In PHP wurden zwei kritische Sicherheitslücken entdeckt. Sie werden unter dem Namen PHP2Shell zusammengefasst. Unter bestimmten Voraussetzungen können Angreifer darüber Schadcode auf einem Webserver ausführen. Für Website-Betreiber stellen sich deshalb zwei wichtige Fragen: Ist die verwendete PHP-Version bereits abgesichert? Und gibt es Hinweise auf einen Angriff?
Kunden von ALL-INKL.COM können aufatmen: Alle angebotenen PHP-Versionen wurden bereits korrigiert. Trotzdem ist es sinnvoll, die eigene Website auf verdächtige Veränderungen zu überprüfen.
Was ist PHP2Shell?
Am 21. Oktober 2026 wurden zwei schwerwiegende PHP-Sicherheitslücken veröffentlicht. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. PHP ist eine Programmiersprache, die auf vielen Webservern eingesetzt wird. Sie verarbeitet beispielsweise Kontaktformulare, Benutzeranmeldungen und Bestellungen in Onlineshops. Auch Content-Management-Systeme wie WordPress nutzen PHP.
Die beiden Sicherheitslücken ermöglichen unter bestimmten Bedingungen eine sogenannte Remote Code Execution (RCE). Das bedeutet, dass Angreifer aus der Ferne eigene Programmbefehle auf einem betroffenen Server ausführen können. Wie groß der mögliche Schaden ist, hängt von der Serverkonfiguration und den vorhandenen Zugriffsrechten ab. Ein vollständiger Zugriff auf den Server ist nicht automatisch möglich.
Wichtig: Auch wer seine Website nicht selbst programmiert, kann betroffen sein. Entscheidend ist, ob die PHP-Umgebung des Servers abgesichert wurde.
Wie sind die Sicherheitslücken entstanden?
Beide Schwachstellen beruhen auf Fehlern bei der Speicherverwaltung von PHP. Bei CVE-2026-109618 kann PHP unter bestimmten Umständen fehlerhafte oder unvollständige Daten weiterverarbeiten. Bei CVE-2026-109619 kann PHP auf einen Speicherbereich zugreifen, der bereits freigegeben wurde. Solche Fehler können Programmabstürze verursachen oder unter geeigneten Bedingungen die Ausführung von Schadcode ermöglichen.
Laut PHP Foundation gab es bereits 2024 Hinweise auf eines der Probleme. Technische Schwierigkeiten, begrenzte Ressourcen und verzögerte Entscheidungen verhinderten zunächst eine Korrektur. Im August 2026 wurde das Ausmaß deutlicher. Nachdem Informationen vorzeitig bekannt geworden waren, wurden die Sicherheitsupdates früher veröffentlicht. Der Vorfall zeigt: Auch bewährte Software kann unentdeckte Sicherheitslücken enthalten. Regelmäßige Wartung und Sicherheitsupdates bleiben deshalb unverzichtbar.
Welche Gefahren bestehen für Websites?
Nutzen Angreifer die Sicherheitslücken erfolgreich aus, können je nach System unterschiedliche Schäden entstehen:
- Manipulierte Inhalte: Texte, Bilder oder andere Website-Inhalte könnten verändert werden.
- Gestohlene Zugangsdaten: Passwörter oder vertrauliche Informationen könnten offengelegt werden.
- Gefälschte Weiterleitungen: Besucher könnten auf betrügerische Websites gelangen.
- Manipulierte Shop-Funktionen: Bestellabläufe oder Zahlungsweiterleitungen könnten verändert werden.
- Eingeschleuster Schadcode: Angreifer könnten schädliche Programme auf dem Server ausführen.
Eine vorhandene Sicherheitslücke bedeutet nicht automatisch einen erfolgreichen Angriff. Ob Unbefugte Zugriff hatten, muss anhand konkreter Spuren wie den vorher genannten möglichen Schäden untersucht werden.
Auch ein SSL-Zertifikat schützt nicht vor PHP2Shell. HTTPS verschlüsselt die Datenübertragung zwischen Browser und Webserver, während PHP2Shell die Verarbeitung auf dem Server selbst betrifft. Mehr dazu erfahren Sie in unserem Artikel HTTP vs. HTTPS: Was ist der Unterschied?.
Welche PHP-Versionen sind abgesichert?
Für die beiden Sicherheitslücken wurden folgende korrigierte PHP-Versionen veröffentlicht:
| PHP-Version | Erste korrigierte Version |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Die Tabelle zeigt die ersten korrigierten Versionen. Hosting-Anbieter können Sicherheitskorrekturen auch in ältere PHP-Versionen übernehmen. Eine ältere Versionsnummer bedeutet daher nicht zwangsläufig, dass die Installation unsicher ist.
Kunden von ALL-INKL.COM können die verwendete PHP-Version im Kundenadministrationssystem (KAS) kontrollieren. Die Anleitung PHP-Version im KAS prüfen zeigt die notwendigen Schritte. Berücksichtigen Sie dabei auch Subdomains und Testinstallationen. Nach einem Versionswechsel sollten Sie wichtige Funktionen wie Formulare, Anmeldungen und Bestellprozesse testen.
Beachten Sie außerdem spätere Sicherheitsmeldungen: Am 23. Oktober wurde auf ein Problem bei einer seltenen Session-Konfiguration hingewiesen. Am 26. Oktober folgten neue Windows-Versionen wegen einer separaten Sicherheitslücke in Brotli. Brotli ist ein Verfahren, das Dateien komprimiert, damit Websites schneller laden. Fehler bei der Verarbeitung dieser Daten können Sicherheitsrisiken verursachen.
Was sollten ALL-INKL.COM-Kunden jetzt tun?
ALL-INKL.COM hat sämtliche angebotenen PHP-Versionen abgesichert, einschließlich älterer Versionen. Bislang gibt es keine konkreten Hinweise auf eine erfolgreiche Ausnutzung der Sicherheitslücken. Frühere Angriffe lassen sich jedoch nicht grundsätzlich ausschließen. Deshalb empfehlen wir folgende Maßnahmen:
1. Website auf Veränderungen kontrollieren
Überprüfen Sie Ihre Website auf ungewöhnliche Veränderungen. Achten Sie insbesondere auf unbekannte Benutzerkonten, unerwartete Weiterleitungen, veränderte Dateien und verdächtige Inhalte. Nicht jede Auffälligkeit bedeutet einen Angriff. Möglicherweise wurden Änderungen durch Ihre Agentur oder andere berechtigte Personen vorgenommen. Löschen Sie verdächtige Dateien nicht vorschnell, da sie für eine Untersuchung wichtig sein können. Bei einem begründeten Verdacht wenden Sie sich an den ALL-INKL.COM-Support.
2. Anwendungen aktuell halten
Aktualisieren Sie regelmäßig Ihr CMS sowie installierte Plugins, Erweiterungen und Themes. Ein Update von z. B. WordPress ersetzt jedoch kein PHP-Sicherheitsupdate. Beide Bereiche müssen unabhängig voneinander abgesichert werden.
3. Backups erstellen
Sichern Sie regelmäßig sowohl Ihre Website-Dateien als auch die zugehörigen Datenbanken. Prüfen Sie, ob sich die Sicherungen wiederherstellen lassen. Unsere Anleitungen zur Datensicherung helfen Ihnen dabei. Beachten Sie, dass auch ein Backup bereits manipulierte Dateien enthalten kann. Verwenden Sie nach einem Angriff möglichst einen nachweislich sauberen Sicherungsstand.
4. Zugangsdaten überprüfen
Wurde ein unbefugter Zugriff bestätigt, sollten möglicherweise betroffene Passwörter und Zugangsschlüssel nach der Bereinigung erneuert werden. Beseitigen Sie zuvor die Ursache des Angriffs, damit sich Unbefugte nicht erneut Zugang verschaffen können.
Werden Sicherheitslücken durch KI gefährlicher?
Künstliche Intelligenz kann Programmcode schnell untersuchen und Sicherheitslücken aufspüren. Das hilft Sicherheitsforschern, kann aber auch Angreifern zugutekommen. Das Sicherheitsunternehmen Wiz berichtet, dass KI bei PHP2Shell die Entwicklung und Anpassung funktionsfähiger Angriffsnachweise erheblich erleichtert hat. Die ursprünglichen PHP-Fehler wurden dadurch jedoch nicht verursacht.
KI könnte künftig dazu führen, dass vorhandene Schwachstellen schneller entdeckt und ausgenutzt werden. Wie stark die Zahl erfolgreicher Angriffe dadurch tatsächlich steigt, lässt sich nicht zuverlässig vorhersagen. Für Website-Betreiber bleibt entscheidend, Sicherheitsupdates zeitnah einzuspielen, Anwendungen regelmäßig zu prüfen und klare Zuständigkeiten festzulegen. Auch KI-generierter Programmcode sollte vor dem Einsatz auf Sicherheitsprobleme kontrolliert werden.
FAQ: Häufige Fragen zu PHP2Shell
Ist PHP2Shell eine einzelne Sicherheitslücke?
Nein. Der Name bezeichnet zwei PHP-Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619.
Bedeutet PHP2Shell, dass meine Website gehackt wurde?
Nein. Eine Sicherheitslücke bedeutet zunächst nur, dass ein Angriff möglich sein könnte. Ob Ihre Website tatsächlich betroffen war, muss überprüft werden.
Reicht ein WordPress-Update?
Nein. WordPress und die darunterliegende PHP-Umgebung müssen getrennt aktualisiert und abgesichert werden.
Muss ich PHP auf meinem Computer aktualisieren?
Wenn Sie lediglich Websites besuchen, ist das nicht notwendig. Betreiben Sie selbst eine lokale PHP-Umgebung, sollten Sie deren Sicherheitsstand prüfen.
Schützt ein SSL-Zertifikat vor PHP2Shell?
Nein. SSL beziehungsweise HTTPS schützt die Verbindung, nicht die PHP-Verarbeitung auf dem Server.
Muss ich sofort auf eine neue PHP-Hauptversion wechseln?
Nicht unbedingt. Entscheidend ist eine nachweislich korrigierte PHP-Installation. Größere Versionswechsel sollten vorher auf Kompatibilität geprüft werden.
Ist eine ältere PHP-Version automatisch unsicher?
Nein. Hosting-Anbieter können Sicherheitskorrekturen auch für ältere Versionen bereitstellen. Entscheidend ist der tatsächliche Sicherheitsstand.
Reicht ein Sicherheitsscanner zur Kontrolle?
Ein Scanner kann Hinweise auf Probleme liefern, ersetzt aber keine Prüfung der installierten Updates oder eine gezielte Untersuchung bei Verdacht.
Muss ich meine Website abschalten?
Normalerweise nicht, wenn die PHP-Umgebung abgesichert ist und keine Hinweise auf einen erfolgreichen Angriff bestehen. Bei einem bestätigten Einbruch kann eine vorübergehende Abschaltung sinnvoll sein.
Kann KI künftig alle Sicherheitsprüfungen übernehmen?
Nein. KI kann die Analyse unterstützen, ersetzt aber nicht die technische Kontrolle und Bewertung durch verantwortliche Fachleute.
Fazit: PHP aktuell halten und Websites regelmäßig prüfen
PHP2Shell zeigt, dass auch grundlegende Bestandteile einer Website Sicherheitslücken enthalten können. Bei ALL-INKL.COM wurden alle angebotenen PHP-Versionen bereits abgesichert. Website-Betreiber sollten dennoch ihre Anwendungen aktuell halten, regelmäßig Backups erstellen und auf ungewöhnliche Veränderungen achten. Wer Sicherheitsupdates schnell umsetzt und seine Website regelmäßig kontrolliert, kann das Risiko erfolgreicher Angriffe deutlich reduzieren.
Ähnliche Themen
Eine einfache Onepage-Website kostet als grobe Orientierung 500 bis 3.000 Euro, eine kleine Unternehmenswebsite mit fünf bis zehn Unterseiten etwa 1....
Bei ALL-INKL.COM gehört sicheres und zuverlässiges Hosting zu unserem täglichen Anspruch. Website-Betreiber benötigen verschlüsselte Verbindungen...
Nachhaltiges Webhosting bezeichnet den möglichst umweltbewussten Betrieb von Websites und der dafür benötigten Infrastruktur. Dazu gehören die Nut...
