Seit ein paar Tagen hören wir immer wieder dieselbe Frage: Ist meine Website von PHP2Shell betroffen? Die kurze Antwort für die meisten unserer Kunden lautet nein. Die etwas längere Antwort möchten wir hier einmal in Ruhe aufschreiben, denn PHP2Shell ist ernst, und viele Websites da draußen sind gerade tatsächlich in Gefahr. Wir erklären dir, was hinter der Lücke steckt, warum unsere Seiten anders gebaut sind und was du tun solltest, wenn deine Website auf PHP läuft.
PHP ist eine Programmiersprache, auf der ein riesiger Teil des Internets läuft. WordPress, Joomla, Drupal, Shopware, Magento und unzählige selbst programmierte Seiten nutzen sie. Wenn jemand deine Website aufruft, rechnet PHP auf dem Server die Seite zusammen und schickt sie an den Browser.
PHP2Shell ist der Spitzname für zwei Sicherheitslücken in PHP selbst, also nicht in einem Plugin oder Theme, sondern in der Sprache darunter. Offiziell heißen sie CVE-2026-109618 und CVE-2026-109619. Beide wurden mit 9.2 von 10 Punkten bewertet, das ist die Stufe kritisch. Der Name sagt eigentlich schon, worum es geht: Über die Lücken kann ein Angreifer im schlimmsten Fall eine Shell bekommen, also eigene Befehle auf deinem Server ausführen. Und das, ohne sich vorher irgendwo anmelden zu müssen.
Dazu kommt, dass Forscher zeigen konnten, wie sich Teile des Arbeitsspeichers auslesen lassen. Dort liegen manchmal Passwörter, Zugangsdaten zur Datenbank oder Schlüssel für Schnittstellen. Selbst wenn ein Angreifer den Server nicht komplett übernimmt, kann er also an Daten kommen, die dort nichts zu suchen haben.
Normalerweise läuft so etwas geordnet ab. Jemand findet eine Lücke, meldet sie den Entwicklern, die bauen in Ruhe ein Update, und erst danach wird die Lücke öffentlich. Bei PHP2Shell ist das schiefgegangen. Am 20. Oktober sind Details zu den Lücken vorzeitig im Netz aufgetaucht, bevor die Updates fertig verteilt waren. PHP hat daraufhin sehr schnell Notfall Updates veröffentlicht.
Laut Cloudflare gibt es bereits erste Angriffe, die gezielt nach verwundbaren Servern suchen. Das bedeutet: Es reicht nicht, das Thema auf nächste Woche zu schieben. Automatisierte Programme klappern gerade das Netz ab, und die interessieren sich nicht dafür, ob deine Website groß oder klein ist.
Betroffen sind nach aktuellem Stand praktisch alle PHP Installationen, die Webseiten ausliefern, egal ob über Apache, PHP FPM, LiteSpeed oder andere Varianten. Wie leicht sich die Lücken ausnutzen lassen, hängt vom Aufbau des Servers ab. Darauf verlassen sollte sich aber niemand.
Jetzt zum Teil, der viele unserer Kunden beruhigen dürfte. Wir bauen Websites seit einiger Zeit fast ausschließlich mit JavaScript, genauer gesagt mit Next.js und React. Auf diesen Seiten läuft schlicht kein PHP. Wo kein PHP ist, gibt es auch keine PHP Lücke, die man ausnutzen könnte.
Dazu kommt, wie diese Seiten ausgeliefert werden. Ein großer Teil davon wird vorab fertig gebaut und liegt dann als fertige Dateien auf einem weltweit verteilten Netz von Servern. Es gibt keinen klassischen Webspace, auf dem bei jedem Aufruf ein Programm anspringt, und kein Admin Login unter wp-admin, an dem Angreifer rütteln könnten. Die Angriffsfläche ist dadurch von Grund auf deutlich kleiner.
Das ist übrigens kein Zufall. Genau solche Fälle sind einer der Gründe, warum wir auf Next.js setzen und nicht auf Baukästen oder klassische WordPress Installationen als Standard. Weniger bewegliche Teile auf dem Server bedeuten weniger Stellen, an denen etwas schiefgehen kann.
Ehrlicherweise müssen wir dazu sagen: Die meisten heißt nicht alle. Es gibt einzelne ältere Projekte und Seiten, die wir übernommen haben und die noch auf PHP laufen. Um die kümmern wir uns gerade. Wenn du Kunde bei uns bist und nicht sicher bist, auf welcher Technik deine Seite läuft, frag einfach kurz nach. Wir schauen nach und spielen das Update ein, falls es nötig ist.
Wenn deine Website nicht von uns stammt, lohnt sich ein kurzer Check. Ein paar Hinweise, dass bei dir PHP im Spiel ist:
Den letzten Punkt unterschätzen viele. Oft ist die Hauptseite längst modern gebaut, aber irgendwo läuft noch eine vergessene Installation von vor fünf Jahren weiter. Genau solche Ecken sind für Angreifer am interessantesten, weil sich niemand darum kümmert.
WordPress ist das bekannteste System, das auf PHP läuft, und gleichzeitig das mit Abstand verbreitetste. Ein großer Teil aller Websites weltweit basiert darauf, gerade bei kleinen Unternehmen, Selbstständigen und Vereinen. Deshalb trifft PHP2Shell WordPress Seiten besonders häufig, und genau von diesen Betreibern bekommen wir gerade die meisten Fragen.
Wichtig zu verstehen: WordPress selbst hat in diesem Fall keinen Fehler gemacht. Die Lücke steckt in PHP, also in dem Fundament, auf dem WordPress steht. Das heißt aber auch, dass jede WordPress Website betroffen ist, deren Server noch eine alte PHP Version nutzt, egal wie gut gepflegt Theme und Plugins sind.
Für WordPress Nutzer heißt das ganz konkret:
Gerade den Wechsel von alten PHP Versionen schieben viele WordPress Betreiber seit Jahren vor sich her, weil sie Angst haben, dass danach etwas nicht mehr funktioniert. Diese Sorge ist verständlich. PHP2Shell ist aber ein ziemlich guter Anlass, es jetzt anzugehen, und mit etwas Erfahrung ist das meistens schneller erledigt als gedacht.
Die gute Nachricht: Es gibt bereits Updates, die beide Lücken schließen. Die sicheren Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Alles darunter in diesen Reihen sollte so schnell wie möglich aktualisiert werden. So gehst du am besten vor:
Ein Punkt sorgt gerade für viel Verwirrung, deshalb sagen wir ihn ganz deutlich: Ein Update von WordPress oder deinen Plugins schließt PHP2Shell nicht. Das Problem steckt eine Ebene tiefer, in PHP selbst. Natürlich sollten WordPress und die Plugins trotzdem aktuell sein, aber das ist eine andere Baustelle.
Auch einzelne Einstellungen in der php.ini sind laut den Sicherheitsforschern keine echte Lösung. Sie können die Zeit bis zum Update etwas überbrücken, ersetzen es aber nicht.
Weil es schon Angriffe gibt, bevor viele Server aktualisiert waren, lohnt sich nach dem Update ein zweiter Blick. Gerade wenn deine Website ein paar Tage ungeschützt war:
Das klingt nach viel Arbeit, ist für eine normale Website aber meistens in einer Stunde erledigt. Und es gibt dir die Sicherheit, dass niemand eine Hintertür hinterlassen hat, die auch nach dem Update noch offen steht.
Uns ist wichtig, dass dieser Artikel nicht nach erhobenem Zeigefinger klingt. Dass wir mit Next.js arbeiten, macht uns nicht klüger als andere, es ist einfach eine Entscheidung, die sich in solchen Wochen auszahlt. WordPress und andere PHP Systeme sind für viele Projekte völlig in Ordnung, solange sich jemand regelmäßig darum kümmert.
Genau da wollen wir unterstützen. Egal ob deine Website von uns, von einer anderen Agentur oder von einem Bekannten gebaut wurde: Wenn du unsicher bist, ob du betroffen bist, oder nicht weißt, wie du an die PHP Einstellungen kommst, melde dich einfach. Wir können zum Beispiel:
Für eine erste Einschätzung musst du nichts unterschreiben und nichts buchen. Schick uns einfach die Adresse deiner Website, und wir sagen dir ehrlich, ob Handlungsbedarf besteht.
PHP2Shell gehört zu den ernsteren Sicherheitslücken der letzten Jahre, weil sie so viele Websites auf einmal betrifft und schon ausgenutzt wird. Wer eine Website auf PHP Basis betreibt, sollte das Update nicht aufschieben und danach einmal nachschauen, ob alles sauber ist.
Für die meisten unserer Kunden ist diese Woche dagegen eine ruhige, weil auf ihren Next.js Seiten schlicht kein PHP läuft. Und für alle anderen gilt: Du musst das nicht allein lösen. Melde dich bei uns, wir helfen dir beim Prüfen, beim Aktualisieren und bei allen technischen Fragen, die dabei auftauchen.
Offene Rechnung, gesperrte Domain, volles Postfach: Bei IONOS Kunden landen regelmäßig gefälschte Mails im Posteingang. Woran du sie erkennst und was du tun solltest, wenn du doch einmal geklickt hast.
Weiterlesen
Gerade taucht überall die llms.txt auf, oft zusammen mit großen Versprechen. Wir haben selbst eine angelegt und erklären, was dahintersteckt, was sie kann und wo du besser nicht zu viel erwartest.
Weiterlesen
Seit August 2026 greifen die Transparenzpflichten des EU AI Act. Klingt nach Paragrafen und Panik, ist aber für die meisten Unternehmen gut machbar. Wir erklären, worauf es ankommt.
Weiterlesen