PHP-SICHERHEIT · STAND 22.10.2026
PHP-Lücken: Deine Website jetzt prüfen.
Zwei kritische Lücken in PHP betreffen die technische Basis vieler Websites. Wir erklären dir verständlich, was PHP2Shell bedeutet und wie du klärst, ob deine Website und dein Server die nötigen Sicherheitsupdates haben.
Frühzeitig informiert. Am selben Tag aktualisiert.
Wir haben unsere Kunden frühzeitig informiert und die unterstützten PHP-Laufzeiten unseres Webservers noch am Veröffentlichungstag mit den offiziellen Sicherheitsupdates aktualisiert. Deine Website prüfen wir ebenfalls gern.
Was ist PHP – und was macht es auf deiner Website?
Stell dir deine Website wie ein Restaurant vor: Im Browser siehst du die Speisekarte. PHP arbeitet im Hintergrund wie die Küche. Es führt auf dem Webserver Anweisungen aus, lädt Inhalte aus der Datenbank und stellt die fertige Seite zusammen. Auch Anmeldungen, Suchfunktionen und Kontaktformulare können darüber verarbeitet werden.
1. Dein Browser fragt an
Du öffnest eine Seite oder nutzt eine Funktion. Die Anfrage erreicht den Webserver.
2. PHP verarbeitet die Anfrage
Die PHP-Laufzeit führt den Anwendungscode aus, etwa von WordPress. Bei Bedarf werden Daten gelesen oder gespeichert.
3. Die Website antwortet
Der Server liefert das Ergebnis an deinen Browser. Den PHP-Code selbst bekommst du dabei normalerweise nicht zu sehen.
WordPress, Joomla, Drupal und viele individuelle Webanwendungen nutzen PHP. Deshalb betrifft ein Fehler in dieser Laufzeit weit mehr als ein einzelnes Plugin. Auch WordPress empfiehlt ein umgehendes PHP-Update beim Hoster.
PHP2Shell: Was ist an den beiden Lücken kritisch?
Die am 21. Oktober 2026 veröffentlichten Sicherheitsinformationen beschreiben CVE-2026-109618 und CVE-2026-109619. Unter passenden Bedingungen können Angreifer ohne Anmeldung eigenen Code ausführen oder auf sensible Daten aus dem Prozessspeicher zugreifen. Welche Folgen möglich sind, hängt auch von den Rechten und der Umgebung des betroffenen Dienstes ab.
CVE-2026-109618: Fehler beim Speicherengpass
Wird eine Anfrage wegen Speichermangels unterbrochen, können interne Anfragedaten unvollständig vorbereitet bleiben. Beim Aufräumen kann PHP diese Daten fälschlich als gültig behandeln.
CVE-2026-109619: Veralteter interner Zustand
Interne Verweise können länger bestehen bleiben als der dazugehörige Speicher. Eine spätere Anfrage im selben Arbeitsprozess kann auf diesen ungültigen Zustand zugreifen.
Eine gefährdete PHP-Version ist kein Beleg dafür, dass deine Website bereits angegriffen wurde. Umgekehrt zeigt eine normal funktionierende Startseite nicht, dass der Server geschützt ist. Technischer Hintergrund bei Google Cloud.
Welche PHP-Versionen enthalten die Sicherheitskorrekturen?
Das PHP-Projekt hat die folgenden korrigierten Versionen veröffentlicht. Innerhalb des jeweiligen Zweigs sind diese oder neuere, vom Anbieter als korrigiert bestätigte Pakete erforderlich.
| PHP-Zweig | Korrektur ab Version |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Bei Distributions- und LTS-Paketen können Sicherheitskorrekturen zurückportiert sein. Dann reicht die sichtbare Versionsnummer allein nicht aus: Entscheidend sind Paketrevision und Sicherheitsmitteilung des Anbieters. Für PHP 8.1 und ältere Zweige gibt es keine reguläre Sicherheitsversorgung durch das PHP-Projekt mehr; einen angebotenen Backport muss der Anbieter konkret bestätigen.
Betroffen sein können verschiedene Betriebsarten, darunter PHP-FPM und Apache mit mod_php. Ein Wechsel der Betriebsart allein ersetzt den Patch nicht. Offizielle PHP-Sicherheitsmeldung und Updatehinweise.
Was du jetzt tun solltest
1. Laufzeit und Zuständigkeit klären
Frage deinen Hoster oder deine Webagentur nach dem Patchstand für beide CVEs. In WordPress findest du die PHP-Version unter Werkzeuge → Website-Zustand → Info → Server. Die Prüfung im Hosting und auf dem Server ergänzt diese Anzeige.
2. Update kontrolliert einspielen
Vor einem Versionswechsel gehören eine aktuelle Sicherung und ein Plan für die Wiederherstellung dazu. Beim Wechsel auf einen neueren PHP-Zweig muss die Website mit ihren Erweiterungen kompatibel sein. Lass die Aktualisierung zeitnah fachkundig durchführen.
3. Funktionen und Betrieb prüfen
Nach dem Update werden wichtige Abläufe wie Anmeldung, Suche, Formulare und gegebenenfalls Shopfunktionen getestet. Auch die tatsächlich aktive Laufzeit, weitere Domains und betroffene Hintergrunddienste gehören in die Prüfung.
4. Auffälligkeiten untersuchen
Bei Verdacht auf einen Angriff sind Protokolle, Dateien, Prozesse und Zugänge zu prüfen. Ein Update behebt die Schwachstelle, entfernt aber keine bereits eingeschleusten Dateien. Schutzmaßnahmen und ein mögliches zeitweises Isolieren müssen zum konkreten Befund passen.
Du musst diese Schritte nicht allein koordinieren. Wir stimmen das Vorgehen mit dir und bei Bedarf mit deinem Hoster oder Webdesigner ab. Empfehlungen des Canadian Centre for Cyber Security.
Website und Server prüfen lassen – mit GTIT
Du weißt nicht, wer deine Website technisch betreut? Oder du möchtest eine zweite Einschätzung zum PHP-Patchstand? Wir klären mit dir, welche Prüfung für deine Umgebung sinnvoll ist. Persönliche IT-Betreuung für dein Unternehmen – zuverlässig im Alltag und schnell zur Stelle per Fernwartung.
Bestand und Sicherheitsstand
Nach Beauftragung prüfen wir im vereinbarten Umfang PHP-Laufzeit, Hosting, Server und relevante Website-Komponenten. Du erhältst eine verständliche Einordnung der Befunde und der nächsten Schritte.
Abstimmen, umsetzen, nachprüfen
Notwendige Maßnahmen und den Aufwand besprechen wir vor der Umsetzung. Je nach Auftrag übernehmen wir die Abstimmung mit dem Hoster, begleiten Updates und prüfen anschließend die vereinbarten Funktionen.
Schicke uns zum Einstieg deine Website-Adresse und – falls bekannt – den Hoster. Passwörter gehören nicht in eine unverschlüsselte Nachricht. Den nötigen Zugang stimmen wir gesondert mit dir ab. Eine technische Prüfung oder Fehlerbehebung ist nicht automatisch kostenlos; Umfang und Kosten klären wir vorab.
Für laufende Betreuung besprechen wir einen passenden Servicevertrag. Mehr zum Schutz deiner Systeme findest du unter IT-Sicherheit.
Häufige Fragen zu PHP-Sicherheitslücken
Reicht ein WordPress- oder Plugin-Update?
PHP wird im Hosting beziehungsweise auf dem Server bereitgestellt. Eine Aktualisierung von WordPress oder seinen Erweiterungen ersetzt das PHP-Sicherheitsupdate nicht. Beide Ebenen sollten gepflegt werden.
Kann man die Sicherheit nur mit meiner Website-Adresse prüfen?
Von außen lassen sich einzelne Hinweise erkennen. PHP-Versionen können verborgen sein; Anbieter können Korrekturen zurückportieren. Eine belastbare Aussage zu diesen Lücken braucht deshalb auch Hosting- oder Serverinformationen. Ein öffentlicher Schnelltest kann keine Entwarnung garantieren.
Muss meine Website sofort offline?
Das hängt von Patchstand, Erreichbarkeit und der Möglichkeit einer schnellen Behebung ab. Wenn ein gefährdetes System nicht zeitnah aktualisiert werden kann, muss eine vorübergehende Einschränkung oder Isolation fachkundig bewertet werden. Eine Website muss nicht allein deshalb abgeschaltet werden, weil sie PHP nutzt. Entscheidend ist, ob sie von den Sicherheitslücken betroffen ist und welche Schutzmaßnahmen nötig sind.
Hilft HTTPS oder eine Firewall gegen PHP2Shell?
HTTPS schützt die Übertragung, behebt aber keinen Fehler in PHP. Eine Web Application Firewall kann bestimmte Angriffswege begrenzen. Sie ersetzt die Sicherheitskorrektur und die Prüfung der tatsächlich aktiven PHP-Laufzeit nicht.
Quellen und Aktualitätsstand
Fachlicher Stand: 22. Oktober 2026. Die Bewertung einer konkreten Website erfordert eine eigene Prüfung. Neue Herstellerhinweise und Paketstände können die erforderlichen Maßnahmen verändern.
PHP-Projekt: Sicherheitsmeldung vom 21.10.2026
WordPress.org: Kritisches PHP-Sicherheitsupdate
Google Cloud: Hintergrund zu beiden CVEs
Canadian Centre for Cyber Security: Handlungsempfehlungen