Kurz gefasst
- Die PHP-Sicherheitslücke PHP2Shell besteht aus zwei kritischen Fehlern in PHP, der Technik unter WordPress und den meisten anderen Websites. Angreifer können darüber ohne Login Code auf dem Server ausführen.
- Seit 21. Oktober gibt es die Sicherheitsupdates. Sie sollten so schnell wie möglich eingespielt werden.
- Zuständig ist in der Regel dein Webhoster, nicht du. Ein Plugin-Update im Backend bringt hier nichts.
- Websites bei Raidboxes waren innerhalb kürzester Zeit abgesichert.
Mittwoch, 16 Uhr, war diese Woche für viele Admins ein Termin, den man sich nicht freiwillig in den Kalender schreibt. Da hat das PHP-Team die Updates für eine PHP-Sicherheitslücke veröffentlicht, genauer gesagt für zwei, und die haben es in sich. Das deutsche BSI hat eine offizielle Warnung herausgegeben, Universitäten und Firmen haben ihre Websites vorsorglich abgedreht.
Was steckt dahinter? Und musst du jetzt etwas tun?
Was ist die PHP-Sicherheitslücke PHP2Shell?
PHP ist die Programmiersprache, die im Hintergrund arbeitet, wenn jemand deine Website aufruft. WordPress basiert darauf, TYPO3, Joomla und Shopware auch. Du siehst davon nichts, aber ohne PHP würde deine Seite keinen einzigen Satz anzeigen.
Genau dort sitzen die zwei Lücken, die jetzt unter dem Namen PHP2Shell durch die Medien gehen (offiziell CVE-2026-109618 und CVE-2026-109619). Über sie kann jemand von außen eigenen Code auf dem Server ausführen, ganz ohne Passwort. Was dann passieren kann, reicht von einer verunstalteten Startseite über abgesaugte Kundendaten bis zum komplett übernommenen Server. Betroffen ist jede PHP-Version seit PHP 5. Also so ziemlich alles, was in den letzten zwanzig Jahren online gegangen ist.
Die Updates gegen PHP2Shell sind da
Das PHP-Team hat am 21. Oktober reagiert und die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Die gehören so schnell wie möglich auf den Server. Einen Trick, der die Lücke ohne Update verlässlich schließt, gibt es laut PHP-Projekt nicht.
Ein Haken bleibt: Für Versionen älter als 8.2 kommen offiziell keine Patches mehr. Läuft deine Website noch mit PHP 7.4 oder 8.0, ist jetzt ein guter Zeitpunkt, das zu ändern. Eigentlich war er das schon länger.
Wer schließt die PHP-Lücke?
Viele greifen jetzt reflexartig zum WordPress-Backend und klicken auf „Aktualisieren“. Das schadet nicht, hilft in diesem Fall aber auch nicht. Die Lücke steckt nicht in WordPress oder einem Plugin, sondern eine Ebene darunter, auf dem Server.
Solange du keinen eigenen Server betreibst, ist das deshalb Sache deines Webhosters. Die meisten haben eine Statusseite, auf der sie über Wartungen informieren. Steht dort nichts, frag beim Support nach. Eine kurze Mail reicht.
Was wir unseren Kunden geraten haben
Allen Kundinnen und Kunden mit aufrechtem Wartungsvertrag haben wir empfohlen, ihre Website vom Netz zu nehmen, bis der jeweilige Hoster das Update eingespielt hat. Ja, das ist unangenehm. Ein paar Stunden Wartungsseite kosten aber weniger Nerven als eine gehackte Website, die plötzlich Potenzmittel bewirbt, und eine Datenschutzmeldung obendrauf.
Bei Raidboxes? Dann kannst du durchatmen
Websites, die bei Raidboxes liegen, waren von der PHP-Sicherheitslücke nicht betroffen. Raidboxes hat die Patches innerhalb kürzester Zeit eingespielt, unsere Kunden dort mussten nichts tun. Das ist einer der Gründe, warum wir Raidboxes empfehlen: An Tagen wie diesem merkt man, ob sich wirklich jemand um die Server kümmert.
Was du jetzt tun kannst
Frag bei deinem Hoster nach, ob die neuen PHP-Versionen schon laufen, und schau bei der Gelegenheit, welche Version deine Website überhaupt nutzt. Nach dem Update lohnt sich außerdem ein Blick in die Logs und auf die Dateien am Server. Wer die PHP-Sicherheitslücke vor dem Patch ausgenutzt hat, ist damit nämlich nicht automatisch wieder draußen. Unbekannte Dateien oder Änderungen, die niemand gemacht hat, sind ein Warnsignal.
Du weißt nicht genau, wo deine Website liegt oder welche PHP-Version läuft? Oder dein Hoster lässt sich Zeit? Schreib uns, wir schauen uns das gemeinsam an. Und wer solche Wochen in Zukunft lieber verschläft, für den haben wir auch einen Wartungsvertrag.