PHP-Sicherheitslücke PHP2Shell: Was Website-Betreiber jetzt tun

Was ist PHP2Shell?

PHP ist die Programmiersprache, mit der ein Großteil aller Websites auf dem Server erzeugt wird; Schätzungen liegen zwischen 70 und 80 Prozent. PHP2Shell ist der gemeinsame Name für zwei Fehler in PHP selbst, nicht in einer einzelnen Anwendung. Das PHP-Team bewertet beide mit 9,2 von 10 Punkten (CVSS 4.0), also als kritisch. Der Name lehnt sich an Log4Shell an, die große Java-Lücke von 2021.

Gefunden haben die Lücken Forschende von Wiz, OpenAI, Calif und Quarkslab. Gemeldet wurden sie dem PHP-Team im August 2026. Weil Details am 20. Oktober vorzeitig im Netz kursierten, zog PHP die Veröffentlichung um einen Tag vor. Die Updates erschienen am 21. Oktober 2026 kurz vor 16 Uhr österreichischer Zeit.

Die beiden Lücken in einfachen Worten

• CVE-2026-109618: Geht PHP beim Annehmen einer Anfrage der Speicher aus, bricht es mitten in der Vorbereitung ab. Beim Aufräumen behandelt PHP halb fertige Daten trotzdem als gültig. Ausgelöst wird das über präparierte Formular- und Upload-Anfragen.
• CVE-2026-109619: Daten einer Anfrage bleiben im PHP-Prozess zurück, obwohl ihr Speicher schon freigegeben ist. Die nächste Anfrage an denselben Prozess greift darauf zu. Bestätigt ist das über die Upload-Fortschrittsanzeige von Sitzungen, unter PHP 8.5 zusätzlich über die Einstellung fatal_error_backtraces.
• Die Folge ist bei beiden gleich: Angreifer führen Code mit den Rechten des Webservers aus oder lesen Teile des Speichers mit, darunter Passwörter, Sitzungen und API-Schlüssel anderer Besucher.

Warum gehen gerade Websites weltweit offline?

Weil es vor dem Update keinen verlässlichen Schutz gab. CERT-EU, die Cybersicherheitsstelle der EU-Institutionen, riet am 20. Oktober, öffentlich erreichbare PHP-Anwendungen notfalls vom Netz zu trennen. Das britische NCSC empfahl dasselbe für Systeme, die nicht sofort aktualisiert werden können. Die Universität Wien nahm am 21. Oktober vorsorglich Webseiten, Online-Formulare, Webmail, Moodle, u:cloud, BigBlueButton und u:rise vom Netz. Angriffe auf ihre Systeme stellte sie nach eigener Aussage nicht fest.

Cloudflare meldete schon vor der Veröffentlichung Angriffsversuche gegen Kundenseiten. Für Apache mit mod_php hat das PHP-Team einen funktionierenden Angriff bestätigt, bei dem eine einzige anonyme Anfrage reicht, bevor überhaupt Code der Website läuft. Gehen Sie deshalb davon aus, dass ungepatchte Server in den nächsten Tagen gezielt gesucht werden.

Ist meine Website betroffen?

Ob Ihre Website PHP nutzt und welche Version sie nach außen meldet, zeigt der kostenlose PHP2Shell-Check in wenigen Sekunden. Wie Sie die Version selbst herausfinden, steht im Ratgeber PHP-Version herausfinden.

Welche PHP-Versionen schließen die Lücke?

Wichtig für alle, die PHP aus Linux-Paketen beziehen: Ubuntu und Red Hat spielen Korrekturen oft in die alte Versionsnummer ein. Ubuntu 24.04 meldet etwa weiterhin PHP 8.3.6, obwohl das Paket abgesichert ist. Entscheidend ist dann der Paketstand, nicht die Ausgabe von php -v. Wie das geht, zeigt die Anleitung zum PHP-Sicherheitsupdate.

Was sollten Betreiber heute tun?

1. Herausfinden, wo überall PHP läuft: Website, Onlineshop, Buchungssystem, Webmail, Intranet, Kundenportal und vergessene Test- oder Subdomains.
2. Den Hoster oder Administrator schriftlich nach dem Patchstand fragen. Eine Vorlage steht im Ratgeber WordPress und PHP2Shell.
3. Das Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder das gepatchte Distributionspaket einspielen und danach jeden PHP-Prozess neu starten.
4. Ist das heute nicht möglich: Seite vom Netz nehmen oder per Zugangsschutz am Webserver abschirmen, bis das Update läuft.
5. Nach dem Update Passwörter, Datenbank-Zugänge und API-Schlüssel auf dem Server erneuern, wenn die Seite vorher ungepatcht online war, und nach Spuren eines Einbruchs suchen. Was dabei zählt, beschreibt Website gehackt: was tun?.
6. Wer noch PHP 8.2 oder älter nutzt, plant jetzt den Umstieg auf 8.4 oder 8.5. PHP 8.2 bekommt nur noch bis Jahresende Sicherheitsupdates.

Reichen Firewall, Cloudflare oder eine Einstellung in der php.ini?

Nein. Cloudflare hat am 21. Oktober Firewall-Regeln gegen bekannte Angriffsmuster für alle Tarife aktiviert, nennt sie aber selbst eine zusätzliche Schutzschicht, die das Update nicht ersetzt. Die im Netz verbreitete Einstellung session.upload_progress.enabled = 0 schließt nur einen von mehreren Angriffswegen. PHP-Kernentwicklerin Gina Peter Banyard stellte klar, dass nur das offizielle Update dauerhaft schützt.

Was heißt das für Privatpersonen?

Wenig tun, aber wachsam sein. Auf Handys und Laptops müssen Sie wegen PHP2Shell nichts aktualisieren. Betrüger nutzen solche Schlagzeilen aber gern für gefälschte Mails wie „Ihr Konto wurde gehackt, bestätigen Sie hier Ihr Passwort“. Klicken Sie keine Links in solchen Mails an, sondern öffnen Sie den Dienst selbst über die bekannte Adresse. Worauf Sie achten, steht im Ratgeber Phishing erkennen.

Was bedeutet PHP2Shell für Unternehmen in Österreich?

Wird eine Website mit Kundendaten über die Lücke angegriffen, kann das eine Verletzung des Schutzes personenbezogener Daten sein. Dann ist nach Art. 33 DSGVO in der Regel binnen 72 Stunden eine Meldung an die Datenschutzbehörde nötig. Einrichtungen, die unter das NISG 2026 fallen, haben zusätzlich eigene Meldepflichten; den Überblick gibt der Ratgeber NIS2 in Österreich. Dieser Beitrag ist keine Rechtsberatung.

Wie wir unterstützen

Wir prüfen, wo in Ihrem Betrieb PHP läuft, spielen das Update ein oder stimmen es mit Ihrem Hoster ab, starten die Dienste neu und kontrollieren danach, ob die Korrektur wirklich aktiv ist. Abgerechnet wird nach Aufwand mit 95 € netto pro Stunde im 15-Minuten-Takt, vor Ort in Wien plus 39 € Anfahrt. Den laufenden Betrieb mit Updates und Überwachung übernehmen wir in der Website-Betreuung, die übrige IT unter IT-Sicherheit für kleine Betriebe. Unsere eigene Website läuft übrigens ohne PHP und ist von PHP2Shell nicht betroffen.