Aktuelle Warnung

PHP2Shell: Was die kritischen PHP-Lücken für WordPress-Seiten bedeuten

Von Lucas Weber, CyberSec42 · Stand 22.10.2026

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, CVE-2026-109618 und CVE-2026-109619, bekannt als „PHP2Shell“. Betroffen ist jede Website, die auf einer PHP-Version unterhalb von 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 läuft, also auch die meisten WordPress-Seiten. Die Abhilfe ist ein PHP-Update, in der Regel beim Hoster. Dieser Artikel zeigt, wie Sie in wenigen Minuten selbst prüfen, ob Ihre Seite schon gepatcht ist, und welche Angriffsflächen WordPress auch nach dem Update noch hat.

Kurz gefasst.

Zwei Lücken in PHP selbst, beide mit CVSS 4.0 von 9.2 bewertet. Sie können zur Ausführung von Schadcode auf dem Webserver führen, ohne Anmeldung.
Gepatcht sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. PHP 8.1 und älter erhält keine offiziellen Releases mehr.
Laut BSI (Stand 21.10.2026) sind bestätigte Angriffe noch nicht bekannt, es gibt aber unbestätigte Berichte über existierende Exploits.
Die tatsächlich laufende PHP-Version sehen Sie zuverlässig in WordPress unter Werkzeuge, Website-Zustand. Das Hosting-Panel kann eine andere Version anzeigen.
Das PHP-Update schließt diese eine Lücke. Plugins, Benutzerkonten und offene Schnittstellen bleiben eigene Angriffsflächen.

Was passiert ist

Am 20. Oktober 2026 gelangten Details zu zwei bis dahin unveröffentlichten PHP-Lücken vorzeitig an die Öffentlichkeit. Das PHP-Projekt kündigte daraufhin für den 21. Oktober, 14:00 Uhr UTC, Sicherheitsupdates an und veröffentlichte sie mit zwei Advisories. Das BSI gab am selben Tag eine Cybersicherheitswarnung heraus: „PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit“.

Technisch handelt es sich um zwei Fehler in der Speicherverwaltung von PHP:

CVE-2026-109618 („RCE via OOM corruption“). Läuft PHP an einer bestimmten Stelle in einen Speichermangel, bleibt Anfrage-Speicher in einem ungültigen Zustand zurück. Ein Angreifer kann diesen Zustand gezielt herbeiführen, etwa über präparierte Datei-Uploads (Multipart-Anfragen). Unter Apache mit mod_php passiert das laut PHP-Advisory, bevor überhaupt Code der Anwendung läuft. Für PHP-FPM hält das Advisory die Lücke nach Quellcode-Analyse ebenfalls für ausnutzbar, ein vollständiger Exploit ist dort nicht gezeigt.
CVE-2026-109619 („RCE via stale global state“). PHP-Prozesse bedienen nacheinander viele Anfragen. Bleibt Zustand aus einer Anfrage hängen, kann eine spätere Anfrage im selben Prozess auf bereits freigegebenen Speicher zugreifen. Mit präziser Vorbereitung führt auch das zur Codeausführung.

Beide Lücken sind nicht trivial auszunutzen, der CVSS-Vektor weist hohe Angriffskomplexität und Voraussetzungen aus. Beruhigen sollte das nicht: Sobald ein Patch öffentlich ist, lässt er sich analysieren, und der Weg zum funktionierenden Angriff wird kürzer.

Welche Versionen betroffen sind

PHP-Zweig	Betroffen	Gepatcht ab
8.5	unter 8.5.12	8.5.12
8.4	unter 8.4.27	8.4.27
8.3	unter 8.3.36	8.3.36
8.2	unter 8.2.35	8.2.35
8.1 und älter	keine offiziellen Releases mehr	Wechsel auf einen unterstützten Zweig

Eine Ausnahme gibt es: Linux-Distributionen und manche Hoster spielen Korrekturen in ältere Versionsnummern zurück. Eine Versionsnummer unterhalb der Tabelle heißt dort nicht zwingend „ungepatcht“. Klarheit gibt nur die Auskunft des Hosters zu genau Ihrem Paket.

So prüfen Sie Ihre WordPress-Seite selbst

In WordPress nachsehen

Werkzeuge, Website-Zustand, Reiter „Bericht“, Abschnitt „Server“. Dort steht die PHP-Version, mit der Ihre Seite gerade tatsächlich läuft. Das ist die verlässlichste Angabe.

Mit dem Hosting-Panel vergleichen

Zeigt das Panel eine andere Version als WordPress, gewinnt WordPress. In unserer Praxis kam das vor: Eine Zeile in der .htaccess hatte die im Panel eingestellte Version überstimmt.

„Automatische Updates“ genau lesen

Bei manchen Hostern heißt das nur Updates innerhalb eines Zweigs. Eine Seite auf 8.1 bleibt dann auf 8.1, und dieser Zweig bekommt keine offiziellen Korrekturen mehr.

Nach dem Wechsel die Seite prüfen

Startseite, Kontaktformular, Shop oder Buchungsstrecke einmal durchklicken. Ein Wechsel des PHP-Zweigs kann ältere Plugins stören.

Auf Spuren achten

Neue Administratorkonten, unbekannte PHP-Dateien im Upload-Ordner, neue geplante Aufgaben und ungewohnte Weiterleitungen sind Warnzeichen, nach denen Sie unabhängig von dieser Lücke regelmäßig sehen sollten.

Von außen ist die Version oft nicht zu sehen. Viele Server senden sie nicht mit, und ein Seiten-Cache kann die Angabe auf der Startseite verschlucken, während andere Pfade sie noch zeigen. Eine Außenprüfung kann deshalb drei Ergebnisse haben: gepatcht, nicht gepatcht oder von außen nicht feststellbar. Im dritten Fall hilft nur der Blick nach innen.

mod_php oder FPM: wie stark Ihre Seite exponiert ist

Wie leicht sich CVE-2026-109618 ausnutzen lässt, hängt laut PHP-Advisory davon ab, wie PHP an den Webserver angebunden ist. Diese Anbindung heißt SAPI, und WordPress zeigt sie an derselben Stelle wie die Version: Werkzeuge, Website-Zustand, Bericht, Server, Zeile „PHP SAPI“.

Anzeige „PHP SAPI“	Bedeutung	Einordnung laut PHP-Advisory
`apache2handler`	Apache mit mod_php	Am stärksten exponiert: Der Fehler wird ausgelöst, bevor Code der Anwendung läuft.
`fpm-fcgi`	PHP-FPM	Nach Quellcode-Analyse ebenfalls angreifbar, ein vollständiger Exploit ist nicht gezeigt.
andere, z. B. `litespeed`, `cgi-fcgi`	LiteSpeed, CGI/FastCGI	Im Advisory nicht eigens bewertet.

Die Tabelle hilft beim Priorisieren, wenn Sie mehrere Seiten betreuen. Sie ist kein Grund, ein Update aufzuschieben: CVE-2026-109619 hängt nicht an dieser Unterscheidung, und gepatcht ist nur, wer die gepatchte Version fährt.

Verdacht auf einen Einbruch: die ersten Schritte

War Ihre Seite länger ungepatcht und sehen Sie Auffälligkeiten, gilt eine einfache Reihenfolge. Erst sichern, dann aufräumen, sonst gehen die Spuren verloren, die zeigen, was passiert ist.

Seite vom Netz nehmen oder in den Wartungsmodus schalten

So greift der Angreifer nicht weiter zu, und Besucher bekommen keinen Schadcode ausgeliefert.

Spuren sichern, bevor etwas gelöscht wird

Webserver- und PHP-Logs, eine vollständige Kopie der Dateien und einen Datenbank-Export. Viele Hoster löschen Logs nach wenigen Tagen.

Nach den typischen Hinterlassenschaften suchen

Neue Administratorkonten, PHP-Dateien im Upload-Ordner, kürzlich geänderte Dateien in Plugins, Themes und mu-plugins, neue geplante Aufgaben, geänderte .htaccess.

Alle Zugangsdaten wechseln

WordPress-Konten, Datenbank, FTP/SFTP, Hosting-Panel, API-Schlüssel und die Sicherheitsschlüssel (Salts) in der wp-config.php. Ein Passwort, das auf dem kompromittierten Server lag, gilt als bekannt.

Auf einen sauberen Stand zurückgehen

Am sichersten ist ein Backup von vor dem Angriff, danach sofort alle Updates. Eine Bereinigung des laufenden Systems ist möglich, aber fehleranfällig: Eine übersehene Hintertür reicht.

Prüfen, ob Meldepflichten bestehen

Hatte der Angreifer Zugriff auf personenbezogene Daten, etwa aus Kontaktformularen oder Kundenkonten, kann eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden nötig sein (Art. 33 DSGVO). Das klären Sie mit Ihrem Datenschutzbeauftragten.

Was WordPress auch nach dem PHP-Update angreifbar macht

PHP2Shell ist eine Lücke im Fundament. Die meisten erfolgreichen Angriffe auf WordPress-Seiten laufen aber über andere Stellen, und die bleiben nach dem Update unverändert. Den vollständigen Überblick gibt unser Leitfaden WordPress absichern.

Plugins und ihre Lieferkette

Wenige Tage vor PHP2Shell wurden über den offiziellen Download- und Update-Weg des Premium-Plugins Rank Math PRO manipulierte Kopien von Version 3.0.123 ausgeliefert, im Zeitfenster vom 15. auf den 16. Oktober 2026 (CVE-2026-111862, CVSS 9.8). Wer das Plugin in diesem Fenster aktualisiert hat, bekam eine Hintertür. Wichtig: Das Folge-Update auf 3.0.124 entfernt die eingeschleusten Dateien, Konten und Aufgaben nicht. Ein Update ist keine Bereinigung.

Veraltete Plugins und Themes

Jedes installierte Plugin ist zusätzlicher Code mit eigenen Lücken, auch wenn es deaktiviert ist. Was nicht gebraucht wird, gehört gelöscht, nicht nur abgeschaltet.

Offene Benutzernamen

In der Grundeinstellung verrät WordPress über die REST-Schnittstelle und Autorenseiten die Anmeldenamen der Redakteure. Angreifer brauchen dann nur noch das Passwort.

Die Anmeldung selbst

Administratorkonten ohne zweiten Faktor und gemeinsam genutzte Zugänge sind der kürzeste Weg ins System. Dazu gehört auch xmlrpc.php, eine ältere Schnittstelle, über die sich viele Passwörter in einer einzigen Anfrage durchprobieren lassen.

Ausgelaufene Software beim Hoster

PHP-Zweige, Datenbank- und Serverversionen ohne Sicherheitsupdates fallen oft erst auf, wenn eine Warnung wie diese kommt.

Backups ohne Wiederherstellungsprobe

Nach einem Vorfall wie bei Rank Math ist ein sauberer Stand von vor dem Angriff der schnellste Weg zurück. Ob er funktioniert, zeigt erst eine geübte Wiederherstellung.

Wie wir dabei unterstützen

Für Unternehmen, die nicht selbst nachsehen wollen oder können, bieten wir einen kostenlosen Außen-Kurzcheck an. Dabei werten wir nur aus, was Ihre Seite ohnehin öffentlich ausliefert: die PHP-Version, sofern sichtbar, ob Benutzernamen abrufbar sind, ob xmlrpc.php erreichbar ist und welche Software-Stände nach außen erkennbar sind. Es gibt keine Angriffe, keine Lasttests und keinen Zugriff auf Ihr System. Sie erhalten eine kurze schriftliche Einordnung, auch mit dem Ergebnis „von außen nicht feststellbar“, wenn das der ehrliche Stand ist.

Wer weiter gehen will, bekommt eine Härtung und Prüfung im schriftlich vereinbarten Umfang: Plugin-Bestand und Updatewege, Benutzer- und Rechtekonzept, Anmeldung mit zweitem Faktor, Schnittstellen, Hoster-Konfiguration und eine Wiederherstellungsprobe des Backups.

Ist Ihre Seite schon gepatcht?

Nennen Sie uns im Formular Ihre Domain und das Stichwort „PHP2Shell“. Wir melden uns mit dem Ergebnis des kostenlosen Außen-Kurzchecks.

Kurzcheck anfragen

Der Kurzcheck wertet ausschließlich öffentlich ausgelieferte Informationen aus und ersetzt keine vollständige Sicherheitsprüfung. CyberSec42 ist eine unabhängige technische Sicherheitsprüfung, keine akkreditierte Zertifizierungsstelle und keine Rechtsberatung.

Häufige Fragen

Ist meine WordPress-Seite von PHP2Shell betroffen?

Wenn sie auf PHP unterhalb von 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 läuft und Ihr Hoster keine eigene Korrektur eingespielt hat, ja. Die laufende Version sehen Sie in WordPress unter Werkzeuge, Website-Zustand, Bericht, Server.

Reicht ein WordPress-Update?

Nein. Die Lücken stecken in PHP, nicht in WordPress. Abhilfe schafft nur eine gepatchte PHP-Version auf dem Server, die Sie in der Regel im Hosting-Panel einstellen oder beim Hoster anfragen.

Was mache ich mit PHP 8.1 oder älter?

Auf einen unterstützten Zweig wechseln, am besten 8.3 oder neuer, und danach die Seite durchklicken. Für 8.1 und ältere Versionen gibt es keine offiziellen PHP-Releases mehr.

Wird die Lücke schon ausgenutzt?

Laut BSI-Warnung vom 21.10.2026 sind bestätigte Angriffe nicht bekannt, es gibt aber unbestätigte Berichte über existierende Exploits. Die Lage kann sich schnell ändern, deshalb lohnt das Update ohne Abwarten.

Was prüft der kostenlose Kurzcheck?

Nur, was Ihre Seite öffentlich ausliefert: PHP-Version sofern sichtbar, abrufbare Benutzernamen, Erreichbarkeit von xmlrpc.php und erkennbare Software-Stände. Es gibt keine Angriffe und keinen Zugriff auf Ihr System.