„PHP2Shell“: Kritische Sicherheitslücken in PHP – jetzt aktualisieren
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Lücken geschlossen (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2). Angreifer können damit ohne Anmeldung Schadcode auf dem Server ausführen. Betroffen sind praktisch alle PHP-Installationen, die Webseiten ausliefern – also auch nahezu jede WordPress-Website. Angriffe werden bereits aktiv beobachtet.
- Sicher sind nur: PHP 8.5.12, 8.4.27, 8.3.36 bzw. 8.2.35 oder neuer.
- PHP 8.1 und älter erhalten kein offizielles Update mehr – hier hilft nur die Umstellung auf eine aktuelle Version.
Unser Check unten zeigt, ob Ihre Website betroffen sein könnte.
Ihre Website ist Ihr digitales Aushängeschild – und ein beliebtes Ziel für Angreifer. Die häufigsten Einfallstore sind veraltete PHP-Versionen, WordPress-Plugins mit bekannten Sicherheitslücken und alte JavaScript-Bibliotheken. Oft merkt der Betreiber davon nichts, bis die Seite gehackt ist.
Unser kostenloser Website-Check prüft in wenigen Sekunden, was von außen sichtbar ist: PHP-Version, eingesetztes System (z. B. WordPress), Plugins und Theme, JavaScript-Bibliotheken, extern geladene Google Fonts und wichtige Sicherheits-Einstellungen. Die gefundenen Versionen gleichen wir mit Datenbanken bekannter Sicherheitslücken (CVEs) ab.
Welche PHP-Versionen sind aktuell?
Die Übersicht zeigt, wie lange jede PHP-Version noch Sicherheitsupdates bekommt – und welche Version mindestens installiert sein sollte, damit die „PHP2Shell“-Lücken geschlossen sind.
| Version | Status | Sicherheitsupdates bis | Mindestens installieren |
|---|---|---|---|
| PHP 8.5 | Unterstützt | 31.12.2029 | PHP 8.5.12 |
| PHP 8.4 | Unterstützt | 31.12.2028 | PHP 8.4.27 |
| PHP 8.3 | Unterstützt | 31.12.2027 | PHP 8.3.36 |
| PHP 8.2 | Läuft bald aus | 31.12.2026 | PHP 8.2.35 |
| PHP 8.1 | Kein Support mehr | beendet am 31.12.2025 | Umstellen |
| PHP 8.0 | Kein Support mehr | beendet am 26.11.2023 | Umstellen |
| PHP 7.4 | Kein Support mehr | beendet am 28.11.2022 | Umstellen |
| PHP 7.3 und älter | Kein Support mehr | seit Jahren beendet | Umstellen |
Quelle: php.net – Supported Versions. Wichtig für PHP 8.2: Der Sicherheitssupport endet am 31.12.2026 – planen Sie die Umstellung auf 8.4 oder 8.5 jetzt ein.
Was bedeutet „PHP2Shell“ für Ihre Website?
- Kein Login nötig: Ein Angreifer braucht weder Passwort noch Zugang – eine präparierte Anfrage an Ihre Website kann genügen.
- Folgen: Übernahme der Website, Einschleusen von Schadsoftware oder Spam-Seiten, Datendiebstahl – bis hin zu Meldepflichten und Bußgeldrisiken nach DSGVO, wenn Kundendaten betroffen sind.
- Die Lösung: Das PHP-Update einspielen. Bei Shared Hosting ist das Aufgabe Ihres Hosters – viele haben bereits aktualisiert. Prüfen Sie es trotzdem: Wer noch eine alte PHP-Version eingestellt hat, bleibt oft ungeschützt.
Weitere Details: Sicherheitshinweis des PHP-Teams vom 21.10.2026.
Warum veraltetes PHP generell ein Risiko ist
Nach dem Ende des Supports veröffentlicht das PHP-Team keine Korrekturen mehr – auch nicht bei kritischen Lücken wie „PHP2Shell“. Neue WordPress-Versionen und Plugins setzen zudem zunehmend aktuelle PHP-Versionen voraus. Wer umstellt, profitiert außerdem von spürbar schnelleren Ladezeiten.
Wir sichern Ihre Website, prüfen Theme und Plugins auf Kompatibilität, stellen um und testen alles – zum Festpreis ab 249 €.
Umstellung anfragen