PHP-Sicherheitslücke.Ist Ihre Website betroffen?

PHP ist eine Programmiersprache, die auf dem Webserver arbeitet. Sie erzeugt beispielsweise die Inhalte, die Ihr Browser anschließend anzeigt. Viele Websites und Anwendungen nutzen PHP im Hintergrund. Ein Problem in dieser Grundlage kann deshalb mehrere unterschiedliche Produkte betreffen. Entscheidend ist, welche PHP-Version Ihre konkrete Anwendung tatsächlich verwendet. Eine Website muss dafür keine sichtbare .php-Adresse haben.

Am 21. Oktober 2026 wurden Sicherheitsupdates für CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Die beiden kritischen Schwachstellen werden auch PHP2Shell genannt. Sie betreffen die interne Speicherverarbeitung von PHP. Eine erfolgreiche Ausnutzung kann ohne vorherige Anmeldung möglich sein. Die Veröffentlichung einer Schwachstelle bedeutet allerdings nicht, dass jede damit betriebene Website bereits angegriffen oder übernommen wurde.

Relevant sind PHP-Installationen, die Webanfragen verarbeiten. Dazu gehören PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Der PHP-Hersteller empfiehlt für alle diese Umgebungen das Update; das nachgewiesene Risiko ist bei mod_php besonders hoch. Ob eine konkrete Seite angreifbar ist, hängt unter anderem von Patchstand, Konfiguration und Anwendung ab. Eine vollständige öffentliche Liste aller betroffenen Websites gibt es nicht.

In den unterstützten Versionsreihen wurden die Lücken mit PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 geschlossen. Frühere Ausgaben der jeweiligen Reihe benötigen das passende Sicherheitsupdate. Wichtig: Betriebssystem- und Hosting-Anbieter können die Korrektur in ältere Pakete zurückübertragen. Eine ältere sichtbare Versionsnummer beweist daher allein noch keinen fehlenden Patch. Lassen Sie den konkreten Paket- und Sicherheitsstand beim Betreiber bestätigen.

WordPress verwendet PHP auf dem Server. Die aktuelle PHP2Shell-Meldung betrifft diese technische Grundlage und ist keine ausschließlich in WordPress liegende Sicherheitslücke. Deshalb sagt die WordPress-Projektleitung ausdrücklich: Ein WordPress-Update behebt diese beiden PHP-Probleme nicht. Prüfen Sie die PHP-Installation beim Hoster. WordPress selbst, Plugins und Themes sollten zusätzlich aktuell gehalten werden, weil sie eigene, davon unabhängige Schwachstellen haben können.

Öffnen Sie in WordPress Werkzeuge > Website-Zustand > Info > Server. Dort finden Sie die eingesetzte PHP-Version. Vergleichen Sie den vollständigen Wert mit den korrigierten PHP-Versionen und fragen Sie beim Hoster nach möglichen Sicherheits-Backports. Ein äußerer Website-Check kann WordPress und eine offengelegte PHP-Version erkennen, aber den internen Patchstand häufig nicht bestätigen. Unser Ergebnis zeigt deshalb auch, welche Informationen noch fehlen.

Server können die PHP-Kennung bewusst verbergen. Auch ein zwischengespeicherter Seitenaufruf kann die eigentliche Anwendung verdecken. Deshalb bedeutet 'PHP nicht erkannt' nicht automatisch 'kein PHP vorhanden' oder 'sicher'. Umgekehrt ist eine veröffentlichte Versionsangabe zunächst ein Hinweis aus der Serverantwort. Für Gewissheit benötigen Sie die tatsächlich laufende Version und eine Patchbestätigung aus dem Hosting-Bereich oder vom technischen Betreiber.

Bei erfolgreicher Ausnutzung kann fremder Programmcode im betroffenen PHP-Prozess laufen. Je nach dessen Rechten können dadurch Website-Inhalte und Daten gefährdet sein. Möglich sind außerdem Abstürze oder Störungen. Die beiden Lücken beruhen auf fehlerhaften Speicherzuständen, nicht auf einem einfach zu erratenden Passwort. Ein starkes WordPress-Passwort allein schließt sie deshalb nicht. Ob tatsächlich etwas passiert ist, muss anhand des Systems und seiner Protokolle untersucht werden.

Klären Sie zuerst, wer das Hosting und PHP betreut. Lassen Sie das passende Sicherheitsupdate installieren und die laufenden PHP-Dienste anschließend neu starten. Prüfen Sie auch Container und eingebettete PHP-Komponenten. Ist eine sofortige Aktualisierung nicht möglich, sollte der Betreiber den Zugriff vorübergehend begrenzen. Kontrollieren Sie danach Funktionen und auffällige Änderungen. Steinke Systeme unterstützt Sie dabei, den Befund einzuordnen und sinnvolle nächste Schritte mit Ihrem Hoster abzustimmen.

IONOS erklärt zum Stand unserer Prüfung am 22. Oktober 2026, die offiziellen Updates auf allen selbst betriebenen Plattformen eingespielt zu haben. Genannt werden unter anderem Webhosting, Managed WordPress und Managed Nextcloud. Das ist keine pauschale Entwarnung für selbst verwaltete Server: Wer PHP auf einem VPS oder Dedicated Server selbst betreibt, muss laut IONOS selbst aktualisieren. Entscheidend sind Ihr Produkt und die Zuständigkeit für dessen Wartung.

Ein Hosting-Name allein sagt nicht, ob Ihre konkrete Website betroffen oder bereits gepatcht ist. Prüfen Sie die für die Domain verwendete PHP-Version und fragen Sie nach dem Sicherheitsupdate für beide CVEs. STRATO beschreibt die PHP-Einstellungen im Kunden-Login unter Datenbanken und Webspace > PHP-Version einstellen. Klären Sie vor einem Versionswechsel die Kompatibilität Ihrer Anwendung. Eine allgemeine Anleitung ersetzt keine aktuelle Patchbestätigung für Ihren Tarif oder Server.

Auch bei Nextcloud muss die verwendete PHP-Umgebung geprüft werden. Für Nextcloud All-in-One enthält Version 14.4.1 aktualisierte PHP-Abhängigkeiten; das Projekt fordert zur zeitnahen Aktualisierung auf. Bei anderen Installationsarten kann PHP aus dem Betriebssystem, einem Container oder vom Hosting-Anbieter stammen. Ein Nextcloud-Versionswert allein beantwortet daher nicht die PHP-Frage. Prüfen Sie die tatsächlich laufende Umgebung und die passende Hersteller- oder Hosting-Meldung.

Aus einer PHP-Warnung lässt sich keine pauschale Betroffenheit einer FRITZ!Box ableiten. Bei unserer Prüfung haben wir keine konkrete Herstellerbestätigung gefunden, die FRITZ!Box-Modelle diesen beiden CVEs zuordnet. Das ist keine Sicherheitsgarantie. Maßgeblich bleiben die aktuellen Hinweise von FRITZ! für Ihr Modell. Unser Website-Basischeck untersucht eine öffentlich erreichbare Website und kann den Sicherheitsstand Ihres Routers oder Heimnetzwerks nicht beurteilen.

Nicht unbedingt. Eine unerreichbare Website kann auf Wartung, eine Schutzmaßnahme, ein Zertifikatsproblem oder eine allgemeine Störung zurückgehen. IONOS hat im Zusammenhang mit der PHP-Lücke beispielsweise Dienste vorsorglich eingeschränkt. Von außen lässt sich die Ursache eines Ausfalls oft nicht sicher feststellen. Prüfen Sie die Statusmeldung des Hosters und die Serverprotokolle. Unser Check kennzeichnet eine fehlende Erreichbarkeit als unklaren Befund und behauptet keinen nachgewiesenen Angriff.

PHP 8.1 und ältere Versionsreihen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Ein Anbieter kann eigene Sicherheits-Backports liefern; deren tatsächliche Verfügbarkeit muss für Ihr Paket geprüft werden. Die PHP-Entwickler haben für diese besondere Lage außerdem minimale Quellcode-Korrekturen für 7.4, 8.0 und 8.1 bereitgestellt. Für Betreiber ist ein gepflegter, zur Anwendung passender Versionszweig die dauerhafte Lösung. Auch PHP 8.2 erreicht am 31. Dezember 2026 sein Support-Ende.

Der Check wertet öffentliche Antworten Ihrer Website aus und ersetzt keine vollständige Sicherheitsprüfung. Der Prozentwert beschreibt eine nachvollziehbare Prüfpriorität, keine statistisch gemessene Wahrscheinlichkeit eines Hacks. WordPress allein beweist keine Sicherheitslücke. Ist eine Version sichtbar, vergleichen wir sie mit offiziellen WordPress-Veröffentlichungen und berücksichtigen Sicherheitsupdates älterer Zweige. Fehlende Patches erhöhen den Prüfbedarf, ein aktueller Core senkt ihn. Ein Hostername oder eine alt aussehende Website beweist keinen fehlenden Wartungsstand. Interne Patches, Serverkonfiguration und eine bereits erfolgte Kompromittierung müssen zusätzlich geprüft werden. Das Ergebnis bleibt ohne Kontaktdaten sichtbar; Unterstützung können Sie anschließend freiwillig anfragen.