Kurz gesagt: Am 21. Oktober 2026 hat das PHP-Team zwei kritische Sicherheitslücken geschlossen, die unter dem Namen php2shell bekannt geworden sind. Angreifer können damit ohne Passwort fremden Code auf einem Webserver ausführen. Sichere Updates gibt es nur für PHP 8.2, 8.3, 8.4 und 8.5. Wer eine ältere Version nutzt, bekommt keine offizielle Korrektur mehr – und PHP 8.2 erhält ab dem 1. Januar 2027 ebenfalls keine Sicherheitsupdates mehr.
Dieser Artikel richtet sich an alle, die eine Website, einen Onlineshop oder ein selbst programmiertes Tool betreiben und keine Entwickler sind. Du erfährst, was passiert ist, ob du betroffen bist und was du jetzt konkret tun solltest.
Was ist passiert?
PHP ist die Programmiersprache, mit der ein großer Teil aller Websites arbeitet: WordPress, Shopware, viele Kontaktformulare, Kundenportale und interne Firmentools. PHP läuft auf dem Server deines Hosters und erzeugt dort die Seiten, die Besucher sehen.
Sicherheitsforscher haben in PHP selbst zwei schwere Fehler gefunden (Kennungen CVE-2026-109618 und CVE-2026-109619). Beide wurden mit 9,2 von 10 Punkten als kritisch eingestuft. Der fehlerhafte Code steckt laut den Forschern schon seit PHP 5.4 aus dem Jahr 2012 in der Sprache.
Eigentlich war die Veröffentlichung der Updates für einen späteren Termin geplant. Weil Details zu den Lücken am 20. Oktober vorzeitig öffentlich wurden, hat das PHP-Team die Updates einen Tag früher herausgegeben. Der Sicherheitsdienstleister Cloudflare berichtet bereits von ersten Angriffsversuchen.
Was bedeutet das in einfachen Worten?
Stell dir deinen Webserver wie ein Bürogebäude vor. Normalerweise kommt nur hinein, wer einen Schlüssel hat – also ein Passwort oder einen Login. Die beiden Lücken sind wie eine defekte Tür, die sich mit einem bestimmten Trick ganz ohne Schlüssel öffnen lässt.
Ein Angreifer schickt dafür eine speziell präparierte Anfrage an deine Website. Klappt der Angriff, kann er auf dem Server eigene Befehle ausführen. Das kann bedeuten:
- Kundendaten, Bestellungen oder E-Mail-Adressen werden gestohlen.
- Auf deiner Website wird Schadsoftware oder Werbung für Betrugsseiten eingeschleust.
- Dein Server verschickt Spam oder greift andere Systeme an – und dein Hoster sperrt ihn.
- Zahlungsdaten im Checkout werden abgegriffen.
Wichtig: Es spielt keine Rolle, wie gut deine eigene Website programmiert ist. Der Fehler liegt in PHP selbst. Betroffen ist grundsätzlich jeder Server, der mit PHP Webseiten ausliefert.
Welche PHP-Versionen bekommen ein Update?
Das PHP-Team pflegt immer nur einige wenige Versionen. Nur diese bekommen die Korrektur als offizielles Update:
- PHP 8.5: sichere Version 8.5.12, Sicherheitsupdates bis 31.12.2029
- PHP 8.4: sichere Version 8.4.27, Sicherheitsupdates bis 31.12.2028
- PHP 8.3: sichere Version 8.3.36, Sicherheitsupdates bis 31.12.2027
- PHP 8.2: sichere Version 8.2.35, Sicherheitsupdates nur noch bis 31.12.2026
- PHP 7.4 bis 8.1: kein offizielles Update, Support bereits beendet
- PHP 5.4 bis 7.3: keine Korrektur, Support bereits beendet
Für PHP 7.4 bis 8.1 hat das PHP-Team nur Korrekturen im Quellcode bereitgestellt, also für Fachleute, die PHP selbst zusammenbauen. Das sind ausdrücklich keine offiziellen Updates. Einige Linux-Distributionen oder spezielle Anbieter liefern darauf aufbauend eigene Notfall-Pakete aus. Verlassen solltest du dich darauf nicht: Ob dein Hoster so etwas einspielt, musst du im Einzelfall erfragen.
Warum PHP 8.2 jetzt besonders wichtig ist
PHP 8.2 bekommt das aktuelle Update noch. Aber nur noch bis zum 31. Dezember 2026. Danach ist PHP 8.2 „End of Life“, kurz EOL. Das heißt: Wird im nächsten Jahr wieder eine Lücke gefunden, gibt es für PHP 8.2 keine Korrektur mehr.
Die aktuelle Lücke zeigt gut, wie das dann aussieht: Wer heute noch auf PHP 8.1 oder älter unterwegs ist, steht mit einer kritischen Lücke da und hat keine einfache Lösung. Genau in dieser Lage sind Websites auf PHP 8.2 ab Januar 2027.
Deshalb gilt: PHP 8.3 ist ab 2027 die Mindestversion, die noch Sicherheitsupdates erhält. Besser ist PHP 8.4 oder 8.5, weil du dann mehr Luft bis zum nächsten Wechsel hast.
Bin ich betroffen? So findest du es heraus
Du musst dafür kein Entwickler sein. Diese Schritte helfen dir weiter:
- Im Kundenbereich deines Hosters nachsehen: Bei den meisten Hostern findest du die PHP-Version in den Einstellungen deines Webspace oder deiner Domain, oft unter „PHP-Einstellungen“ oder „PHP-Version“.
- Den Hoster fragen: Schreib dem Support ganz konkret: „Welche PHP-Version läuft auf meinem Paket, und ist sie gegen CVE-2026-109618 und CVE-2026-109619 gepatcht?“
- Deinen Entwickler oder deine Agentur fragen: Wer die Website betreut, kann die genaue Version in wenigen Minuten prüfen.
Steht dort PHP 8.2, 8.3, 8.4 oder 8.5, ist die wichtigste Frage, ob das neue Update schon eingespielt ist. Bei klassischem Webhosting übernimmt das meistens der Hoster. Bei eigenen oder gemieteten Servern ist der Betreiber selbst zuständig.
Steht dort PHP 8.1 oder älter, ist deine Website gegen diese Lücke nicht offiziell abgesichert. Dann solltest du nicht abwarten.
Was du jetzt tun solltest
Wenn deine Website auf PHP 8.2 bis 8.5 läuft:
- Sorge dafür, dass das Update eingespielt wird (8.5.12, 8.4.27, 8.3.36 oder 8.2.35).
- Läufst du auf PHP 8.2, plane den Wechsel auf PHP 8.3 oder neuer schon jetzt – nicht erst im Dezember.
Wenn deine Website auf PHP 8.1 oder älter läuft:
- Lass prüfen, ob deine Website auf PHP 8.3 oder neuer umgestellt werden kann.
- Stell die PHP-Version nicht einfach im Hosting-Menü um. Ältere Skripte laufen auf neuen PHP-Versionen oft nicht mehr fehlerfrei: Formulare verschicken nichts mehr, Seiten bleiben weiß oder der Shop zeigt Fehlermeldungen.
- Frag deinen Hoster, ob er bis zur Umstellung zusätzliche Schutzmaßnahmen einsetzt.
Es gibt zwar Notlösungen über bestimmte Server-Einstellungen. Laut PHP-Team schließen sie die Lücke aber nicht vollständig. Das Update auf eine gepflegte Version ist die einzige vollständige Lösung.
Warum der Wechsel auf eine neue PHP-Version Arbeit macht
Jede neue PHP-Version räumt auf: Alte Funktionen fallen weg, manche Schreibweisen sind nicht mehr erlaubt, und Fehler, die früher still ignoriert wurden, führen jetzt zum Abbruch. Für Besucher sieht das dann zum Beispiel so aus:
- Eine Seite bleibt komplett weiß.
- Das Kontaktformular sendet nicht mehr.
- Im Shop funktionieren Warenkorb oder Bezahlung nicht.
- Ein altes Plugin oder Theme meldet Fehler.
Das betrifft vor allem Skripte, die vor vielen Jahren geschrieben und seitdem kaum angepasst wurden. Häufig sind es nur einzelne Stellen im Code, die geändert werden müssen. Man muss sie aber finden, anpassen und testen, bevor die neue Version live geschaltet wird.
Wie so ein Wechsel bei Shopware-Projekten abläuft, habe ich im Artikel PHP 8.3 und Shopware beschrieben. Für ältere, gewachsene Anwendungen gibt es außerdem meine Leistung Legacy-PHP-Software modernisieren.
Checkliste für Website-Betreiber
- PHP-Version herausfinden (Hosting-Kundenbereich, Hoster oder Entwickler).
- Bei PHP 8.2 bis 8.5: prüfen, ob die gepatchte Version läuft.
- Bei PHP 8.2: Umstieg auf PHP 8.3 oder neuer bis spätestens Ende 2026 einplanen.
- Bei PHP 8.1 oder älter: Umstellung auf PHP 8.3 oder neuer zeitnah prüfen lassen.
- PHP-Version nie ohne Test umstellen – am besten zuerst auf einer Kopie der Website.
- Danach regelmäßig nachsehen: Updates laufen nicht immer automatisch.
Häufige Fragen
Muss ich selbst etwas tun, wenn ich normales Webhosting habe?
Meistens spielt der Hoster das PHP-Update ein. Welche PHP-Version deine Website nutzt, entscheidest aber oft du selbst im Kundenbereich. Läuft dort eine alte Version, bekommt sie kein Update. Frag im Zweifel beim Hoster nach.
Ist meine WordPress- oder Shopware-Website betroffen?
Wenn sie auf einem Server mit PHP läuft, ja. Die Lücke liegt in PHP selbst, nicht in WordPress oder Shopware. Entscheidend ist, welche PHP-Version dein Server nutzt und ob sie schon das Update hat.
Reicht es, wenn ich die PHP-Version einfach umstelle?
Bei aktuellen, gepflegten Systemen klappt das oft. Bei älteren Skripten und Plugins drohen Fehler. Deshalb lieber zuerst auf einer Testumgebung prüfen oder prüfen lassen.
Was passiert, wenn ich auf PHP 8.2 bleibe?
Bis Ende 2026 bekommt PHP 8.2 noch Sicherheitsupdates. Ab dem 1. Januar 2027 nicht mehr. Jede danach entdeckte Lücke bleibt dann offen.
Offizielle Quellen
Mehr zu sicherem PHP-Code findest du in meinem Artikel Sicherheitslücken im PHP-Code vermeiden.