicherheitscheck oder im Website-Zustand.
- Veraltete Version aktualisieren lassen – Hoster kontaktieren oder auf einen unterstützten PHP-Zweig umstellen.
- Nicht sofort möglich? Kritische Seiten wie Shops oder Formulare übergangsweise komplett per Passwortschutz abschirmen, bis das Update da ist.
- Zugangsdaten wechseln – war Ihre Seite längere Zeit ungepatcht online, ändern Sie Passwörter, den Datenbank-Zugang und API-Schlüssel.
- Auf Einbruchsspuren achten – unbekannte Administratorkonten oder PHP-Dateien im Upload-Ordner sind Warnzeichen.
Was das datenschutzrechtlich bedeutet
Wer über seine Website personenbezogene Daten verarbeitet, muss sie nach Art. 32 DSGVO angemessen schützen. Dazu gehört, kritische Sicherheitsupdates zeitnah einzuspielen oder einspielen zu lassen.
Rechtslage: Gibt es Hinweise, dass über die Lücke Daten abgeflossen sind, liegt möglicherweise eine Datenschutzverletzung vor. Dann ist sie grundsätzlich binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde zu melden (Art. 33 DSGVO). Das entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Sprechen Sie im Zweifel Ihren Datenschutzbeauftragten an.
Häufige Fragen
Mein WordPress ist aktuell – bin ich trotzdem betroffen?
Möglicherweise ja. Die Lücke steckt in PHP, nicht in WordPress. Entscheidend ist allein die PHP-Version auf dem Server.
Kann ein Sicherheits-Plugin die Lücke schließen?
Nein. Der Fehler liegt in PHP selbst und wird teilweise ausgelöst, bevor WordPress überhaupt startet. Nur das PHP-Update auf dem Server schließt die Lücke.
Schützt ein Passwortschutz für den Admin-Bereich?
Nein. Für den Angriff reicht eine Anfrage an irgendeine PHP-Datei, auch an die Startseite. Nur ein Passwortschutz über die gesamte Website hält Angreifer von PHP fern – dann ist sie aber auch für Besucher gesperrt.
Muss ich Passwörter ändern?
Wenn Ihre Website längere Zeit ungepatcht erreichbar war, ja – vorsorglich. Über die Lücke lässt sich Arbeitsspeicher auslesen, in dem Zugangsdaten stehen können.
Muss ich das der Datenschutzbehörde melden?
Nur wenn es Hinweise gibt, dass Daten abgeflossen sind oder Ihr Server kompromittiert wurde. Dann gilt die 72-Stunden-Frist nach Art. 33 DSGVO. Ihr Datenschutzbeauftragter hilft bei der Einschätzung.
Stand und Quellen
Stand: 21. Oktober 2026, 22:15 Uhr. Wir aktualisieren diesen Beitrag, sobald es neue Informationen gibt.
- PHP-Projekt: Security Advisory und Releases vom 21.10.2026
- CMS ADMINS: Ausführliche technische Übersicht zu PHP2Shell
- The Record: Hundreds of websites taken offline as concern grows over two PHP vulnerabilities
- Malwarebytes: Why websites are going offline for emergency security updates
Fazit
PHP2Shell trifft das Fundament fast aller Websites. Die gute Nachricht: Das Update ist verfügbar, und die ersten Hoster haben es bereits eingespielt. Prüfen Sie jetzt mit dem PHP-Sicherheitscheck, ob das auch für Ihre Website gilt – und lassen Sie sich helfen, wenn nicht.
