php2shell: Warum jetzt fast jede Website-Betreiberin handeln sollte

Am 21. Oktober wurden zwei Schwachstellen in PHP öffentlich, zusammen „php2shell" genannt. Das klingt nach einem Nischenthema für Entwickler, betrifft aber fast jede Website-Betreiberin. Der Grund: PHP treibt rund 70 Prozent aller Websites an, darunter WordPress und Magento. Die Lücke sitzt im Fundament, nicht in einem Plugin. Hier die ruhige, klare Einordnung und was du jetzt tun solltest.

Was ist php2shell?

php2shell steht für zwei Sicherheitslücken in PHP, geführt als CVE-2026-109618 und CVE-2026-109619, offengelegt am 21. Oktober 2026 unter anderem von den Sicherheitsfirmen Wiz, OpenAI und Quarkslab. Betroffen sind laut Cloudflare alle Webserver, die PHP ab Version 5.4 einsetzen, also praktisch jede nicht brandaktuell gepflegte Installation. Über speziell präparierte Anfragen kann ein Angreifer im schlimmsten Fall den Server lahmlegen, fremden Code ausführen (Remote Code Execution) oder sensible Daten abgreifen.

Technisch stecken die Fehler im Speichermanagement von PHP: Unter bestimmten Bedingungen greift PHP auf Speicher zu, der nicht mehr gültig oder noch nicht sauber initialisiert ist. Das Entscheidende für dich ist nicht das Detail, sondern wo der Fehler sitzt.

Warum das fast jeden betrifft

PHP ist die unsichtbare Basis eines Großteils des Webs. Nach den Zahlen von W3Techs laufen rund 70 Prozent aller Websites darauf, und die bekanntesten Systeme bauen darauf auf: WordPress, das meistgenutzte Content-System, und Magento, eine der großen Shop-Plattformen. Wenn deine Seite auf einem dieser Systeme läuft, läuft darunter PHP.

Und hier kommt der wichtigste Punkt: Die Lücke steckt in PHP selbst, nicht in einem Plugin oder Theme. Das heißt, ein Update deiner WordPress-Erweiterungen oder deines Shop-Templates behebt das Problem nicht. Aktualisiert werden muss die PHP-Software auf dem Server. Wer das verwaltet, entscheidet, wer jetzt handeln muss.

Was das für deine Website heißt, auch wenn sie modern gebaut ist

Viele Unternehmen wissen gar nicht genau, was unter der Haube ihrer Website läuft. Egal, ob die Seite von einer Agentur gebaut wurde, aus einem Baukasten stammt oder mit KI-Hilfe entstanden ist: Die entscheidende Frage ist, wer das PHP-Fundament darunter aktuell hält. Gerade bei Seiten, die man einmal bauen ließ und seitdem nicht mehr angefasst hat, bleibt diese Pflege oft liegen.

Ein kleiner Trost und zugleich eine Lehre: Nicht jede Website läuft auf PHP. Moderne, oft mit KI gebaute Seiten nutzen häufig andere Technik. Meine eigene Seite zum Beispiel läuft hinter Cloudflare und ist durch deren Standardschutz bereits abgedeckt. Aber genau das ist der Punkt: Du musst wissen, worauf deine Seite läuft, um zu wissen, ob du betroffen bist. Dieses Nicht-Wissen ist das eigentliche Risiko.

Was du jetzt konkret tun solltest

Kein Grund zur Panik, aber ein klarer Anlass zum Handeln. Diese Schritte helfen:

• Herausfinden, worauf deine Seite läuft: Nutzt du WordPress, Magento oder ein anderes PHP-System? Im Zweifel fragst du deine Agentur oder deinen Hoster.
• PHP aktualisieren lassen: Das ist der eigentliche Fix. Wenn dein Hoster PHP verwaltet, bitte ihn, das Sicherheitsupdate einzuspielen. Verweise auf den offiziellen PHP-Advisory.
• Schutz vorschalten: Eine Web Application Firewall federt ab. Cloudflare hat nach eigenen Angaben eine Standardregel ausgerollt, die Kunden mit dem Managed Ruleset automatisch schützt. Das ersetzt das Update aber nicht, es ergänzt es.
• Angriffsfläche verkleinern: Unnötige Datei-Uploads deaktivieren und Upload-Größen begrenzen reduziert laut Cloudflare das Risiko zusätzlich.
• Dranbleiben: Dem offiziellen PHP-Advisory folgen und das Update zeitnah einspielen, nicht aufschieben.

Meine Einordnung

php2shell ist kein KI-Thema im engeren Sinn, aber es trifft einen Nerv, über den ich oft spreche. Eine Website zu bauen ist heute einfach, ob mit Agentur, Baukasten oder KI. Sie sicher und aktuell zu halten, ist die eigentliche Arbeit, und die wird gern vergessen. Ein Werkzeug, das einmal läuft, ist noch kein Prozess, der gepflegt wird. Das gilt für Websites genauso wie für KI im Unternehmen, wie ich es in Warum Nutzung noch keine Wirkung bedeutet beschrieben habe.

Mein Rat: Nimm diese Meldung als Anlass, einmal zu klären, wer dein technisches Fundament pflegt, bei der Website und bei deinen Tools. Wenn niemand die Antwort kennt, ist das die eigentliche Baustelle.

Übrigens: Wenn du unsicher bist, worauf deine Seite läuft oder wie du Website und KI-Tools sauber und sicher betreibst, erreichst du mich für ein kostenloses Erstgespräch einfach über das Kontaktformular. Lass uns unverbindlich austauschen, ich freue mich.

Hinweis: Dieser Beitrag ist eine allgemeine Einordnung und kein Sicherheits- oder Rechtsrat. Maßgeblich sind der offizielle PHP-Advisory und die Hinweise deines Hosters. Im Zweifel ziehe fachkundige IT-Sicherheitsberatung hinzu.

Häufige Fragen

Was ist php2shell?

php2shell ist der Name für zwei am 21. Oktober 2026 offengelegte Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619). Sie betreffen Server mit PHP ab Version 5.4 und können Denial of Service, das Ausführen von fremdem Code und den Abfluss sensibler Daten ermöglichen.

Bin ich betroffen?

Wenn deine Website auf PHP läuft, also zum Beispiel auf WordPress oder Magento, mit hoher Wahrscheinlichkeit ja. PHP treibt rund 70 Prozent aller Websites an. Im Zweifel frage deine Agentur oder deinen Hoster, welche PHP-Version im Einsatz ist.

Reicht ein Update meiner Plugins oder meines Themes?

Nein. Die Lücke steckt im PHP-Runtime selbst, nicht in einem Plugin oder Theme. Aktualisiert werden muss die PHP-Software auf dem Server. Verwaltet dein Hoster PHP, muss er das Sicherheitsupdate einspielen.

Meine Seite wurde mit KI oder einem Baukasten gebaut, bin ich sicher?

Nicht automatisch sicher und nicht automatisch betroffen. Es kommt darauf an, worauf die Seite technisch läuft. Manche modernen Baukästen nutzen kein PHP, viele Seiten aber doch. Entscheidend ist, dass du weißt, worauf deine Seite läuft, und wer das Fundament pflegt.

Schützt mich Cloudflare?

Cloudflare hat nach eigenen Angaben eine Standard-Firewallregel ausgerollt, die Kunden mit dem Managed Ruleset automatisch gegen php2shell schützt. Das ist eine zusätzliche Schutzschicht, ersetzt aber nicht das PHP-Update. Beides zusammen ist der sichere Weg.