Veröffentlicht in sicherheit, webserver.

Weltweite Kritische Sicherheitslücke in PHP (php2shell)

am 22.10.2026.

Die Sicherheitslücke „PHP2Shell“ versetzt die IT-Welt in Alarmbereitschaft: Da ein Großteil des Internets auf PHP basiert, stehen unzählige Websites und Onlineshops für Angreifer offen – ganz ohne Passwort. Warum die Schwachstelle so gefährlich ist und was jetzt sofort getan werden muss, erfährst du hier.

Welche Systeme sind betroffen?

Jeder Webserver, auf dem PHP läuft. Ob das System gefährdet ist und wer handeln muss, hängt davon ab, wie die Website betrieben wird:

1. Eigener Server (vServer, Dedicated Server, Root-Server)

Wer muss handeln? Du bzw. dein Administrator.

Wenn du einen eigenen Linux- oder Windows-Server betreibst, bist du selbst dafür verantwortlich, die PHP-Pakete über die Paketverwaltung des Betriebssystems (z. B. per apt update && apt upgrade) auf den neuesten Stand zu bringen, sobald der Patch da ist.

2. Normaler Webspace (Shared Hosting bei Strato, netcup, IONOS, ALL-INKL & Co.)

Wer muss handeln? Der Hosting-Anbieter. Die üblichen Webhoster haben bereits gestern sehr schnell die Updates installiert und ihre Kunden darüber informiert.

Hier liegt das größte Missverständnis: Ein Update von WordPress, Plugins oder Themes reicht diesmal nicht aus!

Stell dir deine Website wie eine Mietwohnung vor:

WordPress ist deine Möblierung.

PHP ist das Mauerwerk und das Fundament des ganzen Hauses, das der Vermieter (dein Hoster) gebaut hat.

Der Fehler liegt nicht in deinen Möbeln, sondern im Fundament. Selbst wenn du deine Wohnungstür dreifach abschließt und alle Möbel auf Hochglanz polierst (WordPress-Updates): Wenn die Außenmauer des Hauses ein Loch hat, kommt der Einbrecher trotzdem hinein.

Wie kann ich die PHP Version auf Linux Servern (Ubuntu/Debian) testen?

Der schnellste Weg um sich auf einem Linux Server die PHP Version anzeigen zu lassen, führt über:

php -v

Anschließend sollte folgende Ausgabe zu sehen sein, natürlich mit anderen Versionsnummern:

PHP 8.2.7 (cli) (built: Jun  9 2023 19:37:27) (NTS)
Copyright (c) The PHP Group
Zend Engine v4.2.7, Copyright (c) Zend Technologies

Über die System Updates können die neuen Versionen installiert werden:

sudo apt update && sudo apt --only-upgrade install "php*"

Nach der Installation sollten die PHP-Dienste neugestartet werden:

sudo systemctl restart 'php*-fpm'

Und anschließend sollte man genau prüfen, ob auch wirklich eine neue PHP-Version installiert wurde mit "php -v".

Auf der Webseite https://cms-admins.de gibt es eine Tabelle mit den betroffenen Versionen und welche Versionen den Patch beeinhalten. Zusätzlich verweise ich auf die BSI Meldung von gestern: https://www.bsi.bund.de/

Gerne beraten wir Sie und testen Ihre Webserver auf die php2shell Sicherheitslücke. Nutzen Sie unser Kontaktformular für eine unverbindliche Anfrage.