PHP2Shell: Was Sie jetzt für Ihre WordPress- oder Laravel-Website tun sollten

Aktualisiert am 21. Oktober 2026, 16:30 (MESZ): Der Fix ist da. Aktualisieren Sie auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12. Die Befehle finden Sie in Schritt 3.

Zwei kritische Sicherheitslücken in PHP wurden am 20. Oktober bekannt, bevor ein Fix bereitstand. Sie heißen PHP2Shell und werden als CVE-2026-109618 und CVE-2026-109619 geführt. Das Sicherheitsteam von PHP selbst bewertet sie mit 9,2 von 10. Ein Angreifer kann mit einer einzigen präparierten Anfrage an Ihre Website eigenen Code auf Ihrem Server ausführen, ohne Passwort. Die Angriffe haben bereits begonnen. In den Niederlanden haben das Repräsentantenhaus, das Nationale Zentrum für Cybersicherheit und Tweakers ihre Seiten vorsorglich vom Netz genommen.

Wenn Ihre Website auf PHP läuft, betrifft Sie das. Dazu zählen fast alle WordPress- und WooCommerce-Seiten, jede Laravel-Anwendung sowie Magento, Shopware und Drupal. Hier ist, was Sie der Reihe nach tun sollten.

Keine Zeit oder kein Entwickler zur Hand? Wir patchen Ihren Server noch heute: PHP aktualisieren, schließen, was nicht offen sein sollte, auf einen Einbruch prüfen und Ihnen einen kurzen Bericht senden. Soforthilfe anfordern →

Was los ist, in einfachen Worten

Die Fehler stecken in PHP selbst, in der Verarbeitung einer Webanfrage: Der eine wird ausgelöst, wenn PHP beim Einlesen einer Anfrage der Speicher ausgeht, der andere, wenn Daten einer Anfrage in die nächste hinüberwirken. Beides passiert, bevor der eigene Code Ihrer Website läuft. Deshalb hilft ein Update von WordPress oder Plugins nicht. Jede Konfiguration, die Webseiten ausliefert, ist betroffen: mod_php (das höchste Risiko), PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. PHP unterstützt nur 8.2 und neuer; für 8.1 und älter hat das PHP-Team Backport-Patches veröffentlicht, keine neuen Releases.

Ihre Situation	Was zu tun ist	Wie dringend
Shared oder Managed Hosting (die meisten WordPress-Seiten)	Statusseite Ihres Hosters prüfen; fragen, wann er patcht und welche PHP-Version Sie nutzen	Heute
Eigener Server, VPS oder Cloud-Instanz	PHP-Update installieren, sobald es verfügbar ist; den Server bis dahin schützen (siehe unten)	Heute
Docker oder Container-Setup	Image auf dem gepatchten PHP-Basisimage neu bauen und neu ausrollen	Heute
PHP 8.1 oder älter	Auf PHP 8.2 oder neuer umsteigen; die Website bis dahin abgesichert halten	Heute, und das Upgrade planen
Shop oder Website mit Kundendaten, die Sie heute nicht patchen können	In den Wartungsmodus setzen oder nur Seitenaufrufe (GET-Anfragen) zulassen	Sofort

Schritt 1: Jetzt ein Backup erstellen

Erstellen Sie ein vollständiges Backup Ihrer Dateien und der Datenbank und speichern Sie es an einem anderen Ort als auf dem Server selbst. Geht in den nächsten Stunden etwas schief, ist ein sauberes Backup von vorher der schnellste Weg zurück.

Schritt 2: Den Server schützen, bis der Fix installiert ist

Keine dieser Maßnahmen behebt den Fehler, aber sie machen einen Angriff schwerer:

• Übergangseinstellungen von PHP anwenden. Setzen Sie in der php.ini oder Ihrem FPM-Pool (nicht in .user.ini und nicht mit ini_set()) session.upload_progress.enabled = 0, memory_limit = -1, post_max_size = 8M (32M, wenn Sie Uploads brauchen) und upload_max_filesize = 4M. Setzen Sie bei PHP 8.5 zusätzlich fatal_error_backtraces = 0. Starten Sie danach PHP-FPM oder Ihren Webserver neu. PHP selbst sagt, dass diese Einstellungen das Risiko senken, einen Server aber nicht sicher machen.
• Die Hintertür schließen. Wenn Sie Cloudflare oder ein anderes CDN nutzen, lassen Sie Ihren Server nur Datenverkehr aus den IP-Bereichen dieses CDN annehmen. Deren Firewall-Regeln helfen nur, wenn Angreifer Ihren Server nicht direkt erreichen können.
• Uploads sperren, wo Sie sie nicht brauchen. Das Abweisen von multipart/form-data-Anfragen in nginx oder Apache stoppt diesen Angriff, bricht aber auch Datei-Uploads sowie einige Formulare und Kassen. Testen Sie zuerst.
• Hochrisiko-Seiten vom Netz nehmen. Für einen Shop oder eine Website mit Kundendaten, die Sie heute nicht patchen können, ist eine Wartungsseite sicherer als online zu bleiben. Sie können auch nur GET- und HEAD-Anfragen zulassen, damit Seiten weiter laden.

Installieren Sie keine inoffiziellen »Fix«-Plugins und kopieren Sie keine Snippets aus Foren. Sie können alles noch schlimmer machen.

Schritt 3: Das PHP-Update installieren

Die korrigierten Versionen sind seit dem 21. Oktober 2026 verfügbar:

Sie nutzen	Aktualisieren auf mindestens
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35 (Support endet am 31. Dezember 2026, planen Sie also ein Upgrade)
PHP 8.1 oder älter	Kein neues Release: auf 8.2 oder neuer umsteigen oder bei Ihrem Anbieter ein rückportiertes Paket anfragen

• Ubuntu oder Debian: sudo apt update && sudo apt upgrade, dann sudo systemctl restart php8.3-fpm (mit Ihrer Version) oder sudo systemctl restart apache2 für mod_php. Distributionen übernehmen den Fix in ihre eigenen Paketversionen, die Nummer kann daher abweichen: Prüfen Sie die Sicherheitsmeldung Ihrer Distribution statt php -v. Im Repository ondrej/sury stimmen die Versionsnummern mit der Tabelle überein.
• RHEL, AlmaLinux oder Rocky: sudo dnf upgrade 'php*', dann PHP-FPM oder Apache neu starten.
• Docker: Mit dem neuesten offiziellen Image neu bauen, zum Beispiel docker build --pull . auf php:8.4-fpm, und jeden Container neu ausrollen.
• Managed oder Shared Hosting: Ihr Hoster installiert es. Bitten Sie ihn, Datum und Version zu bestätigen, und prüfen Sie, dass Ihre Website auf 8.2 oder neuer läuft.

Starten Sie nach dem Update alle PHP-Worker neu: Alte Worker führen weiter den verwundbaren Code aus. Prüfen Sie dann mit php -v auf der Kommandozeile und mit einer phpinfo()-Seite, die Sie sofort danach löschen.

Schritt 4: Prüfen, ob jemand eingedrungen ist

Die Fehler sind seit dem 20. Oktober öffentlich, ein Server, der online und ungepatcht war, kann also schon getroffen worden sein. Prüfen Sie nach dem Patch:

• Neue oder geänderte .php-Dateien in Upload-Ordnern: wp-content/uploads bei WordPress, storage/ und public/ bei Laravel.
• Admin-Benutzer, die Sie nicht kennen, in WordPress oder in Ihrem Hosting-Panel.
• Neue Cronjobs oder geplante Aufgaben.
• WordPress-Kerndateien, die sich kürzlich geändert haben, und Weiterleitungen auf unbekannte Seiten.

Etwas gefunden? Löschen Sie die seltsamen Dateien nicht einfach. Spielen Sie ein sauberes Backup von vor dem 20. Oktober ein, patchen Sie und ändern Sie alle Passwörter: Admin, Hosting, Datenbank, SFTP und API-Schlüssel. Wenn Sie UpdraftCentral nutzen, entfernen Sie auch dessen Dashboard-Schlüssel: Angreifer nutzen geleakte Schlüssel, um Hintertüren einzurichten, ein separates Problem, das gerade aktiv ist.

Nach dieser Woche

• Halten Sie PHP auf einer unterstützten Version (8.2 oder neuer) und aktualisieren Sie es im Rahmen der normalen Wartung, nicht nur in der Krise.
• Stellen Sie sicher, dass Ihr Server Webverkehr nur auf den Ports 80 und 443 annimmt. Datenbanken und Admin-Ports dürfen nie für das ganze Internet offen sein.
• Bewahren Sie tägliche Backups außerhalb Ihres Hosting-Kontos auf und testen Sie einmal eine Wiederherstellung.
• Halten Sie fest, wer Ihre Website hostet, welche PHP-Version sie nutzt und wer sich anmelden kann. Diese Woche hat gezeigt, wie viel Zeit das spart.

Brauchen Sie heute Hilfe?

Senden Sie uns Ihre Website-Adresse, und wir legen noch heute los. Ein Senior-Entwickler prüft, welche PHP-Version Ihre Website nutzt, installiert den Fix oder sichert die Website ab, bis sie gepatcht werden kann, und prüft auf einen Einbruch. Sie erhalten einen kurzen Bericht darüber, was wir gefunden und was wir geändert haben. Hoster, Agentur oder eigener Server: Wir arbeiten mit dem, was Sie haben.

Soforthilfe anfordern → oder kontaktieren Sie uns.

Quellen: Sansec, Patchstack, CERT-EU via The Next Web, NL Times.