WordPress und PHP2Shell: Ist meine WordPress-Seite betroffen?

Warum helfen WordPress-Updates hier nicht?

WordPress, seine Plugins und Themes sind in PHP geschrieben. PHP2Shell sitzt eine Ebene darunter: in dem Programm, das jede Anfrage annimmt, bevor WordPress überhaupt startet. Bei Apache mit mod_php reicht laut PHP-Team eine einzige anonyme Anfrage, und der Angriff läuft, bevor eine Zeile WordPress-Code ausgeführt wird. Deshalb können weder WordPress-Updates noch Sicherheits-Plugins die Lücke schließen.

Wer muss handeln: Sie oder Ihr Hoster?

So prüfen Sie Ihre WordPress-Seite in drei Minuten

1. Adresse in den kostenlosen PHP2Shell-Check eingeben. Er zeigt, ob die Seite PHP nutzt und welche Version sie nach außen meldet.
2. In WordPress unter Werkzeuge, Website-Zustand, Reiter Bericht, Abschnitt Server die PHP-Version ablesen.
3. Im Kundenmenü des Hosters nachsehen, welche PHP-Version für die Domain eingestellt ist.
4. Die Version mit der Tabelle unten vergleichen. Meldet WordPress eine Version wie 8.3.6, kann ein Paket von Ubuntu dahinterstecken, das trotzdem abgesichert ist. Das klärt nur der Hoster.

Vorlage: E-Mail an Ihren Hoster

Betreff: PHP2Shell (CVE-2026-109618, CVE-2026-109619), Patchstand für [Ihre Domain]. Guten Tag, bitte bestätigen Sie mir schriftlich, dass auf dem Server meiner Website [Ihre Domain] PHP gegen CVE-2026-109618 und CVE-2026-109619 abgesichert ist, also PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder ein entsprechend gepatchtes Paket Ihrer Linux-Distribution läuft, und dass alle PHP-Prozesse danach neu gestartet wurden. Bitte nennen Sie mir die installierte Version und das Datum der Aktualisierung. Falls die Korrektur noch nicht installiert ist: Wann ist sie geplant, und welche Schutzmaßnahmen gelten bis dahin? Vielen Dank, [Name, Kundennummer]

Was können Sie heute selbst tun?

• Im Kundenmenü auf PHP 8.4 oder 8.5 wechseln, wenn der Hoster das anbietet und abgesicherte Builds bestätigt. Vorher eine Sicherung anlegen und danach Formulare, Shop und Login testen.
• Läuft Ihre Domain über Cloudflare, sind dessen Schutzregeln gegen PHP2Shell auch im kostenlosen Tarif aktiv. Das überbrückt, ersetzt aber das Update nicht.
• Ein Wartungsmodus-Plugin bringt nichts, weil PHP trotzdem jede Anfrage verarbeitet. Wer die Seite offline nehmen will, deaktiviert sie im Kundenmenü des Hosters.
• Nach dem Update alle Administrator-Passwörter ändern und die Sicherheitsschlüssel in der wp-config.php neu erzeugen. Damit werden auch alle bestehenden Anmeldungen beendet.
• Unbekannte Benutzer mit Administratorrechten löschen und nicht genutzte Plugins und Themes entfernen.

Woran erkennen Sie, dass die Seite schon angegriffen wurde?

• Neue Administrator-Konten, die niemand angelegt hat.
• PHP-Dateien im Ordner wp-content/uploads, wo eigentlich nur Bilder und Dokumente liegen.
• Eine veränderte .htaccess-Datei oder Weiterleitungen auf fremde Seiten, oft nur für Besucher von Google oder vom Handy.
• Warnungen in der Google Search Console, im Browser oder vom Hoster.
• Plötzlich viele ausgehende Mails vom Server oder ungewöhnlich hohe Serverlast.

Sehen Sie eines dieser Zeichen, beschreibt der Ratgeber Website gehackt: was tun? die Reihenfolge der nächsten Schritte.

Joomla, Drupal, TYPO3 und Shopware

Für alle PHP-basierten Systeme gilt dasselbe wie für WordPress: Das Update muss auf dem Server passieren, nicht im System. Updates von Joomla, Drupal, TYPO3, Contao oder Shopware sollten Sie trotzdem einspielen, sie schließen aber andere Lücken. Auch Onlineshops mit WooCommerce, Magento oder PrestaShop laufen auf PHP.

Welche PHP-Version sollte eine WordPress-Seite künftig nutzen?

Eine Version mit möglichst langem Sicherheitssupport, heute PHP 8.4 oder 8.5. PHP 8.2 bekommt nur noch bis Ende 2026 Sicherheitsupdates. Testen Sie den Wechsel zuerst auf einer Kopie der Seite, denn ältere Plugins und Themes sind nicht immer mit neuen PHP-Versionen verträglich.

Wie wir helfen

Wir übernehmen die Abstimmung mit Ihrem Hoster, prüfen die Seite auf Spuren eines Angriffs und stellen PHP auf eine aktuelle Version um, mit Test auf einer Kopie. Dauerhaft halten wir WordPress, Plugins und Server in der Website-Betreuung aktuell. Einzelne Einsätze kosten 95 € netto pro Stunde im 15-Minuten-Takt.