PHP2Shell: Was die kritischen PHP-Lücken bedeuten und wie OIT reagiert

Bild: AI generated (HuggingFace Z-Image-Turbo)

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt, die unter dem Namen PHP2Shell kursieren (CVE-2026-109618 und CVE-2026-109619). PHP ist die Programmiersprache, auf der WordPress und viele andere Webseiten laufen. Betroffen ist damit potenziell jede Webseite mit einer verwundbaren PHP-Version. Hier erklären wir, worum es geht, woher die Bedrohung kommt und was OIT für seine Kunden tut.

Was ist PHP2Shell?

Beide Lücken haben laut den bisher veröffentlichten Berichten die Schwere 9.2 von 10 (CVSS). Sie ermöglichen sogenannte Remote Code Execution: Ein Angreifer kann auf dem Webserver eigenen Programmcode ausführen, ohne sich anzumelden. Nach Berichten genügt dafür eine einzelne Anfrage an den Server, und der Angriff greift, bevor der Code der Webseite überhaupt läuft. Ein Login-Schutz, eine Firewall im WordPress oder ein Sicherheits-Plugin helfen deshalb nicht. Der Schutz muss in PHP selbst liegen.

Woher kommt die Bedrohung?

Die Ursache liegt in der Speicherverwaltung von PHP. Bei der einen Lücke bricht PHP bei Speichermangel mitten in der Vorbereitung einer Anfrage ab und behandelt danach unvollständige Daten als gültig. Bei der anderen bleibt der interne Zustand einer Anfrage bestehen, obwohl der zugehörige Speicher bereits freigegeben wurde, und eine spätere Anfrage kann ihn benutzen. Technische Details wurden vor der koordinierten Veröffentlichung geleakt. Das PHP-Projekt hat deshalb am 21. Oktober 2026 Notfall-Patches veröffentlicht. Sicherheitsfirmen haben noch am selben Tag erste Angriffsversuche beobachtet.

Spielt KI eine Rolle?

Teilweise. Nach Einschätzung des Sicherheitsanbieters Wiz haben moderne KI-Modelle die Hürde deutlich gesenkt, aus einer solchen Schwachstelle einen funktionierenden Angriff zu bauen. Ob KI auch bei der Entdeckung der Lücken geholfen hat, ist nicht belegt. Für Betreiber heißt das: Zwischen Bekanntwerden und breiten Angriffen vergeht immer weniger Zeit.

Welche PHP-Versionen sind gepatcht?

Gepatchte Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für ältere, nicht mehr unterstützte Versionen (7.4, 8.0 und 8.1) gibt es keinen regulären Patch. Wer eine dieser Versionen betreibt, muss auf eine unterstützte Version wechseln.

Wie OIT reagiert

Wir lassen unsere Kunden bei einer solchen Bedrohung nicht allein und handeln am Tag der Veröffentlichung. Noch am 21. Oktober haben wir bei allen von uns betreuten Webseiten auf Raidboxes die laufende PHP-Version ausgelesen und geprüft. Bei der großen Mehrheit ist die gepatchte PHP-Version bereits aktiv. Webseiten, die noch auf einer älteren, nicht mehr unterstützten PHP-Version laufen, stellen wir auf eine aktuelle Version um. Dazu testen wir vorher auf einer Staging-Umgebung, ob alle Plugins und das Theme mit der neuen Version funktionieren, und stimmen den Termin mit dir ab.

Was Webseitenbetreiber jetzt tun sollten

Die sicherste Antwort auf solche Bedrohungen ist ein Partner, der sich um aktuelle Themen kümmert, bevor du sie bemerkst. Wechsle deshalb zu OIT: Wir halten PHP, WordPress, Plugins und Themes aktuell, spielen Sicherheitsupdates am Tag der Veröffentlichung ein und stimmen jede Umstellung vorher mit dir ab. So sind wir bei der nächsten Lücke wieder vor Ort, bevor sie zum Problem wird.

Diese OIT-Produkte passen dazu:

• Managed WordPress Hosting: Hosting mit Updates, Backups, Security und Speed, betreut aus Osnabrück.
• WordPress-Sicherheitscheck: Wir prüfen Logins, Updates, Backups und DSGVO deiner Seite und schließen Lücken.
• Smart-Webhosting: Webhosting von OIT mit persönlicher Betreuung.
• WordPress-Speedcheck: Wir messen und verbessern die Ladezeit deiner Seite.

Bis du gewechselt bist, solltest du selbst einen kurzen Blick auf deine Seite werfen: Gibt es Administratoren oder Plugins, die du nicht kennst? Fallen unbekannte Dateien, eine plötzlich langsame Seite oder Weiterleitungen auf fremde Seiten auf? Dann melde dich bitte bei uns.

Wenn du unsicher bist, ob deine Webseite betroffen ist, melde dich bei uns über die Kontaktseite. Wir prüfen das gerne für dich.