WordPress · PHP2Shell

Ist meine WordPress-Website von PHP2Shell betroffen?

Wahrscheinlich ja, sofern Ihr Hoster PHP nicht bereits gepatcht hat. WordPress war eines der öffentlichen Demo-Ziele, aber der Bug steckt in PHP — entscheidend ist also die PHP-Version Ihres Servers, nicht Ihre WordPress-Version oder Plugins.

Zuletzt geprüft 2026-10-22

Ein WordPress-Update behebt das nicht

PHP2Shell steckt in PHP selbst, unterhalb von WordPress. Forschende demonstrierten Remote Code Execution ohne Authentifizierung am offiziellen Image wordpress:latest. Entscheidend ist die PHP-Version Ihres Servers, und nur wer den Server betreibt, kann sie aktualisieren.

1. PHP-Version in WordPress finden

So sehen Sie das PHP, das Ihre Website tatsächlich ausliefert — und genau darauf kommt es an.

  1. Melden Sie sich in wp-admin an und öffnen Sie Werkzeuge → Website-Zustand.
  2. Wechseln Sie zum Tab Bericht und klappen Sie Server auf.
  3. Lesen Sie die PHP-Version ab (z. B. „8.3.6 (Supports 64bit values)“).
  4. Kein Admin-Zugang? Viele Hosting-Dashboards zeigen die PHP-Version pro Website.
Kommandozeile (zeigt das CLI-PHP — kann vom Webserver abweichen)
wp eval 'echo PHP_VERSION, PHP_EOL;'   # WP-CLI
php -v

2. Vergleichen

Fügen Sie eine Version, die Ausgabe von php -v oder eine Version pro Zeile für eine ganze Serverflotte ein. Läuft vollständig in Ihrem Browser.

Beispiele:

CLI und Webserver können unterschiedliche PHP-Builds verwenden. Prüfen Sie die Version, die Ihr Webserver tatsächlich nutzt: php-fpm -v (oder php-fpm8.3 -v) oder phpinfo() über die jeweilige Website.

BranchAnfälligBehoben in
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4alleNur Quellcode-Backport
5.4 – 7.3alleKein Fix

3. Patchen lassen

Shared- oder Managed-Hosting

Ihr Hoster patcht PHP. Wählen Sie im Hosting-Panel die neueste PHP-Version und lassen Sie sich Patch und Neustart bestätigen. Hosting-Anleitung →

Eigener Server, VPS oder Container

Sie (oder Ihr Entwickler) patchen PHP und starten PHP-FPM / Apache neu. Patch-Anleitung →

E-Mail an Ihren Hoster
Betreff: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — Patch-Status

Guten Tag,

bitte bestätigen Sie, dass die PHP-Laufzeit, auf der meine Website(s) <Domain>
laufen, auf ein Release aktualisiert wurde, das CVE-2026-109618 und
CVE-2026-109619 behebt (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 oder ein
Hersteller-Build mit dem Backport), und dass die PHP-FPM- / LSAPI-Worker
danach neu gestartet wurden.

Falls mein Konto auf PHP 8.1 oder älter läuft: Auf welche gepatchte Version
kann ich wechseln?

Vielen Dank und freundliche Grüße

Managed-WordPress-Hosting

Managed-WordPress-Hoster (etwa WP Engine, Kinsta, WordPress.com / Pressable, SiteGround) betreiben PHP für Sie, und die meisten patchen auf Plattformebene, ohne dass Sie etwas tun müssen. Automattic gehörte zu den Partnern, die vor der Offenlegung Hinweise vorbereitet haben.

Wir haben den Patch-Status nicht für jeden Hoster geprüft. Sehen Sie auf der Statusseite oder in den Support-Meldungen Ihres Hosters nach oder schicken Sie ihm die Nachricht oben.

Plugins und Themes

Kein Plugin verursacht oder behebt PHP2Shell. Plugins deaktivieren, das Theme wechseln oder wp-config.php härten ändert Ihre Angriffsfläche nicht. Ein Security-Plugin läuft erst, nachdem PHP den Request geparst hat — und dann ist es schon zu spät.

4. Nach dem Patch

  • Prüfen Sie die PHP-Version in WordPress erneut — sie sollte ein gepatchtes Release zeigen (oder lassen Sie sich einen zurückportierten Build vom Hoster bestätigen).
  • War die Website eine Weile exponiert, ändern Sie Admin-Passwörter und API-Schlüssel in der Website-Konfiguration und suchen Sie nach unbekannten Admin-Benutzern oder neuen PHP-Dateien. Erkennungs-Anleitung →

Fragen

Ist meine WordPress-Website von PHP2Shell betroffen?+

Wenn sie auf PHP älter als 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 läuft (und der Hoster kein gepatchtes Paket installiert hat): ja. Version, Theme und Erweiterungen von WordPress spielen keine Rolle — der Bug steckt in PHP.

Behebt ein WordPress-Update PHP2Shell?+

Nein. Updates von WordPress ändern die Anwendung, nicht die PHP-Laufzeit darunter. Halten Sie WordPress trotzdem aktuell, aber die Lösung ist ein PHP-Update durch den Betreiber Ihres Servers.

Braucht ein Angreifer ein Admin-Konto?+

Nein. Die demonstrierten Angriffe funktionieren vor der Authentifizierung: kein Login, kein spezielles Plugin oder Modul, nur HTTP-Requests an die Website.

Installieren die automatischen WordPress-Updates den PHP-Fix?+

Nein. Automatische Updates von WordPress-Core und Plugins berühren die PHP-Laufzeit nie. PHP wird von Ihrem Hoster oder Server-Admin aktualisiert.

Schützt mich ein Security-Plugin wie Wordfence?+

Security-Plugins laufen innerhalb von WordPress, nachdem PHP den Request bereits geparst hat — zu spät für diesen Bug. Sie können PHP2Shell nicht stoppen. Eine WAF vor der Website (z. B. Cloudflare) hilft mehr, die Lösung bleibt aber ein PHP-Update.

Ich betreibe WooCommerce. Ist es schlimmer?+

Das Risiko ist dasselbe, aber es steht mehr auf dem Spiel: Das Speicherleck kann Kunden-Sessions, Admin-Cookies und API-Schlüssel von Zahlungsanbietern im PHP-Speicher offenlegen. Tauschen Sie die Schlüssel des Zahlungsanbieters aus, wenn Sie eine Exposition vermuten.

Verwandte Seiten