PHP2Shell: Kritische PHP-Sicherheitslücke gefährdet Websites

Websitebetreiber aufgepasst! Zwei neu bekannt gewordene Sicherheitslücken in der Programmiersprache PHP sorgen aktuell für erhebliche Unruhe. Unter dem Namen PHP2Shell werden zwei kritische Schwachstellen zusammengefasst, die es Angreifern unter bestimmten Voraussetzungen ermöglichen, Schadcode auf Webservern auszuführen – und das sogar ohne vorherige Anmeldung.

Besonders brisant: PHP bildet die technische Grundlage zahlreicher Websites und Content-Management-Systeme wie WordPress, Joomla oder Drupal. Damit betrifft das Sicherheitsproblem potenziell auch unzählige Unternehmenswebsites, Onlineshops und Blogs.

Die gute Nachricht: Seit dem 21. Oktober 2026 stehen Sicherheitsupdates zur Verfügung. Was hinter PHP2Shell steckt, welche PHP-Versionen betroffen sind und was du jetzt aus Sicherheits- und SEO-Sicht beachten solltest, erfährst du in diesem Artikel.

Was ist PHP2Shell und wie gefährlich sind die Sicherheitslücken?

PHP ist eine weitverbreitete serverseitige Programmiersprache, mit der dynamische Websites und Webanwendungen betrieben werden. Viele Websitebetreiber kommen täglich mit PHP in Berührung, ohne es überhaupt zu bemerken. Wer beispielsweise eine WordPress-Website betreibt, nutzt im Hintergrund ebenfalls PHP.

Mit PHP2Shell wurden nun zwei kritische Schwachstellen bekannt, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden. Beide Sicherheitslücken wurden mit einem CVSS-Schweregrad von 9,2 von 10 Punkten bewertet und gelten damit als kritisch.

Die Schwachstellen betreffen die interne Speicherverwaltung von PHP. Vereinfacht gesagt können bestimmte Fehler bei der Verarbeitung und Freigabe von Speicher dazu führen, dass Angreifer Einfluss auf die Ausführung von Programmcode nehmen.

Besonders problematisch ist dabei die Möglichkeit einer sogenannten Remote Code Execution (RCE). Dadurch können Angreifer unter bestimmten Bedingungen eigenen Programmcode auf einem betroffenen Server ausführen, ohne sich zuvor anmelden zu müssen.

Im schlimmsten Fall können dadurch Websites manipuliert, sensible Daten ausgelesen oder ganze Serversysteme kompromittiert werden. Da die Schwachstellen direkt PHP betreffen, reicht es nicht aus, lediglich WordPress, Plugins oder Themes aktuell zu halten.

Die Sicherheitslücken wurden am 21. Oktober 2026 mit entsprechenden Updates geschlossen. Aufgrund ihrer hohen Kritikalität empfehlen Sicherheitsexperten, betroffene Systeme umgehend zu aktualisieren.

Welche PHP-Versionen sind von PHP2Shell betroffen?

Die Schwachstellen betreffen zahlreiche PHP-Versionen. Das PHP-Entwicklerteam hat deshalb außerplanmäßige Sicherheitsupdates veröffentlicht.

Folgende PHP-Versionen enthalten die entsprechenden Korrekturen:

PHP-Version	Sicherheitsupdate
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Wer eine ältere Version innerhalb dieser Versionszweige einsetzt, sollte möglichst schnell auf die jeweilige abgesicherte Version aktualisieren.

Besondere Vorsicht gilt bei PHP 8.1 und älteren Versionen. Diese werden vom offiziellen PHP-Projekt nicht mehr regulär mit Sicherheitsupdates versorgt. Hier sollte auf eine unterstützte PHP-Version gewechselt oder geprüft werden, ob der jeweilige Systemanbieter einen geeigneten Sicherheitspatch bereitstellt.

Wichtig ist außerdem, dass ein installiertes Update tatsächlich aktiv ist. Je nach Serverkonfiguration müssen PHP-Prozesse oder Webserverdienste nach der Aktualisierung neu gestartet werden.

Wie finde ich heraus, welche PHP-Version meine Website verwendet?

Bei vielen Hosting-Anbietern lässt sich die verwendete PHP-Version direkt in der Verwaltungsoberfläche einsehen. Häufig gibt es dafür einen eigenen Menüpunkt wie „PHP-Einstellungen“ oder „PHP-Version“.

Wenn du WordPress verwendest, kannst du die PHP-Version außerdem im Backend unter Werkzeuge → Website-Zustand → Bericht → Server überprüfen.

Allerdings bedeutet eine angezeigte Versionsnummer nicht immer automatisch, dass ein System ungepatcht ist. Einige Hosting-Anbieter und Linux-Distributionen spielen Sicherheitskorrekturen als sogenannte Backports ein, ohne die ursprüngliche Versionsnummer vollständig zu ändern.

Im Zweifel solltest du deshalb direkt bei deinem Hosting-Anbieter nachfragen, ob die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 bereits geschlossen wurden.

PHP2Shell und SEO: Warum Google bei Wartungsarbeiten den Statuscode 503 empfiehlt

Neben der eigentlichen Sicherheitsproblematik gibt es einen weiteren Aspekt, den viele Websitebetreiber unterschätzen: Die Auswirkungen einer vorübergehend nicht erreichbaren Website auf die Suchmaschinenoptimierung (SEO).

Wer seine Website aufgrund der Sicherheitslücken vorsorglich offline nehmen muss, sollte darauf achten, dass der Webserver den richtigen HTTP-Statuscode zurückgibt.

Googles Search Advocate John Mueller hat im Zusammenhang mit PHP2Shell ausdrücklich empfohlen, bei einer vorübergehenden Abschaltung den HTTP-Statuscode 503 (Service Unavailable) zu verwenden.

Dieser Statuscode signalisiert Suchmaschinen, dass eine Website vorübergehend nicht erreichbar ist, beispielsweise aufgrund von Wartungsarbeiten. Google kann dadurch erkennen, dass die Unterbrechung nicht dauerhaft sein soll.

Problematisch sind dagegen Statuscodes wie 404 (Not Found) oder 500 (Internal Server Error) sowie Anfragen, die vollständig ins Leere laufen. Besonders ein 404-Status kann den falschen Eindruck vermitteln, dass eine Seite nicht mehr existiert.

Auch eine vermeintlich praktische Wartungsseite, die mit dem Statuscode 200 (OK) ausgeliefert wird, ist nicht ideal. Denn damit wird Google signalisiert, dass die angezeigte Wartungsseite ein regulärer, erfolgreich ausgelieferter Inhalt ist.

Der Statuscode 503 ist deshalb bei kurzfristigen Wartungsarbeiten die richtige Wahl.

Allerdings sollte man sich darauf nicht unbegrenzt verlassen. Bleibt eine Website über einen längeren Zeitraum nicht erreichbar, kann dies trotz des Statuscodes 503 Auswirkungen auf die Indexierung und Sichtbarkeit haben.

Besonders interessant ist außerdem, dass sich eine entsprechende Wartungsseite auch außerhalb von PHP bereitstellen lässt. Das ist bei PHP2Shell relevant, weil eine verwundbare PHP-Installation möglichst nicht weiter öffentlich erreichbar sein sollte.

Eine vorgeschaltete Serverkonfiguration oder ein Content Delivery Network (CDN) kann beispielsweise eine statische Wartungsseite ausliefern, während das eigentliche System abgesichert wird.

Was sollten Websitebetreiber jetzt gegen PHP2Shell unternehmen?

Zunächst solltest du überprüfen, welche PHP-Version auf deinem Server eingesetzt wird und ob dein Hosting-Anbieter die aktuellen Sicherheitsupdates bereits installiert hat.

Gerade bei Managed-Hosting-Angeboten übernehmen viele Anbieter solche Aktualisierungen automatisch. Trotzdem lohnt es sich, den Patch-Status aktiv zu kontrollieren. Eine automatische Update-Funktion ist schließlich nur dann hilfreich, wenn die entsprechenden Updates tatsächlich eingespielt wurden.

Wer einen eigenen Server betreibt, muss selbst dafür sorgen, dass die betroffenen PHP-Versionen aktualisiert werden. Dabei sollte nicht nur das Update installiert, sondern anschließend auch überprüft werden, ob die abgesicherte Version tatsächlich verwendet wird.

Kann ein betroffenes System nicht kurzfristig aktualisiert werden, sollte geprüft werden, ob sich die öffentlich erreichbaren PHP-Anwendungen vorübergehend isolieren oder abschalten lassen. Das kann insbesondere bei sensiblen Unternehmensanwendungen sinnvoll sein.

Auch ein aktuelles Backup ist wichtig. Allerdings ersetzt eine Datensicherung niemals die Installation eines Sicherheitsupdates. Ein Backup hilft im Schadensfall bei der Wiederherstellung, verhindert aber keinen Angriff auf eine bestehende Sicherheitslücke.

Da technische Details zu den Schwachstellen inzwischen öffentlich bekannt sind, sollten Unternehmen mit der Aktualisierung nicht unnötig warten.

Fazit: PHP2Shell zeigt, wie wichtig aktuelle Serversysteme sind

Die aktuellen PHP2Shell-Sicherheitslücken zeigen eindrucksvoll, dass selbst etablierte und weitverbreitete Technologien nicht vor schwerwiegenden Sicherheitsproblemen geschützt sind.

Für Websitebetreiber bedeutet das vor allem eines: Nicht nur WordPress, Plugins und Themes müssen aktuell gehalten werden, sondern auch die zugrunde liegende Serverumgebung.

Wer die betroffenen PHP-Versionen zeitnah aktualisiert, reduziert das Risiko einer Ausnutzung erheblich. Und sollte die eigene Website während der Wartungsarbeiten vorübergehend offline gehen müssen, hilft der richtige HTTP-Statuscode 503 dabei, unnötige Probleme mit der Google-Indexierung zu vermeiden.

Gerade für Unternehmen ist eine sichere und zuverlässig erreichbare Website längst keine rein technische Angelegenheit mehr. Sie ist ein wichtiger Bestandteil der eigenen digitalen Infrastruktur und damit auch des Online-Marketings.

Mein Rat: Prüfe jetzt deine PHP-Version beziehungsweise frage deinen Hosting-Anbieter nach dem aktuellen Sicherheitsstatus. Ein kurzer Check kann im Ernstfall erheblichen Schaden verhindern.

 

 

—

Bildquelle(n): Negative Space / Canva