Joomla · PHP2Shell

Ist meine Joomla-Website von PHP2Shell betroffen?

Wahrscheinlich ja, sofern Ihr PHP nicht bereits gepatcht ist. Joomla war eines von drei öffentlichen Demo-Zielen, aber der Bug steckt in PHP — Ihre Joomla-Version und Erweiterungen ändern nichts an der Antwort.

Zuletzt geprüft 2026-10-22

Ein Joomla-Update behebt das nicht

PHP2Shell steckt in PHP selbst, unterhalb von Joomla. Forschende demonstrierten Remote Code Execution ohne Authentifizierung am offiziellen Image joomla:latest. Entscheidend ist die PHP-Version Ihres Servers, und nur wer den Server betreibt, kann sie aktualisieren.

1. PHP-Version in Joomla finden

So sehen Sie das PHP, das Ihre Website tatsächlich ausliefert — und genau darauf kommt es an.

  1. Melden Sie sich im Administrator-Bereich an.
  2. Öffnen Sie System → Systeminformationen.
  3. Lesen Sie im Tab Systeminformationen die PHP-Version ab.
Kommandozeile (zeigt das CLI-PHP — kann vom Webserver abweichen)
php -v
php cli/joomla.php --version   # Joomla 4/5 console (shows the Joomla version)

2. Vergleichen

Fügen Sie eine Version, die Ausgabe von php -v oder eine Version pro Zeile für eine ganze Serverflotte ein. Läuft vollständig in Ihrem Browser.

Beispiele:

CLI und Webserver können unterschiedliche PHP-Builds verwenden. Prüfen Sie die Version, die Ihr Webserver tatsächlich nutzt: php-fpm -v (oder php-fpm8.3 -v) oder phpinfo() über die jeweilige Website.

BranchAnfälligBehoben in
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4alleNur Quellcode-Backport
5.4 – 7.3alleKein Fix

3. Patchen lassen

Shared- oder Managed-Hosting

Ihr Hoster patcht PHP. Wählen Sie im Hosting-Panel die neueste PHP-Version und lassen Sie sich Patch und Neustart bestätigen. Hosting-Anleitung →

Eigener Server, VPS oder Container

Sie (oder Ihr Entwickler) patchen PHP und starten PHP-FPM / Apache neu. Patch-Anleitung →

E-Mail an Ihren Hoster
Betreff: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — Patch-Status

Guten Tag,

bitte bestätigen Sie, dass die PHP-Laufzeit, auf der meine Website(s) <Domain>
laufen, auf ein Release aktualisiert wurde, das CVE-2026-109618 und
CVE-2026-109619 behebt (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 oder ein
Hersteller-Build mit dem Backport), und dass die PHP-FPM- / LSAPI-Worker
danach neu gestartet wurden.

Falls mein Konto auf PHP 8.1 oder älter läuft: Auf welche gepatchte Version
kann ich wechseln?

Vielen Dank und freundliche Grüße

Managed-Joomla-Hosting

Die meisten Joomla-Websites laufen auf Shared-Hosting mit cPanel, Plesk oder DirectAdmin. Wechseln Sie im Panel auf die neueste PHP-Version und lassen Sie sich den gepatchten Build vom Hoster bestätigen. Den Status einzelner Hoster haben wir nicht geprüft.

4. Nach dem Patch

  • Prüfen Sie die PHP-Version in Joomla erneut — sie sollte ein gepatchtes Release zeigen (oder lassen Sie sich einen zurückportierten Build vom Hoster bestätigen).
  • War die Website eine Weile exponiert, ändern Sie Admin-Passwörter und API-Schlüssel in der Website-Konfiguration und suchen Sie nach unbekannten Admin-Benutzern oder neuen PHP-Dateien. Erkennungs-Anleitung →

Fragen

Ist meine Joomla-Website von PHP2Shell betroffen?+

Wenn sie auf PHP älter als 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 läuft (und der Hoster kein gepatchtes Paket installiert hat): ja. Version, Theme und Erweiterungen von Joomla spielen keine Rolle — der Bug steckt in PHP.

Behebt ein Joomla-Update PHP2Shell?+

Nein. Updates von Joomla ändern die Anwendung, nicht die PHP-Laufzeit darunter. Halten Sie Joomla trotzdem aktuell, aber die Lösung ist ein PHP-Update durch den Betreiber Ihres Servers.

Braucht ein Angreifer ein Admin-Konto?+

Nein. Die demonstrierten Angriffe funktionieren vor der Authentifizierung: kein Login, kein spezielles Plugin oder Modul, nur HTTP-Requests an die Website.

Schützt mich eine Joomla-Security-Erweiterung?+

Nein. Erweiterungen laufen innerhalb von Joomla, nachdem PHP den Request bereits geparst hat — der anfällige Code läuft davor. Eine WAF vor der Website hilft; das PHP-Update behebt es.

Ich bin noch auf Joomla 3. Was nun?+

Joomla-3-Websites laufen oft auf PHP 7.4 oder 8.0, die kein neues PHP-Release erhalten. Bitten Sie Ihren Hoster als Notlösung um einen zurückportierten Build und planen Sie den Wechsel auf Joomla 5 mit PHP 8.4 oder 8.5.

Verwandte Seiten