Sicherheitslücke in PHP (PHP2Shell) einfach erklärt, was sie für dich bedeutet

MacWindowsiPhoneAndroidAktualisiert

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP, CVE-2026-109618 und CVE-2026-109619, die das PHP-Projekt am 21. Oktober 2026 behoben hat. PHP ist eine Programmiersprache, mit der sehr viele Websites laufen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt, Angreifer könnten damit aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen ausführen. Dieser Ratgeber hat den Stand vom 23. Oktober 2026.

Kurze Antwort

PHP2Shell sind zwei kritische Lücken in PHP, der Sprache hinter vielen Websites. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026. Wenn du eine Website betreibst, prüf und aktualisiere deren PHP-Version. Bei NAS oder Router zählt der Hinweis des Herstellers. Wer Websites nur besucht, muss nichts installieren.

Was ist PHP2Shell?

Es sind zwei getrennte Fehler in PHP selbst, die gemeinsam bekannt gegeben wurden. Das PHP-Projekt beschreibt sie in seinem Sicherheitshinweis als Lücken, über die sich Code aus der Ferne ausführen lässt (Remote Code Execution). Jemand könnte einen Server also dazu bringen, eigene Befehle auszuführen. Die US-Behörde CISA, die den Namen „php2shell“ nennt, schreibt, dass Angreifer sich dafür nicht anmelden müssen. Beide Lücken sind nach CVSS Version 4.0 mit 9,2 bewertet, das PHP-Projekt stuft sie als kritisch ein.

Laut BSI werden die Lücken in der Berichterstattung „PHP2Shell“ genannt, um die Ähnlichkeit mit der Schwachstelle „Log4Shell“ zu zeigen. Das BSI hat eine Cybersicherheitswarnung mit der Kritikalität 3 von 4 (Orange) veröffentlicht. Diese Stufe bedeutet nach der Erklärung des BSI: Maßnahmen müssen unverzüglich ergriffen werden.

PHP läuft auf dem Server, der dir eine Webseite schickt, nicht auf deinem Handy oder Laptop. Der PHP-Hinweis sagt, betroffen seien alle PHP-Installationen, die Webanfragen verarbeiten. Am höchsten schätzt das PHP-Projekt das Risiko bei Apache mit mod_php ein, wo ein Exploit demonstriert wurde.

Welche PHP-Versionen beheben die Lücke?

Das PHP-Projekt hat am 21. Oktober 2026 vier korrigierte Versionen veröffentlicht:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

In den Versionshinweisen steht: „There are no complete mitigations, updating is the only safe choice.“ Es gibt also keine vollständige Abhilfe außer dem Update.

PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Laut Hinweis liefern manche Linux-Distributionen und Anbieter mit Langzeit-Support eigene Korrekturen nach; du sollst dich an deinen Anbieter wenden oder auf eine unterstützte Version wechseln. Wegen der Schwere der Lücken hat das PHP-Sicherheitsteam außerdem minimale Korrekturen im Quellcode für PHP 7.4, 8.0 und 8.1 veröffentlicht. Die sind für Leute gedacht, die PHP selbst kompilieren.

Das BSI weist zusätzlich darauf hin, dass die Lücken in der PHP-Laufzeitumgebung selbst stecken. Ein Update der Anwendungen, etwa von WordPress, reicht deshalb nicht aus; PHP selbst muss ebenfalls aktualisiert werden.

Wer ist im Alltag betroffen?

Die meisten Menschen haben nie direkt mit PHP zu tun. Für Privatleute wird es an drei Stellen relevant.

Du betreibst oder betreust eine Website. Ein Blog, ein kleiner Shop oder die Vereinsseite mit WordPress oder einem ähnlichen System läuft gut möglich mit PHP. Das BSI nennt WordPress, Drupal, TYPO3, Joomla, Magento und Nextcloud als Projekte, die mit PHP entwickelt wurden. Beginne mit So prüfst du die PHP-Version deiner Website, dann PHP-Version in WordPress aktualisieren. Wirkt schon etwas verdächtig, lies Website gehackt: was tun?

Du hast ein NAS, einen Router oder ein anderes Gerät mit Web-Oberfläche. Das BSI empfiehlt zu prüfen, ob auch Firewalls, Router und andere Netzwerkkomponenten betroffen sind, besonders wenn sie eine Weboberfläche auf PHP-Basis haben. Unter den mindestens teilweise betroffenen Herstellern nennt es QNAP und Synology. Unser Ratgeber zu PHP2Shell auf Synology- und QNAP-NAS fasst zusammen, was diese Hersteller gesagt haben. Für den eigenen Computer: Betrifft die PHP-Lücke meinen Mac?

Du besuchst Websites oder kaufst online ein. Die Lücken stecken in Servern, die Korrektur ist Sache des Betreibers. Zwei Fragen kommen dabei oft: Kann eine gehackte Webseite dich beim Besuch hacken? und Sind meine persönlichen Daten betroffen?

Wird die Lücke schon ausgenutzt?

Stand 23. Oktober 2026 sagen die offiziellen Stellen Folgendes. Das BSI schreibt in Version 1.2 seiner Warnung vom 22. Oktober, ihm sei noch keine erfolgreiche Ausnutzung der Schwachstellen in der Breite bekannt. Gleichzeitig zeigten Berichte über Ausnutzungsversuche, vor und verstärkt nach Erscheinen der Patches, dass Angriffe (auch automatisiert) versucht werden. Die CISA schreibt in ihrer Warnung vom 21. Oktober, überarbeitet am 23. Oktober, sie habe zum Zeitpunkt der Veröffentlichung keine erfolgreiche Ausnutzung dieser Schwachstellen in freier Wildbahn beobachtet. CERT-EU, der Cybersicherheitsdienst der EU-Institutionen, schreibt, dass erste Proofs of Concept im Umlauf sind, was die Wahrscheinlichkeit erhöhe, dass Angreifer die Lücken bereits ausnutzen. QNAP schreibt am 22. Oktober, Ausnutzungsversuche gegen PHP seien öffentlich gemeldet worden.

Ein Versuch heißt nicht, dass eine bestimmte Website gehackt wurde oder deine Daten weg sind. BSI, CISA und CERT-EU raten trotzdem, PHP sofort zu aktualisieren.

Was sollte ich jetzt tun?

Wenn du eine Website betreibst:

  1. Finde heraus, welche PHP-Version deine Website nutzt. So prüfst du die PHP-Version deiner Website zeigt, wie.
  2. Aktualisiere auf eine der korrigierten Versionen, oder frag deinen Hoster, ob er das schon getan hat. Das BSI empfiehlt, den Patchstatus anhand des Hinweises zu überprüfen.
  3. Wenn das Update nicht sofort möglich ist, empfiehlt das BSI, eine vorübergehende Trennung vom Internet zu erwägen, weil alle Workarounds keinen vollständigen Schutz bieten. Geht beides nicht, sollen mindestens die im Workaround genannten Einstellungen umgesetzt werden.
  4. Das BSI rät außerdem, exponierte PHP-Webserver verstärkt auf Auffälligkeiten zu beobachten und sicherzustellen, dass keine Kompromittierung stattgefunden hat.

Wenn du ein NAS, einen Router oder ein ähnliches Gerät besitzt, lies den Sicherheitshinweis des Herstellers für dein Modell und installiere angebotene Updates.

Wenn du nur Besucher oder Kunde bist, musst du wegen PHP2Shell nichts installieren. Die allgemeinen Ratschläge des BSI gelten trotzdem: für jeden Dienst ein eigenes, starkes Passwort, und die Zwei-Faktor-Authentisierung aktivieren, wo möglich. Das BSI erinnert daran, dass seriöse Anbieter nie per E-Mail nach vertraulichen Zugangsdaten fragen.

Gibt es eine dritte PHP-Lücke?

Es gibt eine verwandte, aber deutlich kleinere. Am 23. Oktober hat das PHP-Projekt einen informativen Hinweis zu CVE-2026-115560 veröffentlicht. Das Problem tritt laut PHP nur bei einer ungewöhnlichen Kombination aus Konfiguration und Anwendungscode auf und ist in der Praxis unwahrscheinlich. Bis zum nächsten regulären Bugfix-Release empfiehlt PHP, den Upload-Fortschritt für Sessions abzuschalten (session.upload_progress.enabled=0).

Weitere Fragen

Ist PHP2Shell ein Virus?

Nein. Es ist der Name für zwei Schwachstellen in PHP, der Software vieler Webserver. Eine Schwachstelle ist ein Fehler, über den ein Server angegriffen werden könnte. Die Lösung ist ein PHP-Update, das der Betreiber oder Hoster einspielt.

Muss ich PHP auf meinem Computer aktualisieren?

Wahrscheinlich nicht, PHP läuft auf Webservern. Hast du PHP selbst installiert, etwa um Websites zu bauen, aktualisiere es. Mehr dazu in Betrifft die PHP-Lücke meinen Mac?

Was bedeutet CVSS 9,2?

CVSS ist ein Bewertungssystem dafür, wie schwer eine Sicherheitslücke wiegt, und 9,2 ist der Wert beider PHP2Shell-Lücken nach Version 4.0. Das BSI nennt dieselben Werte und schreibt, aus der Bewertung lasse sich ableiten, dass weder Anmeldung noch Mitwirkung eines Nutzers nötig sind.

Meine Website liegt bei einem Hoster. Muss ich PHP selbst aktualisieren?

Frag deinen Hoster, ob er die korrigierten Versionen eingespielt hat, und prüf die Version deiner Website selbst. So prüfst du die PHP-Version deiner Website zeigt, wo du nachsiehst.

Wurde schon jemand mit PHP2Shell gehackt?

Stand 23. Oktober 2026 schreibt das BSI, ihm lägen keine bestätigten Meldungen über erfolgreich kompromittierte Systeme aus der regulierten Wirtschaft oder der Bundesverwaltung vor; erfolgreiche Angriffe könnten aber nicht ausgeschlossen werden. Keiner der unten verlinkten offiziellen Hinweise nennt eine Zahl gehackter Websites.

Was bedeutet das Ende von PHP 8.1?

Für PHP 8.1 und älter gibt es vom PHP-Projekt keine korrigierte Version, nur die oben genannten Korrekturen im Quellcode. Auch PHP 8.2 bekommt laut BSI nur noch bis Jahresende Sicherheitsupdates. Das BSI rät, auf eine noch unterstützte Version zu migrieren.

Quellen

Alle Ratgeber zu PHP2Shell