PHP-Patch ist da: Alle Infos zu PHP2Shell

Am 21. Oktober 2026 schließt das PHP-Team zwei kritische Sicherheitslücken. Hier steht, was passiert ist und was Sie heute prüfen sollten.

Hinweis: Dieser Beitrag wurde mit Unterstützung von KI (Claude von Anthropic) recherchiert und erstellt. Stand: 22. Oktober 2026. Die Angaben beruhen auf den unten genannten Quellen.

Das Wichtigste in Kürze

Das PHP-Team hat zwei kritische Lücken (CVE-2026-109618 und CVE-2026-109619, je 9,2 von 10 Punkten) mit Updates geschlossen. Gefixt sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere Zweige wie 8.1 bekommen keine offiziellen Fixes. STRATO meldet, die Updates auf allen eigenen Plattformen eingespielt zu haben. Es gibt Berichte über Scans und erste Angriffe, deshalb sollten Sie die PHP-Version Ihrer Seite jetzt prüfen.

Welche Versionen sind gefixt?

PHP 8.5.12

Fix für alle Seiten mit PHP 8.5.

PHP 8.4.27

Fix für alle Seiten mit PHP 8.4.

PHP 8.3.36

Fix für alle Seiten mit PHP 8.3.

PHP 8.2.35

Fix für alle Seiten mit PHP 8.2.

Was ist seit dem 20. Oktober passiert?

Am 20. Oktober kündigte das PHP-Team ein kritisches Sicherheitsrelease an. Noch am selben Tag sind Details durchgesickert. Am 21. Oktober veröffentlichte das Team die Updates. Das BSI hat eine Warnung mit Kritikalität 3 (orange) herausgegeben. Beide Lücken liegen im PHP-Interpreter. Nach Angaben von Patchstack betrifft die eine den Umgang mit Speicherfehlern, die andere Anfragedaten, die nach der Freigabe im Speicher bleiben. Betroffen sind alle gängigen Betriebsarten wie PHP-FPM, mod_php und LiteSpeed.

Welche Versionen bekommen keinen Fix?

PHP 8.1 und älter werden vom PHP-Projekt nicht mehr unterstützt, deshalb gibt es dafür keine offiziellen Releases. Für 7.4, 8.0 und 8.1 hat das Team Quellcode-Korrekturen veröffentlicht, die vor allem für Selbstbauer gedacht sind. Manche Hoster und Distributionen liefern eigene Korrekturen. Wer eine alte Version nutzt, sollte beim Hoster nachfragen oder auf eine aktuelle Version umstellen.

Wie ist der Stand bei STRATO?

STRATO schreibt in einer Pressemitteilung vom 22. Oktober 2026, dass die Updates auf allen selbst betriebenen Plattformen eingespielt sind. Das gilt für Webhosting, Managed WordPress und MyWebsite. Vorher hat STRATO angepasste PHP-Konfigurationen und Firewall-Regeln aktiviert. Kunden mit diesen Produkten müssen laut STRATO nichts tun. Wer einen VPS oder Dedicated Server mit eigenem PHP betreibt, muss selbst aktualisieren. STRATO warnt außerdem vor Phishing-Mails, die sich auf die Lücken berufen.

Und bei anderen Hostern?

Laut einer Zusammenstellung eines Dienstleisters (Stand 22. Oktober, morgens) haben Hetzner, netcup und mittwald gepatcht. IONOS wollte die Updates innerhalb von etwa 24 Stunden einspielen. Diese Angaben ändern sich schnell. Prüfen Sie den aktuellen Stand bitte auf der Statusseite Ihres Hosters.

Gibt es schon Angriffe?

Ja, es gibt Berichte. Laut Patchstack meldeten Hosting-Partner aktive Ausnutzungsfälle, und Cloudflare sah früh Angriffsverkehr. Die Telemetrie von Patchstack zeigte zunächst vor allem Scans. Die Lücken stehen bisher nicht im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA. Rechnen Sie damit, dass sich die Lage schnell ändert.

Was Sie jetzt tun sollten

PHP-Version Ihrer Seite prüfen (mindestens 8.5.12, 8.4.27, 8.3.36 oder 8.2.35)
Beim Hoster nachfragen, ob der Patch eingespielt ist
Plugin- und WordPress-Updates schützen hier nicht, es braucht das PHP-Update auf dem Server
Auf Auffälligkeiten seit dem 20. Oktober achten: unbekannte Dateien, neue Administratoren, Spam von Ihrer Domain
Bei Verdacht Passwörter ändern und die Seite von Fachleuten prüfen lassen
Keine angeblichen „Fix“-Plugins aus unbekannter Quelle installieren

Quellen

Stand 22.10.2026. Quellen: Patchstack, Help Net Security, cms-admins.de, STRATO-Pressemitteilung, Hoster-Übersicht von hueske.digital.

PHP-Version prüfen lassen

Ich prüfe PHP-Version, Updates und Backups Ihrer Webseite. Die Pflege kostet 49 Euro im Monat.

oder per E-Mail: hello@webengineers-agency.de

Passend zu Ihrem Vorhaben

Alles, was Sie wissen möchten

Welche PHP-Version ist jetzt sicher?

PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer. Ältere Zweige wie 8.1 bekommen keine offiziellen Fixes.

Muss ich bei STRATO etwas tun?

Laut STRATO nicht, wenn Sie Webhosting, Managed WordPress oder MyWebsite nutzen. Bei einem VPS oder Dedicated Server müssen Sie selbst aktualisieren.

Schützt ein WordPress- oder Plugin-Update?

Nein. Die Lücke liegt in PHP auf dem Server. Entscheidend ist das PHP-Update.

Woran erkenne ich einen Angriff?

Hinweise sind unbekannte Dateien, neue Administratoren, Spam von Ihrer Domain oder fremde Weiterleitungen. Bei Verdacht Passwörter ändern und die Seite prüfen lassen.

Webseite planen? Sprechen wir darüber.

Schreiben Sie mir kurz, was Ihr Betrieb macht. Sie bekommen eine ehrliche Einschätzung und ein schriftliches Angebot. Kostenlos und unverbindlich.