PHP2Shell: Sind WordPress & Co. jetzt unsicher?

Am 20. Oktober 2026 ging es los. Mails, Anzeigen, Warnungen: „Deine Website ist unsicher.“ „Handle jetzt, bevor es zu spät ist.“ Manchmal gleich mit einem Angebot dazu.

Du fragst dich, ob du deine WordPress-Seite jetzt abschalten, umbauen oder gleich ein neues System kaufen musst.

Die ehrliche Antwort: nein. Aber du solltest wissen, was wirklich passiert ist. Und wer dafür eigentlich zuständig ist.

Was ist PHP2Shell eigentlich?

PHP ist die Programmiersprache, die auf dem Server läuft und deine Website bei jedem Aufruf zusammenbaut. Ohne PHP kein WordPress, kein Magento, kein Shopware.

PHP2Shell ist der Name für zwei Fehler in genau dieser Sprache. Vereinfacht gesagt: Wenn bei PHP mitten in einer Anfrage etwas schiefgeht, räumt es danach nicht sauber auf. Angreifer nutzen genau diesen liegengebliebenen Rest, um eigene Befehle auf dem Server auszuführen.

Das Gefährliche: Das passiert, bevor WordPress oder ein Shop überhaupt startet. Ein Login oder ein Sicherheits-Plugin hilft deshalb nicht.

Man kann es sich vorstellen wie einen Fehler im Schloss eines bestimmten Herstellers. Es ist nicht dein Haus, das schlecht gebaut ist. Aber solange das Schloss nicht getauscht ist, bekommt jemand mit dem richtigen Trick die Tür auf.

Die beiden Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619 und sind mit 9,2 von 10 Punkten bewertet.

Das ist ernst. Es gibt bereits funktionierenden Angriffscode, und laut Cloudflare laufen Millionen Angriffsversuche. Auch das BSI rät, schnell zu handeln.

Aber: Die Lücken sind geschlossen. Diese PHP-Versionen sind gepatcht:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Wer eine dieser Versionen oder neuer nutzt, ist gegen PHP2Shell abgesichert.

Warum gerade so viele Warnungen kommen

Kaum war die Lücke bekannt, kamen die ersten Mails, Anzeigen und Posts. Manche sind berechtigt, manche übertreiben. Mit KI ist so ein Text heute in Minuten geschrieben und an tausende Adressen verschickt.

Am Tag danach war ich auf dem Weg nach Schweden. Im Radio wurde das Thema dort in ein paar ruhigen Sätzen erklärt: was passiert ist, wer zuständig ist und was zu tun ist. Mir ist dabei aufgefallen, wie viel entspannter man auf so eine Nachricht reagiert, wenn sie einfach erklärt wird.

Lass dich davon nicht hetzen. Eine gute Entscheidung braucht keinen Countdown. Schau dir lieber an, was wirklich los ist und wer bei dir dafür zuständig ist.

Ist WordPress jetzt unsicher?

Nein. Die Lücke steckt nicht in WordPress, sondern in PHP.

Auf PHP laufen aber auch Magento, Shopware, Drupal, Joomla, TYPO3 und Laravel. Ein großer Teil des Internets. WordPress ist also nicht mehr oder weniger betroffen als die anderen Systeme.

Wichtig zu wissen: Ein WordPress-Update allein hilft bei PHP2Shell nicht. WordPress aktualisiert nicht die PHP-Version deines Servers.

Wer ist eigentlich zuständig?

In den meisten Fällen: dein Provider. Die PHP-Version läuft auf dem Server, und den betreibt bei normalem Webhosting der Hoster. Er muss die gepatchte Version einspielen, nicht du.

Das ist auch bei Website-Baukasten-Anbietern nicht anders. Dort kümmert sich der Anbieter um Server und Technik. Das ist bequem, dafür bist du an ihn gebunden und kannst deine Seite nicht einfach mitnehmen.

Die Frage ist also nicht, welches System du nutzt. Die Frage ist, wer sich darum kümmert und wie schnell:

• Webhosting: Der Provider patcht PHP. Du oder deine Agentur halten WordPress, Themes und Plugins aktuell.
• Eigener oder gemieteter Server: Hier bist du selbst zuständig, oder wer den Server für dich betreut.
• Baukasten: Der Anbieter kümmert sich um alles. Wie schnell, liegt nicht in deiner Hand.

Ein guter Provider hat seine Kunden inzwischen informiert oder still gepatcht. Wenn du nichts gehört hast, frag nach.

Du bist unsicher? So prüfst du es selbst

Dafür brauchst du keinen Dienstleister. In den meisten Fällen hast du das in 15 Minuten erledigt.

1. PHP-Version nachsehen. In WordPress findest du sie unter Werkzeuge → Website-Zustand → Bericht → Server. Alternativ im Kundenbereich deines Hosters.
2. Mit den gepatchten Versionen vergleichen. Steht dort mindestens 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, bist du auf der sicheren Seite.
3. Beim Hoster nachfragen, wenn nicht. Frag, ob der Patch gegen PHP2Shell eingespielt ist und wann ein Update kommt. Bei PHP 8.1 oder älter frag zusätzlich, ob dort nachgebessert wurde.
4. Auf Auffälligkeiten achten. Neue Admin-Konten, unbekannte Dateien oder Weiterleitungen auf fremde Seiten können Zeichen sein, dass jemand schon vor dem Patch drin war. Dann reicht ein Update nicht, dann muss die Seite bereinigt werden.

Und ganz allgemein: Halte WordPress, Themes und Plugins aktuell. Das schützt nicht vor PHP2Shell, aber vor dem nächsten Problem.

Du willst das nicht selbst machen oder bist dir unsicher, was du da siehst? Dann schreib uns kurz deine Website-Adresse. Wir schauen sie uns an und sagen dir ehrlich, ob du etwas tun musst. Und wenn nicht, sagen wir dir das auch.

Sicherheit ist keine Rettungsaktion

PHP2Shell ist eine ernste Lücke. Aber sie ist geschlossen, und sie ist kein Grund, in Panik ein neues System zu kaufen.

Inzwischen ist es ruhiger geworden. Geschlossen ist die Lücke aber nur dort, wo jemand das Update auch eingespielt hat.

Websites werden nicht gehackt, weil sie auf WordPress laufen. Sie werden gehackt, weil sich niemand um sie kümmert. Das gilt für jedes System.

Wenn du dich um Updates und Server nicht selbst kümmern willst, übernehmen wir das mit unserer WordPress-Wartung.

Quellen

• Computerwoche: PHP-Panik greift um sich, das raten Experten
• windows-faq.de: PHP-Sicherheitslücken Oktober 2026
• Datadog Security Labs: PHP2Shell, critical vulnerabilities in PHP