PHP2Shell: kritische Lücke im PHP-Kern trifft fast jede WordPress-Seite

CVE

CVE-2026-109618, CVE-2026-109619

Betroffen

PHP 8.2–8.5 · WordPress · Joomla · Webserver mit mod_php / PHP-FPM

Gepatcht in

8.5.12 · 8.4.27 · 8.3.36 · 8.2.35

Angriffe gemeldet

26.10.2026

Kurz gesagt: Prüfen Sie heute, welche PHP-Version Ihre Website ausführt. Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere Zweige (8.1 und früher) bekommen keinen offiziellen Fix und müssen auf eine unterstützte Version wechseln.

Was Sie jetzt tun

1. PHP-Version feststellen: im Hosting-Panel unter „PHP-Version“, per SSH mit „php -v“ oder in WordPress unter Werkzeuge → Website-Zustand → Info → Server.
2. Auf eine gepatchte Version aktualisieren (8.5.12, 8.4.27, 8.3.36 oder 8.2.35) — oder beim Hoster schriftlich bestätigen lassen, dass ein vom Hersteller gepatchtes Paket eingespielt ist.
3. Läuft PHP 8.1 oder älter: auf einen unterstützten Zweig migrieren. Dafür gibt es keinen offiziellen Fix. Vorher Plugins und Themes auf Kompatibilität testen.
4. Als Zwischenlösung bis zum Update WAF-Regeln Ihres Hosters oder von Cloudflare aktivieren — mit dem klaren Ziel, das PHP-Update trotzdem noch am selben Tag nachzuziehen.
5. Zugriffslogs ab dem 21. Oktober prüfen: ungewöhnliche Anfragen an PHP-Dateien, neue oder geänderte PHP-Dateien in Upload- und Cache-Ordnern, unbekannte Administrator-Konten.
6. Nachtrag CVE-2026-115560 (noch ungepatcht): „session.upload_progress.enabled = 0“ in der PHP-Konfiguration setzen. PHP bewertet den Angriffsweg als unwahrscheinlich; Ausnutzung ist bisher nicht gemeldet.

Wer ist betroffen?

• Alle PHP-Installationen, die Webanfragen bedienen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
• Das Risiko ist bei mod_php am höchsten, weil eine nicht angemeldete Anfrage den Angriff auslösen kann, bevor irgendein Anwendungscode läuft.
• WordPress, Joomla und jedes andere PHP-System sind betroffen, weil der Fehler unterhalb der Anwendung liegt — im PHP-Kern selbst.

Was nicht reicht

• WordPress-, Plugin- oder Theme-Updates: Die Lücke liegt im PHP-Kern, nicht im CMS.
• Eine Firewall oder WAF allein: Sie senkt das Risiko, ersetzt aber das PHP-Update nicht.
• Abwarten, ob „der Hoster das schon macht“: Mehrere große Hoster haben gepatcht, andere waren am 22. Oktober noch dabei. Fragen Sie nach, statt anzunehmen.

Wenn Sie kompromittiert sein könnten

• Erst PHP aktualisieren und den Schaden eindämmen (Website in den Wartungsmodus, Schreibrechte begrenzen) — dann aufräumen, nicht umgekehrt.
• Alle Zugänge erneuern: Datenbank-Passwort, WordPress-Administratoren, SFTP/SSH, API-Schlüssel und die WordPress-Salts in der wp-config.php.
• Von einem sauberen Backup wiederherstellen, das vor dem 21. Oktober entstanden ist, statt einzelne Dateien „gesund zu putzen“.
• Rufen Sie uns an, wenn Sie unsicher sind: ein Verdacht lässt sich in der Regel in wenigen Stunden einordnen.

Chronik

1. 21.10.2026Das PHP-Projekt veröffentlicht außerplanmäßig Sicherheitsupdates für zwei kritische Lücken, weil Informationen vorab durchgesickert waren. Cloudflare meldet erste Angriffsversuche gegen PHP-Seiten um 07:43 UTC.
2. 22.10.2026Hoster melden den Stand: mittwald, Hetzner, netcup und Hostinger haben aktualisiert, IONOS und HostPress waren noch dabei (Stand 11:00 Uhr). Behörden nehmen vorsorglich Dienste vom Netz.
3. 23.10.2026PHP macht eine weitere Lücke bekannt, CVE-2026-115560. Sie ist noch nicht gepatcht; der Fix soll mit dem nächsten regulären Release kommen. Empfohlene Abhilfe: session.upload_progress.enabled = 0.
4. 26.10.2026Die US-Behörde CISA nimmt CVE-2026-109618 und CVE-2026-109619 in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) auf. Damit ist die Ausnutzung in der Praxis behördlich belegt.

Noch nicht gesichert

• Ein Forscher behauptet sechs weitere ungepatchte Lücken in PHP. Das PHP-Projekt hat bisher keine davon bestätigt.
• Ob Angreifer die Lücken schon vor der Veröffentlichung ausgenutzt haben, ist offen.
• Die endgültige Liste der betroffenen Versionen steht laut einer Quelle noch aus.

Quellen

• CISA — Known Exploited Vulnerabilities Catalog (Eintrag vom 26.10.2026)
• Patchstack — Major security alert: PHP vulnerable to critical RCE
• Codeable — PHP Security Release on 21 October 2026
• GoDaddy — Important PHP security update
• SiteGround — Critical PHP vulnerabilities
• Serverprofis — php2shell: Kritische PHP-Lücke
• security-insider.de — Kritische PHP-Schwachstellen: Behörden gehen offline

Diese Einordnung beruht auf den oben genannten Veröffentlichungen. Maßgeblich bleibt die offizielle Mitteilung des Herstellers; wir aktualisieren die Meldung, sobald sich die Lage ändert.

Künftig vorab gewarnt werden