Was Websitebetreiber jetzt wissen sollten
Wer eine Website mit WordPress, WooCommerce, Joomla oder Shopware betreibt, sollte aktuell einen Blick auf die verwendete PHP Version werfen. Seit dem 20. Oktober 2026 sorgen zwei kritische Sicherheitslücken für Aufsehen. Bekannt geworden ist das Problem unter der Bezeichnung PHP2Shell.
Das Besondere daran: Die Schwachstellen betreffen nicht einzelne Plugins oder bestimmte Themes, sondern PHP selbst. Damit können grundsätzlich auch Websites gefährdet sein, die regelmäßig gepflegt und aktualisiert werden.
Welche PHP Versionen sind betroffen?
Die beiden Sicherheitslücken werden unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 geführt. Unter bestimmten Voraussetzungen können Angreifer darüber fremden Programmcode auf einem Server ausführen.
Am 21. Oktober wurden neue PHP Versionen veröffentlicht, die diese Sicherheitsprobleme beheben:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Auch Hostinganbieter können entsprechende Sicherheitskorrekturen direkt in ihre PHP Pakete integrieren. Deshalb bedeutet eine ältere angezeigte Versionsnummer nicht zwangsläufig, dass der Server ungeschützt ist. Entscheidend ist, ob der Hostinganbieter die erforderlichen Korrekturen bereits eingespielt hat.
Besonders kritisch ist die Situation bei PHP 8.1 und älteren Versionen. Diese erhalten vom offiziellen PHP Projekt keine regulären Sicherheitsupdates mehr. Hier ist entweder eine Aktualisierung oder eine entsprechende Absicherung durch den Hostinganbieter erforderlich.
Weitere Sicherheitslücke am 23. Oktober bekannt geworden
Inzwischen hat das PHP Projekt auf ein weiteres Sicherheitsproblem hingewiesen. Die unter CVE-2026-115560 geführte Schwachstelle betrifft bestimmte PHP Konfigurationen und kann unter speziellen Voraussetzungen ebenfalls die Ausführung fremden Codes ermöglichen.
Bis eine entsprechende Sicherheitskorrektur bereitsteht, empfiehlt das PHP Projekt für betroffene Konfigurationen, die Funktion session.upload_progress.enabled zu deaktivieren.
Reicht ein PHP Update aus?
Ein Update ist ein wichtiger erster Schritt, bietet aber keine Garantie dafür, dass die Website tatsächlich sicher ist.
Sollten Angreifer eine Schwachstelle bereits ausgenutzt haben, können manipulierte Dateien, versteckte Administratorzugänge oder andere Schadprogramme zurückbleiben. Solche Veränderungen verschwinden nicht automatisch durch eine Aktualisierung.
Deshalb empfiehlt sich neben der Kontrolle der PHP Version auch eine Überprüfung der Website auf verdächtige Dateien und ungewöhnliche Aktivitäten.
Was sollten Websitebetreiber jetzt tun?
Zunächst sollte geklärt werden, welche PHP Version beim Hostinganbieter aktiv ist und ob die aktuellen Sicherheitskorrekturen bereits eingespielt wurden. Wer WordPress verwendet, findet die PHP Version beispielsweise unter Werkzeuge → Website Zustand → Bericht → Server.
Gerade bei älteren Websites ist vor einem Versionswechsel außerdem zu prüfen, ob Themes und Plugins mit einer neueren PHP Version kompatibel sind.
Mein Tipp: Nicht einfach davon ausgehen, dass eine regelmäßig aktualisierte WordPress Installation automatisch geschützt ist. Die Sicherheit des Servers und die Sicherheit der Website sind zwei unterschiedliche Dinge.
Wer unsicher ist, sollte die PHP Konfiguration und den Zustand seiner Website zeitnah überprüfen lassen.