Ist meine Website von PHP2Shell betroffen? So prüfst du die PHP-Version

WindowsMacAktualisiert 2026-10-24

Das PHP-Sicherheitsteam hat am 21. Oktober 2026 Korrekturen für zwei kritische Lücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619, die laut der US-Behörde CISA als „php2shell“ bekannt sind. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Um zu wissen, wo deine Website steht, brauchst du eine Zahl: die PHP-Version, mit der dein Hoster sie betreibt.

Kurze Antwort

Die PHP-Version deiner Website findest du in WordPress unter Werkzeuge > Website-Zustand > Bericht > Server, im Kundenmenü deines Hosters oder auf Nachfrage beim Hoster. Laut PHP-Sicherheitshinweis sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35 korrigiert. Ist deine Version älter als die Korrektur für ihren Versionszweig, lass sie aktualisieren.

Welche PHP-Versionen sind betroffen und welche behoben?

Der PHP-Hinweis vom 21. Oktober 2026 sagt, betroffen seien alle PHP-Installationen, die Webanfragen verarbeiten, und die Lücken könnten Codeausführung aus der Ferne ohne Anmeldung ermöglichen. Einfach gesagt: Jemand könnte eigene Befehle auf dem Server ausführen, ohne sich einzuloggen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt in seiner Warnung als betroffene Versionen „alle PHP-Versionen“.

Das PHP-Projekt nennt eine korrigierte Version pro unterstütztem Versionszweig:

Deine Version beginnt mit	Behoben in
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

In den Versionshinweisen dazu steht: „There are no complete mitigations, updating is the only safe choice.“ Außer dem Update gibt es also keine vollständige Abhilfe.

Zur Ausnutzung, Stand 23. Oktober 2026: Das BSI schreibt, ihm sei noch keine erfolgreiche Ausnutzung in der Breite bekannt, Berichte über Ausnutzungsversuche zeigten aber, dass Angriffe versucht werden. Der PHP-Hinweis beschreibt einen demonstrierten Exploit gegen Apache mit mod_php, die Einrichtung, die er als am stärksten gefährdet einstuft.

Wie finde ich die PHP-Version in WordPress?

WordPress zeigt sie im Website-Zustand an. Die deutsche WordPress-Seite zum PHP-Update beschreibt den Weg so:

Melde dich in deinem WordPress-Dashboard an.
Klick in der Seitenleiste auf Werkzeuge > Website-Zustand.
Öffne den Tab Bericht.
Erweitere den Abschnitt Server.
Scroll nach unten bis PHP-Version.

WordPress empfiehlt derzeit PHP 8.3 oder höher. Laut derselben Seite siehst du unter Umständen auch Hinweise wie „PHP-Aktualisierung erforderlich“ oder „PHP-Aktualisierung empfohlen“ auf dem Dashboard oder im Website-Zustand. Die englische WordPress-Dokumentation zum Website-Zustand führt eine veraltete PHP-Version als Sicherheitsproblem.

Wie finde ich die PHP-Version in cPanel?

Wenn dein Hoster cPanel anbietet, zeigt der MultiPHP Manager deine Domains und die PHP-Version jeder Domain. Die cPanel-Dokumentation ordnet das Werkzeug unter Software ein. Je nach Hoster erscheinen die Bezeichnungen auf Englisch.

Melde dich in cPanel an.
Öffne MultiPHP Manager.
Such deine Domain in der Liste und lies die PHP-Version ab.

Steht bei der Domain „Inherited“, nutzt sie laut cPanel die Standardversion des Systems, die nur der Server-Administrator festlegt. Dann ist die angezeigte Version die Wahl deines Hosters, und das Update auch. Findest du den MultiPHP Manager gar nicht, hat dein Hoster ihn vielleicht abgeschaltet; laut cPanel kann er das.

Andere Hosting-Oberflächen haben eigene Menüs dafür, die Namen unterscheiden sich. Die Hilfeseiten deines Hosters sind der richtige Ort zum Nachsehen.

Was, wenn ich die PHP-Version nicht finde?

Frag deinen Hoster. Die WordPress-Seite zum PHP-Update rät, dem Hoster eine E-Mail zu schreiben, wenn du die Einstellung nicht selbst findest, und bietet dafür einen Beispieltext an. Für PHP2Shell genügen zwei einfache Fragen:

Mit welcher PHP-Version läuft meine Website gerade?
Wurde sie auf die korrigierte Version aus dem PHP-Sicherheitshinweis vom 21. Oktober 2026 aktualisiert (8.5.12, 8.4.27, 8.3.36 oder 8.2.35)?

Hast du mehrere Websites oder Domains im Vertrag, frag für jede einzeln. Laut cPanel-Dokumentation kann jede Domain eine andere Version nutzen.

Meine Version ist nicht korrigiert. Was tun?

PHP aktualisieren oder vom Hoster aktualisieren lassen. Der PHP-Hinweis nennt einige vorübergehende Einstellungen, die das Risiko senken, sagt aber, sie „do not make an installation safe“, machen eine Installation also nicht sicher. Das BSI empfiehlt, eine vorübergehende Trennung vom Internet zu erwägen, wenn Patches nicht sofort eingespielt werden können, weil alle Workarounds keinen vollständigen Schutz bieten.

Wie du aktualisierst, hängt davon ab, wer den Server betreibt:

Bei Shared Hosting oder Managed Hosting gehört PHP deinem Hoster. Bitte ihn, deine Website auf die korrigierte Version zu bringen, oder auf einen unterstützten Versionszweig, der eine hat.
Wenn dein Kundenmenü eine Versionsauswahl hat, kannst du vielleicht selbst wechseln. Unser Ratgeber PHP-Version in WordPress aktualisieren zeigt die Schritte, mit Backup vorab.

Das BSI rät außerdem, exponierte PHP-Webserver auf Auffälligkeiten zu beobachten und sicherzustellen, dass keine Kompromittierung stattgefunden hat. Unser Ratgeber Website gehackt: was tun? zeigt die Schritte aus Sicht eines kleinen Website-Betreibers.

Was, wenn meine Website PHP 8.1 oder älter nutzt?

Das PHP-Projekt sagt, PHP 8.1 und älter erhielten keine Updates mehr vom PHP-Projekt. Manche Linux-Distributionen und Anbieter mit Langzeit-Support liefern eigene Korrekturen nach; das Projekt rät, sich beim Anbieter zu erkundigen oder auf eine unterstützte Version zu wechseln. Das PHP-Sicherheitsteam hat außerdem minimale Korrekturen für 7.4, 8.0 und 8.1 veröffentlicht, gedacht für Leute, die PHP selbst kompilieren.

Für eine private Website heißt das: Frag deinen Hoster direkt, ob er für deine Version eine solche Korrektur eingespielt hat. Wenn nicht, ist die Antwort des PHP-Projekts der Wechsel auf eine unterstützte Version. Das BSI schreibt dazu, alle PHP-Versionen vor 8.2 hätten ihr Lebensende bereits erreicht, und Betreiber sollten grundsätzlich auf eine noch unterstützte Version migrieren.

Die Seite zu den unterstützten PHP-Versionen zeigt, dass PHP 8.2 nur bis 31. Dezember 2026 Sicherheitsupdates bekommt. Eine Website auf 8.2.35 ist also vorerst korrigiert, braucht aber bald einen neueren Versionszweig.

Kann mir ein Online-Prüfwerkzeug sagen, ob ich sicher bin?

Keine der unten verlinkten offiziellen Seiten erwähnt Online-Prüfwerkzeuge. Der PHP-Hinweis gibt dir eine Liste korrigierter Versionen. Entscheidend ist also, welche Version deine Website nutzt und ob sie mindestens der Korrektur für ihren Versionszweig entspricht. Dein Hoster kann das bestätigen, und der Website-Zustand oder dein Kundenmenü zeigen es an. Das BSI empfiehlt Betreibern, den Patchstatus anhand des Hinweises zu überprüfen.

Weitere Fragen

Was ist PHP2Shell?

Laut CISA der Name, unter dem die zwei Lücken CVE-2026-109618 und CVE-2026-109619 bekannt sind. Beide stecken in PHP selbst, nicht in WordPress oder einem Plugin. Laut PHP-Hinweis können sie auf Servern, die mit PHP Webseiten ausliefern, Codeausführung aus der Ferne ohne Anmeldung ermöglichen. Mehr in unserer Erklärung zur PHP-Sicherheitslücke.

Ist PHP 8.3.36 vor PHP2Shell geschützt?

PHP 8.3.36 ist laut PHP-Hinweis vom 21. Oktober 2026 die korrigierte Version für den Zweig 8.3. Die anderen korrigierten Versionen sind 8.5.12, 8.4.27 und 8.2.35. Am 23. Oktober hat PHP zusätzlich einen informativen Hinweis zu einem separaten, unwahrscheinlichen Problem bei ungewöhnlichen Session-Einstellungen veröffentlicht.

Betrifft das meine WordPress-Website, wenn WordPress aktuell ist?

Ja, das kann es. Die Lücken stecken in PHP, der Sprache, mit der WordPress läuft. Das BSI schreibt ausdrücklich, ein Update der Anwendungen reiche nicht aus; die PHP-Laufzeitumgebung müsse ebenfalls gepatcht werden. WordPress, Themes und Plugins aktuell zu halten, bleibt trotzdem sinnvoll.

Mein Hoster sagt, es ist gepatcht. Muss ich noch etwas tun?

Vergleich die Version im Website-Zustand oder im Kundenmenü mit der Liste der korrigierten Versionen, dann weißt du, dass es für deine Website gilt. Hast du mehrere Domains, prüf jede. Hast du Grund zur Annahme, dass die Website vor dem Update verändert wurde, prüf sie auf Anzeichen einer Kompromittierung, wie das BSI rät.