Das PHP-Team hat am 21. Oktober 2026 die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei kritische Lücken (CVE-2026-109618 und CVE-2026-109619), über die Angreifer ohne Anmeldung Code auf Webservern ausführen können. Weil PHP unter einem großen Teil aller Websites läuft – auch unter fast jeder WordPress-Seite –, haben Behörden, Städte und Unternehmen ihre Webauftritte vorsorglich abgeschaltet. Wer eine eigene Website betreibt, sollte heute prüfen, ob das Update beim Hoster angekommen ist.
Kurz erklärt
- Betroffen sind Webserver mit PHP, nicht Smartphones oder PCs von Privatnutzern.
- Die einzige vollständige Abhilfe ist das Update auf eine der neuen PHP-Versionen.
- Viele Ausfälle von Websites am 21. Oktober sind Vorsichtsmaßnahmen, keine Folge erfolgreicher Angriffe.
Was ist über PHP2Shell bekannt?
In Fachkreisen hat sich für die beiden Schwachstellen der Name „PHP2Shell“ eingebürgert – eine Anspielung auf Log4Shell aus dem Jahr 2021. Laut der Sicherheitsmitteilung auf php.net stecken die Fehler tief im Kern der Skriptsprache:
| Lücke | Was passiert |
|---|---|
| CVE-2026-109618 | Wenn PHP der Speicher ausgeht, kann die Verarbeitung einer Anfrage mitten in der Initialisierung abbrechen. Beim Aufräumen werden halbfertige Daten als gültig behandelt. |
| CVE-2026-109619 | Interner Zustand einer Anfrage bleibt erhalten, obwohl der zugehörige Speicher bereits freigegeben ist. Eine spätere Anfrage im selben Worker kann diese veralteten Daten nutzen. |
Das PHP-Team nennt als gefährdet alle Installationen, die Webanfragen verarbeiten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten schätzen die Entwickler das Risiko bei mod_php ein – dort lässt sich der Angriff mit einer einzigen Anfrage auslösen, bevor überhaupt Code der Website läuft. Das BSI führt beide Lücken mit einem CVSS-Wert von 9,2 von 10 und stuft sie als kritisch ein. Bestätigte Angriffe waren dem Amt zum Zeitpunkt der Warnung nicht bekannt, Berichte über bereits existierende Exploits allerdings schon.
Warum sind heute so viele Websites nicht erreichbar?
Das BSI hat Betreibern geraten, den Patch sofort einzuspielen und einen Webserver notfalls vorübergehend vom Internet zu trennen, bis das Update installiert ist. Dem sind viele gefolgt: Die Stadt Mainz etwa hat laut dpa ihr Portal mainz.de und mehrere Online-Dienste abgeschaltet, auch andere Kommunen, Hochschulen und Kliniken nahmen Angebote vom Netz. Für Besucher heißt das vor allem: Geduld. Termine und Anliegen laufen in solchen Fällen meist über Telefon und E-Mail weiter.
Als Nutzer müssen Sie auf Ihrem Smartphone oder PC nichts installieren. Die Lücke betrifft die Server, nicht Ihren Browser. Aufmerksam sollten Sie trotzdem sein: Ausnahmesituationen wie diese nutzen Betrüger gern für gefälschte „Sicherheitshinweise“ per Mail. Seriöse Anbieter verlangen in solchen Mails weder Passwörter noch Zahlungen. Woran Sie unseriöse Seiten erkennen, zeigt unser Beitrag zu Fake-Shops und Online-Betrug.
Eigene Website mit WordPress: So prüfen Sie die PHP-Version
- Melden Sie sich im WordPress-Dashboard an.
- Öffnen Sie Werkzeuge → Website-Zustand und wechseln Sie zum Reiter Bericht.
- Klappen Sie den Abschnitt Server auf und lesen Sie die Zeile PHP-Version ab.
- Vergleichen Sie die Nummer mit der Tabelle unten. Liegt sie darunter, fragen Sie beim Hoster nach oder stellen Sie im Kundenmenü (oft unter „PHP-Einstellungen“) auf die aktuelle Version um.
Ein Haken: Linux-Distributionen wie Debian oder Ubuntu spielen Sicherheitskorrekturen oft in ältere Versionsnummern ein („Backport“). Eine scheinbar alte Nummer kann also bereits abgesichert sein. Verlässlich ist hier nur die Auskunft des Hosters oder der Distribution. Das PHP-Team weist ausdrücklich darauf hin, dass Distributionen und LTS-Anbieter die Patches vorab erhalten haben.
| PHP-Zweig | Abgesicherte Version |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 und älter | kein offizielles Update – Hoster/LTS-Anbieter fragen oder wechseln |
Was tun, wenn das Update nicht sofort möglich ist?
Für ältere Versionen hat das PHP-Team ausnahmsweise minimale Quellcode-Korrekturen für PHP 7.4, 8.0 und 8.1 bereitgestellt – gedacht für Admins, die selbst kompilieren. Zusätzlich nennt die Mitteilung Einstellungen, die einzelne Angriffswege erschweren, etwa ein niedriger Wert für post_max_size. Die Entwickler betonen aber deutlich: Nur das Update macht eine Installation sicher, alle anderen Schritte verringern lediglich das Risiko. Wer einen eigenen Server betreibt und nicht zeitnah patchen kann, sollte der BSI-Empfehlung folgen und ihn vorübergehend vom Netz nehmen.
Nach dem Update gehört ein Neustart aller PHP-Prozesse dazu, also etwa PHP-FPM oder Apache – sonst laufen alte Worker mit dem fehlerhaften Code weiter. Ob ein Webhosting-Paket bereits umgestellt wurde, verraten viele Anbieter auf ihrer Statusseite.
Wie ordnet sich das ein?
Die Woche ist ohnehin voll mit Sicherheitsupdates: Erst vor Kurzem hat Google mit Chrome 156 insgesamt 353 Lücken geschlossen. Anders als dort liegt der Ball bei PHP2Shell aber nicht bei den Nutzern, sondern bei Hostern und Website-Betreibern. Für sie ist der 21. Oktober ein Tag, an dem sich das Update nicht aufschieben lässt.
