Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell die Runde machen. Weil Details bereits am Vortag durchgesickert sind, wurden die Lücken schon vor dem Patch aktiv ausgenutzt. Betroffen ist praktisch jede Website, die auf PHP läuft, und damit auch jede WordPress-Website.

Hier fassen wir zusammen, was bekannt ist und was Sie jetzt tun sollten.

Was ist passiert?

Es geht um zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind als kritisch eingestuft (CVSS 9.2). Vereinfacht gesagt:

  • CVE-2026-109618: Wenn PHP bei der Verarbeitung einer Anfrage der Speicher ausgeht, bleiben Daten halb initialisiert zurück und werden später trotzdem als gültig behandelt.
  • CVE-2026-109619: Daten einer Anfrage überleben im Speicher, obwohl sie bereits freigegeben wurden, und können von einer späteren Anfrage wiederverwendet werden.

In beiden Fällen können Angreifer ohne Login eigenen Code auf dem Server ausführen. Das ist das Schlimmste, was einer Website passieren kann: Wer Code ausführen kann, kann Daten auslesen, Inhalte verändern oder den Server für weitere Angriffe missbrauchen.

Wer ist betroffen?

  • Alle PHP-Versionen von 5.4 bis und mit 8.5.11.
  • Alle gängigen Setups, also PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
  • Damit praktisch alle WordPress-, Joomla-, Drupal- und andere PHP-Websites, deren Server noch nicht aktualisiert wurde.

Wichtig: Die Lücke steckt in PHP selbst, nicht in WordPress oder einem Plugin. Ein WordPress-Update allein hilft deshalb nicht.

Was Sie jetzt tun sollten

1. PHP aktualisieren. Die Lücken sind geschlossen in:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Bei Shared Hosting oder einem verwalteten Server ist das Aufgabe Ihres Hosting-Anbieters. Fragen Sie aktiv nach, ob das Update eingespielt wurde.

2. Kurzfristig absichern, falls das Update noch nicht möglich ist. Die bisher bekannten Angriffe nutzen den Upload-Fortschritt von PHP-Sessions. Als Übergangslösung empfiehlt sich:

  • In der php.ini die Einstellung session.upload_progress.enabled = Off setzen. Diese Funktion ist standardmässig aktiv.
  • Wenn möglich, Multipart-Anfragen (Datei-Uploads) auf Ebene des Webservers oder der Firewall blockieren.

Beides sind Notlösungen. Ob sie beide Lücken vollständig abdecken, ist nicht bestätigt. Die einzige echte Lösung ist das PHP-Update.

3. Prüfen, ob Ihre Website bereits kompromittiert ist. Achten Sie auf unbekannte Admin-Benutzer, verdächtige Dateien, Weiterleitungen auf fremde Seiten oder Spam-Einträge in Google. Wurde der Server tatsächlich angegriffen, reicht Bereinigen oft nicht. Sicherer ist ein Neuaufsetzen.

Das eigentliche Problem: veraltete PHP-Versionen

Für PHP 8.1 und älter gibt es aktuell keinen offiziellen Patch, weil diese Versionen nicht mehr unterstützt werden. Allenfalls können Backports die Lücke schliessen, also nachträglich eingespielte Sicherheitskorrekturen für ältere Versionen. Nicht alle Hosting-Anbieter unterstützen das jedoch. Viele WordPress-Websites laufen aber noch genau darauf, oft weil ein altes Theme oder Plugin mit neueren PHP-Versionen nicht funktioniert.

Genau hier wird es jetzt schmerzhaft: Der Wechsel auf eine aktuelle PHP-Version ist nötig, aber danach zeigt die Website eine weisse Seite oder Fehlermeldungen. Und die Agentur, die sie damals gebaut hat, gibt es vielleicht nicht mehr.

Unsere Empfehlung

Wenn Ihre Website nach dem Update nicht mehr läuft oder bereits gehackt wurde, lohnt sich oft ein sauberer Neubau statt endloser Flickarbeit. Wir bauen Websites mit Statamic, einem modernen CMS auf Laravel-Basis. Auch Statamic läuft auf PHP und braucht Sicherheitsupdates. Der Unterschied ist, dass wir Ihre Website mit einem Wartungsvertrag auf einer aktuellen PHP-Version halten und Updates wie dieses zeitnah einspielen.

Mehr dazu, wie wir Ihnen konkret helfen: WordPress-Website kaputt oder gehackt wegen der PHP-Sicherheitslücke?

Stand: 21. Oktober 2026. Wir aktualisieren diesen Beitrag, falls neue Informationen bekannt werden.