PHP2Shell verstehen.
Die richtigen Schritte kennen.

1. Den PHP-Stand Ihrer Website bestätigen lassen

   Fragen Sie nach der tatsächlich verwendeten PHP- oder Paketversion und der Behebung beider Lücken, CVE-2026-109618 und CVE-2026-109619. Zusätzliche Anwendungen und Verwaltungsoberflächen auf demselben Hosting mitprüfen lassen.

2. Das Sicherheitsupdate aktivieren und die Website testen lassen

   Die zuständige Technik spielt den Fix ein und startet alle betroffenen PHP-Prozesse neu. Anschließend müssen Anmeldung, Formulare und wichtige Shop- oder Website-Abläufe funktionieren. Eine Versionsanzeige allein für die Kommandozeile bestätigt den Stand der Website nicht.

3. Einen möglichen Datenabfluss gesondert beurteilen lassen

   Klären Sie, ob das System zuvor verwundbar erreichbar war und ob eine Untersuchung erforderlich ist. Daten können auch ohne sichtbare Veränderung der Website ausgelesen worden sein. Möglicherweise offengelegte Zugangsdaten und bestehende Anmeldungen müssen dann gezielt erneuert beziehungsweise ungültig gemacht werden.

Verwenden Sie diese oder neuere korrigierte Versionen der jeweiligen Reihe. Bei Linux-Anbietern kann auch eine ältere sichtbare Versionsnummer bereits den zurückportierten Sicherheitsfix enthalten. Dann zählt die vollständige Paketversion samt Bestätigung des Anbieters. PHP 8.1 und älter benötigen einen solchen bestätigten Anbieterpatch oder den Wechsel auf eine unterstützte Version.

Versionsangaben: PHP-Projekt. Beispiel für zurückportierte Korrekturen: Ubuntu-Sicherheitsmeldung USN-8948-1.

Im Alltag meint „PHP aktualisieren“ die Software, die diese Programme ausführt. Man kann sie sich als Motor vorstellen. WordPress oder eine andere PHP-Anwendung gibt vor, was dieser Motor tun soll. Der Hostinganbieter stellt die Umgebung bereit, in der er arbeitet.

1. Der Browser fordert eine Seite an

   Jemand öffnet zum Beispiel einen Artikel auf Ihrer Website. Der Browser schickt eine Anfrage an den Webserver.

2. PHP verarbeitet die Anfrage auf dem Server

   Die Anwendung liest bei Bedarf Inhalte aus einer Datenbank und stellt die Antwort zusammen.

3. Der Server liefert das Ergebnis zurück

   Der Browser erhält zum Beispiel HTML für die Seite. Dazu lädt er Stylesheets, Bilder und gegebenenfalls JavaScript. Der PHP-Quellcode bleibt bei korrekt eingerichtetem Hosting auf dem Server.

HTML beschreibt den Seiteninhalt, CSS dessen Gestaltung. JavaScript kann im Browser beispielsweise ein Menü öffnen. PHP erledigt die Aufgaben auf der Serverseite. Eine Website kann alle vier Techniken gleichzeitig verwenden; aus ihrem Aussehen lässt sich deshalb nicht erkennen, ob PHP beteiligt ist.

Grundlagen: PHP-Handbuch zur Arbeitsweise von PHP.

Auch eine moderne Oberfläche mit React oder einer anderen JavaScript-Technik kann im Hintergrund eine PHP-Anwendung ansprechen. Umgekehrt braucht nicht jede Website PHP. Maßgeblich ist die tatsächlich eingesetzte Technik, einschließlich zusätzlicher Dienste und Verwaltungsoberflächen.

PHP lässt sich außerdem ohne Browser für Hintergrundaufgaben starten. Die hier veröffentlichten Warnungen betreffen PHP-Installationen, die Webanfragen verarbeiten. Die bloße Existenz einer PHP-Datei auf einem Rechner beweist daher noch keine von außen erreichbare Schwachstelle. PHP kann auch in Geräteoberflächen und anderen Produkten stecken; dort ist das Update des jeweiligen Herstellers zuständig.

Zur Abgrenzung: PHP-Handbuch und Bestandsaufnahme des niederländischen NCSC.

Dafür ist unter Umständen keine Anmeldung nötig. Bei einer besonders gefährdeten Betriebsart kann der Angriff bereits greifen, bevor der eigentliche Website-Code startet. Ein gutes Admin-Passwort oder eine zusätzliche Abfrage beim Login verhindert diesen Angriffsweg deshalb nicht.

„Shell“ steht hier für die Möglichkeit, Befehle auf dem betroffenen System auszuführen. Welche Dateien, Datenbanken oder weiteren Dienste erreichbar werden, hängt von den Rechten des betroffenen Prozesses und der Serverkonfiguration ab. Ein erfolgreicher Angriff ist ernst; er bedeutet aber nicht automatisch uneingeschränkte Administratorrechte auf jedem verbundenen System.

Der Fehler sitzt in PHP selbst. Betroffen sein können deshalb auch individuell programmierte Websites und Anwendungen ohne sichtbares Uploadformular. Präparierte Anfragen lassen sich direkt an den Server schicken. Auch PHP-FPM, das häufig zusammen mit Nginx eingesetzt wird, gehört zur Bestandsaufnahme; die Forschenden haben dafür anwendungsabhängige Angriffswege bestätigt.

Ein Datenabfluss setzt nicht zwingend eine vollständige Übernahme voraus. Die Forschenden demonstrierten auch das direkte Auslesen von PHP-Arbeitsspeicher. Darin können sich Zugangsdaten oder Anmeldetokens befinden. Eine unverändert aussehende Website liefert deshalb allein keine Entwarnung.

Eine vorgeschaltete Web Application Firewall, etwa von Cloudflare, kann zusätzliche Angriffe abfangen. Auch das Abschalten der PHP-Upload-Fortschrittsanzeige erschwert bestimmte Angriffswege. Beide Maßnahmen lassen jedoch andere Risiken offen. Für eine vollständige Behebung ist das PHP-Sicherheitsupdate erforderlich. Übergangseinstellungen sollten von der zuständigen Technik anhand der offiziellen Hinweise vorgenommen werden; manche Einstellungen greifen erst, nachdem die kritische Verarbeitung bereits begonnen hat.

Technische Angaben und Handlungsempfehlungen: PHP-Sicherheitswarnung und CERT-EU Advisory 2026-018. Forschung zu Datenabfluss und weiteren Angriffswegen: PHP2Shell-Forschungsprojekt und Calif Research. Zu den Firewall-Regeln: Cloudflare.

Sie haben nur eine Nachricht darüber gelesen oder eine Website besucht

Daraus allein folgt kein Anlass, alle privaten und geschäftlichen Passwörter zu ändern. Beachten Sie konkrete Sicherheitsmeldungen des jeweiligen Dienstes. Ein kompromittierter Webserver kann allerdings manipulierte Inhalte ausliefern oder eingegebene Daten abfangen; Besucher können also indirekt betroffen sein.

Ihre Website verwendete eine verwundbare PHP-Version

Lassen Sie PHP aktualisieren und klären Sie mit dem Betreiber, ob eine Untersuchung auf Einbruchsspuren erforderlich ist. Die Versionsnummer allein beantwortet nicht, ob Zugangsdaten abgeflossen sind. Auch ohne sichtbaren Einbruch kann ein Speicherzugriff Daten offengelegt haben. Bei plausibler Offenlegung kann ein vorsorglicher Wechsel der betroffenen Zugänge sinnvoll sein, bevor ein Datendiebstahl bewiesen ist.

Ein Einbruch oder die Offenlegung von Zugangsdaten ist bekannt oder wird konkret vermutet

Beziehen Sie die zuständige Technik ein, sperren Sie gefährdete Zugänge und erneuern Sie die möglicherweise offengelegten Zugangsdaten abgestimmt mit der Bereinigung. Wurde dasselbe Passwort bei anderen Diensten verwendet, muss es auch dort ersetzt werden.

Bei einer möglichen Offenlegung geht es auch um die technischen Zugangsdaten der Website. In Konfigurationsdateien können Datenbankzugänge, Zugangsdaten für den Mailversand oder Schlüssel zu externen Diensten liegen. Die Prüfung muss diese Geheimnisse einbeziehen. Bereits angemeldete Sitzungen und gestohlene Zugangstokens müssen ebenfalls ungültig gemacht werden; ein neues Passwort beendet sie nicht in jedem System automatisch.

Für Besucher eines nachweislich kompromittierten Dienstes zählt die konkrete Lage. Haben Sie dort Zugangsdaten eingegeben oder informiert der Anbieter über einen möglichen Abfluss, folgen Sie dessen verifizierten Hinweisen und ändern Sie betroffene Passwörter. Öffnen Sie den Dienst über die bekannte Adresse statt über einen ungeprüften Link in einer Warnmail.

Die Zuordnung zu PHP2Shell ist eine redaktionelle Einordnung des beschriebenen Angriffswegs. Allgemeine Empfehlungen für tatsächliche Vorfälle: WordPress zur Wiederherstellung einer gehackten Website und NCSC zur Wiederherstellung gehackter Konten.

Wir prüfen den eingesetzten PHP-Stand, klären das weitere Vorgehen mit Ihrem Hostinganbieter und unterstützen bei Sicherheitsupdates und Funktionstests. Gibt es Hinweise auf einen möglichen Vorfall, besprechen wir die erforderliche Untersuchung und den Umgang mit betroffenen Zugangsdaten. Für die erste Anfrage genügen die Website-Adresse, der Hostinganbieter, soweit bekannt, und eine kurze Beschreibung Ihrer Situation.

Informationen zur laufenden Website-Betreuung und zur Einordnung der Leistungen im Beitrag Was kostet Website-Betreuung?.

PHP-Handbuch: Was PHP ist und wo es ausgeführt wird. Grundlagen zur Verarbeitung auf dem Server und zur Verwendung für Hintergrundaufgaben.

PHP-Projekt: Sicherheitswarnung und Releases vom 21. Oktober 2026. Offizielle Kennungen, korrigierte Versionen und Grenzen vorübergehender Gegenmaßnahmen.

CERT-EU: Critical Vulnerabilities in PHP, Advisory 2026-018. Betroffene Betriebsarten und Empfehlungen zum Update beziehungsweise zur vorübergehenden Isolation.

PHP2Shell-Forschungsprojekt von Wiz, OpenAI und Calif. Demonstrierte Angriffswege und das Auslesen sensibler Daten aus dem Arbeitsspeicher auch ohne vorherige Codeausführung.

Calif Research: A tale of two PHP remote vulnerabilities. Technische Untersuchung einschließlich anwendungsabhängiger Angriffswege gegen PHP-FPM.

Cloudflare: Schutzregeln gegen PHP2Shell. Zusätzlicher Schutz durch die Web Application Firewall und die weiterhin erforderliche Aktualisierung von PHP.

NCSC-NL: Operative Informationen zu PHP2Shell. Hinweise zu weiteren Produkten und eingebetteten PHP-Installationen. Die Sammlung wird laufend ergänzt.

Ubuntu: USN-8948-1. Konkrete Paketversionen als Beispiel dafür, dass ein zurückportierter Sicherheitsfix nicht an der PHP-Hauptversionsnummer allein erkennbar ist.

WordPress: FAQ My site was hacked. Allgemeine Hinweise zur Untersuchung, Bereinigung und Erneuerung von Website-Zugangsdaten nach einem Einbruch.

NCSC: Recovering a hacked account. Allgemeine Hinweise zu betroffenen und wiederverwendeten Passwörtern sowie zum Abmelden bestehender Sitzungen. Diese Empfehlung behandelt Kontoeinbrüche, nicht speziell PHP2Shell.