Name: AWEOS
Address: Schorberger Str. 66, Solingen, 42699, DE
Telephone: 0212 / 250 852 50

Statusmeldung, Stand: 22.10.2026, 11:35 Uhr. Wir aktualisieren diesen Beitrag, sobald es neue Informationen gibt.

Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht: CVE-2026-109618 und CVE-2026-109619. In Fachmedien laufen sie unter dem Namen „PHP2Shell“. Beide sind nach CVSS 4.0 mit 9,2 von 10 Punkten bewertet. Sie können es Angreifern ermöglichen, ohne Anmeldung eigenen Code auf dem Server auszuführen. Weil WordPress, TYPO3, viele Onlineshops und unzählige weitere Websites auf PHP laufen, betrifft das praktisch jede PHP-Website.

Das Wichtigste in Kürze

Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Webanfragen ausliefern, darunter PHP-FPM und Apache mit mod_php. Das höchste Risiko sieht das PHP-Projekt bei mod_php.
Die Korrektur steckt in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
PHP 8.1 und älter bekommt vom PHP-Projekt keine Updates mehr.
Die Lücken werden bereits angegriffen: Amazon beobachtete einen ersten Angriffsversuch schon am 17. Oktober, vier Tage vor der Veröffentlichung, und spricht inzwischen von breiter Ausnutzung. Cloudflare zählt nach Angaben seines Chefs weltweit Millionen Angriffsversuche.
In Deutschland haben Behörden, Kommunen, Krankenhäuser und Hochschulen ihre Websites am 21. Oktober vorsorglich vom Netz genommen. Viele sind inzwischen wieder erreichbar.
Nur das Update schließt die Lücken. Änderungen an der PHP-Konfiguration sind höchstens eine Teilmaßnahme.

Was ist PHP2Shell?

Hinter dem Namen stehen zwei Fehler im Kern von PHP, also nicht in einem einzelnen Plugin oder CMS:

CVE-2026-109618: Wenn PHP während einer Anfrage der Speicher ausgeht, können interne Daten nur halb vorbereitet zurückbleiben. Beim Aufräumen behandelt PHP sie trotzdem als gültig.
CVE-2026-109619: Interne Daten einer Anfrage können weiterleben, obwohl ihr Speicher schon freigegeben ist. Eine spätere Anfrage an denselben PHP-Prozess kann sie dann verwenden.

In beiden Fällen kann ein Angreifer im schlimmsten Fall eigenen Programmcode auf dem Server ausführen, im Fachjargon „Remote Code Execution“. Das europäische CERT-EU hält alle PHP-Versionen ab PHP 5 für möglicherweise betroffen, das BSI stuft die Schwachstellen als kritisch ein.

Folgen in Deutschland: Websites vorsorglich offline

Wie ernst die Lücken genommen werden, war am 21. und 22. Oktober deutlich zu sehen. Viele öffentliche Einrichtungen haben ihre Internetauftritte vorsorglich abgeschaltet, um möglichen Angriffen zuvorzukommen. Nach Angaben der Deutschen Presse-Agentur waren in Berlin und Brandenburg zeitweise die Online-Wachen der Polizei nicht erreichbar, das Hauptstadtportal berlin.de lief nur eingeschränkt, und auch Websites von Krankenhäusern und Hochschulen in der Region waren nur teilweise verfügbar. In Rheinland-Pfalz, im Saarland und in Thüringen waren viele Angebote bis zum Morgen des 22. Oktober wieder erreichbar, in Nordrhein-Westfalen ein Teil der Online-Dienste der Polizei.

Für Unternehmen ist das ein deutliches Signal: Wenn Behörden und Kliniken ihre Websites lieber vorübergehend abschalten, als ein Risiko einzugehen, sollte auch eine Firmenwebsite oder ein Onlineshop nicht ohne Update weiterlaufen. Fachleute rechnen damit, dass es Monate dauert, bis Millionen betroffener Systeme bereinigt sind, und weisen darauf hin, dass ein erfolgreicher Angriff unter Umständen erst nach Tagen, Wochen oder noch später auffällt.

Ist meine WordPress-Website betroffen?

Entscheidend ist nicht das CMS, sondern die PHP-Version auf dem Server. Content-Management-Systeme wie WordPress, TYPO3, Joomla oder Drupal und Shopsysteme wie WooCommerce, Shopware oder Magento laufen alle auf PHP. Auch eine WordPress-Installation mit allen aktuellen Updates ist angreifbar, wenn PHP darunter noch nicht aktualisiert wurde.

Ihre PHP-Version finden Sie in WordPress unter Werkzeuge > Website-Zustand > Bericht > Server oder im Kundenbereich Ihres Hosters.

Was Sie jetzt tun sollten

Hoster fragen und heute updaten. Fragen Sie Ihren Hoster, ob PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 eingespielt ist, oder ein entsprechend korrigiertes Paket Ihrer Linux-Distribution. Wer den Server selbst betreibt, spielt das Update ein und startet danach PHP-FPM bzw. den Webserver neu, damit alle PHP-Prozesse die neue Version nutzen.
Weg von PHP 8.1 und älter. Für diese Versionen veröffentlicht das PHP-Projekt keine Updates mehr. Manche Linux-Distributionen und Anbieter mit Langzeit-Support liefern nachgerüstete Korrekturen, fragen Sie dort nach. Der dauerhafte Weg ist der Wechsel auf eine unterstützte PHP-Version. Prüfen Sie vorher mit einem Backup oder einer Testkopie, ob Theme und Plugins damit laufen.
WordPress, Plugins und Themes aktuell halten. Das schließt PHP2Shell nicht, verhindert aber, dass Angreifer zusätzliche bekannte Lücken nutzen. Wie das sicher klappt, zeigt unser Beitrag WordPress Update.
Auf Spuren achten. Warnsignale sind unbekannte Administrator-Konten, neue oder veränderte Dateien (zum Beispiel PHP-Dateien im Upload-Ordner) und unerwartete Weiterleitungen. Prüfen Sie dabei mindestens den Zeitraum ab dem 17. Oktober 2026. Bei einem Verdacht hilft unser Beitrag WordPress gehackt: Was tun?.

Wenn Sie nicht sofort updaten können: Das PHP-Projekt nennt Einstellungen, die einzelne Angriffswege erschweren, zum Beispiel session.upload_progress.enabled = 0 in der php.ini, danach müssen alle PHP-Prozesse neu gestartet werden. Das ist ausdrücklich nur eine Teilmaßnahme. Die vollständige Lösung ist das Update samt Neustart von PHP-FPM. Ist beides nicht sofort möglich, ist es sicherer, die Website vorübergehend vom Netz zu nehmen, so wie es viele Behörden am 21. Oktober getan haben.

So gehen wir bei AWEOS vor

Die Hostings, die wir für unsere Kundinnen und Kunden betreiben, beobachten wir laufend. Wir spielen das PHP-Update ein, sobald es für die jeweilige Serverumgebung bereitsteht, und prüfen die Websites vor und nach dem Update.

Ihre Website liegt bei einem anderen Anbieter, oder Sie sind unsicher, welche PHP-Version sie nutzt? Wir helfen Ihnen gern, die Version zu prüfen und das Update sicher umzusetzen. Nehmen Sie Kontakt mit uns auf.

Häufige Fragen zu PHP2Shell

Reicht ein WordPress-Update gegen PHP2Shell?

Nein. Die Lücken stecken in PHP selbst. Schutz bietet nur ein PHP-Update auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. ein korrigiertes Paket Ihres Anbieters.

Was ist mit PHP 7.4, 8.0 oder 8.1?

Diese Versionen bekommen vom PHP-Projekt keine fertigen Updates mehr. Wegen der Schwere der Lücken hat das PHP-Projekt für 7.4, 8.0 und 8.1 nur Quelltext-Korrekturen für Betreiber bereitgestellt, die PHP selbst kompilieren. Einzelne Linux-Distributionen und Anbieter mit Langzeit-Support liefern Korrekturen nach. Sicherer ist der Wechsel auf eine unterstützte Version.

Woran erkenne ich, ob meine Website angegriffen wurde?

Typische Hinweise sind unbekannte Administrator-Konten, neue PHP-Dateien an ungewöhnlichen Orten und Weiterleitungen auf fremde Seiten. Fehlen solche Spuren, ist das allerdings keine Garantie. Im Zweifel lassen Sie die Website prüfen.