php2shell: Ist deine Website betroffen?
Eine kritische Lücke in PHP betrifft fast jede Website und jeden Onlineshop, egal ob WordPress, TYPO3 oder Shopware. Ich prüfe, ob du betroffen bist, und spiele die Updates ein.
php2shell kurz erklärt.
Stand: November 2026
Zwei kritische Lücken in PHP
Am 21.10.2026 hat das PHP-Team Updates für zwei Schwachstellen veröffentlicht (CVE-2026-109618 und CVE-2026-109619). Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft. Angreifer können darüber unter Umständen ohne Login eigenen Code auf deinem Server ausführen.
Fast jede PHP-Website
Die Lücken stecken in PHP selbst, nicht in einem bestimmten Programm. Betroffen sind damit Websites und Shops mit WordPress, TYPO3, Shopware, Joomla oder eigener PHP-Software, und zwar mit allen PHP-Versionen seit PHP 5.
PHP selbst aktualisieren
Ein Update von WordPress oder deinen Plugins reicht nicht. PHP auf deinem Server muss auf eine der korrigierten Versionen gebracht werden. Einstellungen am Server können die Zeit bis dahin überbrücken, ersetzen das Update aber nicht.
Diese PHP-Versionen sind korrigiert
| Zweig | Sicher ab |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1 oder älter?
Für PHP 7.4, 8.0 und 8.1 gibt es nur Korrekturen im Quellcode, aber keine fertigen Updates. Noch ältere Versionen werden gar nicht mehr korrigiert. Wenn deine Website auf so einer Version läuft, reicht ein schnelles Update nicht. Dann braucht es einen Plan für die Modernisierung.
Betreuung für Altsysteme →Quelle und Details: heise online
So findest du in fünf Minuten heraus, ob du handeln musst.
- 1
Finde heraus, wo deine Website läuft
Bei einem Hoster mit Paket (z. B. Webspace), auf einem eigenen Server oder bei deiner Agentur? Davon hängt ab, wer das Update einspielen muss.
- 2
Schau nach deiner PHP-Version
Im Kundenbereich deines Hosters steht sie meist bei den Einstellungen. In WordPress findest du sie unter Werkzeuge → Website-Zustand → Bericht, in TYPO3 und Shopware in der Systeminformation.
- 3
Vergleiche mit der Tabelle oben
Ist deine Version mindestens so neu wie die korrigierte Version deines Zweigs, ist die Lücke geschlossen. Steht dort 8.1 oder älter, hast du ein größeres Problem.
- 4
Unsicher? Frag nach.
Wenn du nicht weiterkommst oder keinen Zugang hast, schau ich mir das gemeinsam mit dir an.
Vom schnellen Update bis zur dauerhaften Betreuung.
Du entscheidest, wie weit du gehen willst. Jeder Schritt funktioniert auch für sich allein.
php2shell-Check
Ich prüfe, welche PHP-Version auf deinem Hosting oder Server läuft, spiele das Update ein oder stimme es mit deinem Hoster ab und teste danach, ob deine Website oder dein Shop weiter sauber funktioniert.
- ✓PHP-Version prüfen und aktualisieren
- ✓Überbrückende Maßnahmen, falls ein Update nicht sofort geht
- ✓Funktionstest danach
Sicherheits-Check
Ein Blick auf alles, was bei kleinen Betrieben am häufigsten schiefgeht. Du bekommst einen verständlichen Bericht mit klaren Prioritäten statt einer endlosen Liste.
- ✓Software-Versionen und Updates
- ✓Backups und Wiederherstellung
- ✓Zugänge, Passwörter und Admin-Konten
- ✓Server, Verschlüsselung und E-Mail-Einstellungen
Laufende Betreuung
Damit du bei der nächsten Lücke nicht wieder in den Nachrichten davon lesen musst: Ich halte deine Systeme aktuell, überwache sie und melde mich, wenn etwas zu tun ist.
- ✓Regelmäßige Sicherheitsupdates
- ✓Überwachung und Backups
- ✓Fester Ansprechpartner
Kleiner Betrieb, kleines Budget? So fängst du mit wenig Aufwand an →
php2shell ist nicht die letzte Lücke.
Updates, Backups, Zugänge, E-Mail: Mit ein paar Grundlagen bist du auch für die nächste Lücke gut aufgestellt.
In vier Schritten zu mehr Sicherheit.
- 1
Kurzes Gespräch
Du erzählst mir, was du betreibst und wo es läuft. Kostenlos und unverbindlich, per Video-Call oder Telefon.
- 2
Prüfung
Mit deiner Zustimmung und den nötigen Zugängen schaue ich mir deine Systeme an.
- 3
Ergebnis
Du bekommst eine klare Übersicht: Was ist dringend, was kann warten, was ist in Ordnung.
- 4
Umsetzung
Auf Wunsch setze ich die Maßnahmen direkt um. Du entscheidest, was gemacht wird.
Was du zu php2shell wissen willst.
Meine Website läuft mit WordPress. Bin ich von php2shell betroffen?
Sehr wahrscheinlich ja, solange die PHP-Version auf deinem Server noch nicht aktualisiert wurde. WordPress, TYPO3, Shopware und fast alle anderen Systeme laufen mit PHP. Die Lücke steckt in PHP selbst, deshalb hilft ein Update von WordPress oder deinen Plugins allein nicht.
Kümmert sich nicht mein Hoster darum?
Bei Webspace-Paketen spielen viele Hoster die Updates selbst ein. Oft kannst du aber die PHP-Version selbst auswählen, und dann bist du dafür verantwortlich. Bei einem eigenen Server oder einer eigenen Cloud-Instanz musst du dich immer selbst kümmern. Ein kurzer Blick auf deine Version schafft Klarheit.
Wird die Lücke schon ausgenutzt?
Zur Veröffentlichung der Updates gab es noch keine bestätigten Angriffe. Fachleute gehen aber davon aus, dass sich das schnell ändert, weil die Details inzwischen bekannt sind. Warte also nicht ab.
Ich nutze noch PHP 7 oder älter. Was jetzt?
Für PHP 7.4, 8.0 und 8.1 gibt es nur Korrekturen im Quellcode, keine fertigen Updates. Noch ältere Versionen bekommen gar keine Korrektur mehr. Hier hilft nur ein Umstieg auf eine aktuelle PHP-Version oder eine gute Absicherung, bis der Umstieg geschafft ist. Genau dabei helfe ich dir bei der Betreuung von Legacy-Systemen.
Was, wenn meine Website schon gehackt wurde?
Typische Anzeichen sind fremde Inhalte oder Weiterleitungen, unbekannte Admin-Konten, neue Dateien auf dem Server oder eine Warnung von Google oder deinem Hoster. Melde dich dann so schnell wie möglich. Wir sichern zuerst den aktuellen Stand, schließen die Lücke und stellen eine saubere Version wieder her.
Bist du ein Penetrationstester?
Nein, und das brauchen die meisten kleinen Betriebe auch nicht. Ich bin Entwickler und betreibe seit Jahren Websites, Shops und Server. Ich prüfe pragmatisch die Dinge, die in der Praxis am häufigsten zu Problemen führen, und setze die Lösungen auch gleich um.
Was kostet der Sicherheits-Check?
Das hängt davon ab, wie viele Systeme du betreibst. Nach dem kostenlosen Erstgespräch bekommst du einen Festpreis für die Prüfung, damit du vorher weißt, woran du bist.
Brauchst du Zugang zu meinem Server?
Für einen gründlichen Check ja, zum Beispiel einen Zugang zum Hosting oder zum Server. Ich arbeite nur mit deiner ausdrücklichen Zustimmung, und du kannst die Zugänge danach jederzeit wieder entziehen.
Lass uns prüfen, ob du betroffen bist.
In einem kurzen Gespräch klären wir, wo deine Website läuft und was zu tun ist. Kostenlos und unverbindlich.