Einfach erklärt

Was ist PHP2Shell?

PHP2Shell sind zwei kritische Sicherheitslücken in PHP — der Software hinter den meisten Websites. Angreifer können damit ohne Passwort einen Webserver übernehmen. Es gibt einen Fix; das Risiko sind Server, die ihn nicht bekommen.

Zuletzt geprüft 2026-10-22

Die 30-Sekunden-Version

Was

Zwei Bugs (CVE-2026-109618, CVE-2026-109619) in der PHP-Engine, gefunden von Forschenden bei Wiz, OpenAI und Calif.

Warum es ernst ist

Kein Login nötig, funktioniert über das Internet, und PHP betreibt einen riesigen Teil des Webs — jede Website auf ungepatchtem PHP ist exponiert.

Was es behebt

PHP auf dem Server aktualisieren und neu starten. Das erledigt Ihr Hoster, Ihre IT oder Ihr Entwickler — nicht ein WordPress- oder Plugin-Update.

Ein Vergleich

Stellen Sie sich Ihre Website als Laden vor und PHP als das Gebäude, in dem er sich befindet. Die Ladentür abzuschließen (Passwörter, Plugins, Updates Ihrer Website) hilft nicht, wenn das Gebäude selbst einen kaputten Hintereingang hat. PHP2Shell ist dieser kaputte Eingang — der Eigentümer des Gebäudes (Ihr Hoster oder Server-Admin) muss ihn reparieren.

Was soll ich tun?

Wählen Sie, was auf Sie zutrifft.

Ich betreibe eine Website (WordPress, Shop, Vereinsseite…)

Finden Sie heraus, welche PHP-Version Ihre Website nutzt, und lassen Sie sich von Ihrem Hoster bestätigen, dass sie gepatcht ist. WordPress oder Plugins zu aktualisieren behebt es nicht.

Website prüfen →

Ich leite ein Team oder Unternehmen

Fragen Sie Ihre IT oder Agentur: „Wurden alle unsere PHP-Server für CVE-2026-109618 und CVE-2026-109619 aktualisiert und neu gestartet?“ Fragen Sie Dienstleister dasselbe zu Systemen, die sie für Sie betreiben.

Was die IT tun sollte →

Ich nutze Online-Dienste (HR, Lohn, Shops)

Meist nichts. Anbieter patchen ihre eigenen Server. Rechnen Sie mit kurzen Wartungsfenstern. Seien Sie vorsichtig mit Phishing-Mails, die diese Nachricht als Köder nutzen.

Wer vom Netz ging →

Ich arbeite im Journalismus oder bin einfach neugierig

Der Bug steckt in PHP selbst, der Fix erschien am 21. Oktober 2026, und das Hauptrisiko sind Server, die nie aktualisiert werden.

Wie es ablief →

Nachricht an Ihren Hoster oder Entwickler

E-Mail an Ihren Hoster

Betreff: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — Patch-Status

Guten Tag,

bitte bestätigen Sie, dass die PHP-Laufzeit, auf der meine Website(s) <Domain>
laufen, auf ein Release aktualisiert wurde, das CVE-2026-109618 und
CVE-2026-109619 behebt (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 oder ein
Hersteller-Build mit dem Backport), und dass die PHP-FPM- / LSAPI-Worker
danach neu gestartet wurden.

Falls mein Konto auf PHP 8.1 oder älter läuft: Auf welche gepatchte Version
kann ich wechseln?

Vielen Dank und freundliche Grüße

Woher der Name kommt

„Shell“ ist Hacker-Slang für die Kontrolle über einen Computer. Die Forschenden nannten ihr kombiniertes Exploit-Skript php2shell — von PHP zur Shell — und der Name blieb für die gesamte Forschung hängen. Er wird manchmal falsch als php4shell, pho2shell oder php2shel geschrieben und hat nichts mit „phpshell“-Webshell-Skripten zu tun.

Vergleichen Sie es mit Log4Shell?

Viele erinnern sich an die Log4j-Krise von 2021. So schneidet PHP2Shell im Vergleich ab →

Fragen

Was ist PHP2Shell, einfach gesagt?+

Zwei schwere Bugs in PHP, der Programmiersprache, auf der die meisten Websites laufen, darunter die meisten WordPress-Seiten. Ein Fremder im Internet kann damit einen Webserver übernehmen oder Geheimnisse aus dessen Speicher lesen, ohne sich anzumelden.

Was ist PHP?+

PHP ist die Sprache, die auf dem Webserver läuft und die Seiten von rund 70 % der Websites mit bekannter Serversprache erzeugt — WordPress, Drupal, Joomla, das MediaWiki der Wikipedia, viele Online-Shops und interne Firmen-Tools.

Was bedeutet RCE (Remote Code Execution)?+

Dass ein Angreifer Ihren Server Befehle seiner Wahl ausführen lassen kann, von überall im Internet. In der Praxis kann er dann Daten stehlen, Malware installieren, Ihre Website verändern oder sie für Angriffe auf andere nutzen.

Ist PHP2Shell dasselbe wie eine „PHP-Shell“ oder Webshell?+

Nein. Eine Webshell (oft phpshell genannt) ist ein bösartiges Skript, das ein Angreifer nach dem Einbruch hochlädt. PHP2Shell ist der Name der Schwachstelle — benannt nach dem Exploit-Skript php2shell der Forschenden —, mit der er so weit kommen könnte.

Ich nutze nur ein SaaS-Tool. Muss ich etwas tun?+

Meist nicht. Das Beheben ist Sache des Anbieters. Behalten Sie dessen Statusseite im Blick — manche, etwa BambooHR, gingen kurz vom Netz, um zu patchen — und ändern Sie Ihr Passwort nur, wenn Sie dazu aufgefordert werden.