PHP2Shell: Ist deine WordPress-Website betroffen?

Das Wichtigste in Kürze

• PHP2Shell sind zwei kritische Lücken in PHP (CVE-2026-109618, CVE-2026-109619, CVSS v4.0 9,2), geschlossen am 21. Oktober 2026.
• Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer; PHP 8.1 und älter bekommt keinen Patch mehr.
• WordPress zeigt dir die PHP-Version im Website-Zustand, ohne dass du etwas installieren musst.
• Der Wechsel der PHP-Version passiert meist im Hosting-Panel; vorher ein Backup, danach Plugins und Theme testen.
• Als Übergangslösung empfehlen die Sicherheitsberichte, session.upload_progress.enabled auf 0 zu setzen.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei Sicherheitslücken in PHP selbst, der Programmiersprache, auf der WordPress läuft: CVE-2026-109618 und CVE-2026-109619. Laut den Sicherheitsberichten können sie es Angreifern ermöglichen, aus der Ferne Code auf dem Server auszuführen. Die Schwere ist mit CVSS v4.0 9,2 bewertet, also kritisch. Die PHP-Entwickler haben die Lücken am 21. Oktober 2026 geschlossen.

Wichtig für dich: Es ist keine Lücke in WordPress, in einem Plugin oder in deinem Theme. Es geht um die PHP-Version deines Hostings. Deshalb hilft ein WordPress-Update allein nicht, wenn darunter ein altes PHP läuft.

Welche PHP-Versionen sind sicher?

Läuft deine Website auf PHP 7.4 oder 8.0, was bei älteren WordPress-Installationen noch vorkommt, gibt es keine korrigierte Fassung. Hier hilft nur der Umstieg auf einen aktuellen Zweig.

So prüfst du deine PHP-Version in WordPress

1. Melde dich in WordPress an und öffne Werkzeuge → Website-Zustand.
2. Wechsle auf den Reiter Bericht (in manchen Versionen „Info“).
3. Klappe den Abschnitt Server auf. Dort steht die PHP-Version, zum Beispiel „8.3.36“.

Ohne Login kannst du einen ersten Hinweis von außen bekommen: Der kostenlose PHP-Check von EA Digital Solutions liest, welche PHP-Version eine Website nach außen meldet. Viele Hoster blenden diese Angabe aus; dann sagt das Ergebnis nichts. Verlässlich ist nur der Blick in WordPress oder ins Hosting-Panel.

Was du jetzt tun solltest

1. Backup anlegen

Bevor du etwas umstellst, sicherst du Dateien und Datenbank. Die meisten Hoster bieten das im Panel mit einem Klick an, sonst ein Backup-Plugin.

2. PHP-Version im Hosting umstellen

Bei den üblichen Hostern wählst du die PHP-Version im Kundenbereich, oft unter „PHP-Einstellungen“ oder „Webhosting“. Nimm einen aktuellen Zweig (8.3 oder 8.4 sind für die meisten WordPress-Seiten eine gute Wahl). Hat dein Hoster die korrigierte Unterversion schon eingespielt, steht sie dort automatisch.

3. Website danach testen

Öffne Startseite, Kontaktformular, Shop und Login. Alte Plugins oder Themes, die lange kein Update bekommen haben, brechen bei einem PHP-Sprung am ehesten. Fällt etwas aus, stellst du kurz zurück und aktualisierst zuerst das betroffene Plugin.

4. Übergangslösung, falls du nicht sofort umstellen kannst

Die Sicherheitsberichte nennen als vorläufige Abhilfe, in der PHP-Konfiguration `session.upload_progress.enabled = 0` zu setzen. Das ersetzt das Update nicht, verkleinert aber die Angriffsfläche, bis die neue Version läuft. Ob du das selbst setzen darfst, hängt vom Hosting ab; frag im Zweifel deinen Hoster.

Warum veraltetes PHP bei WordPress so häufig ist

WordPress läuft auch auf älteren PHP-Versionen weiter, und Hoster stellen eine einmal gewählte Version oft nicht von selbst um. Eine Website, die vor ein paar Jahren gebaut und seitdem nur inhaltlich gepflegt wurde, läuft deshalb nicht selten auf einem PHP, das keine Sicherheitsupdates mehr bekommt. Die Lücke ist ein guter Anlass, das einmal grundsätzlich zu prüfen: PHP-Version, Plugins ohne Updates, Admin-Konten und Backups. Ist die Website insgesamt in die Jahre gekommen, ist ein Relaunch ohne Ranking-Verlust oft günstiger als das ständige Flicken.

Wann sich Hilfe lohnt

Den Wechsel der PHP-Version schaffst du in vielen Fällen selbst. Hilfe lohnt sich, wenn die Seite nach dem Umstellen Fehler zeigt, wenn ein individuell programmiertes Theme im Spiel ist oder wenn du keinen Zugang zum Hosting hast. Als WordPress-Agentur in Graz übernehmen wir das Update samt Test und sagen dir vorher, was es kostet.

Typische Stolpersteine beim PHP-Update

• Das Hosting-Panel zeigt eine andere Version als WordPress. Manche Hoster stellen PHP je Verzeichnis oder je Domain ein. Maßgeblich ist, was WordPress im Website-Zustand anzeigt; prüfe dort nach dem Umstellen noch einmal.
• Plugins ohne Updates seit Jahren. Sie sind der häufigste Grund für weiße Seiten nach einem PHP-Sprung. Ersetze sie durch gepflegte Alternativen, bevor du umstellst.
• Ein eigenes Theme ohne Wartung. Individuell programmierte Themes nutzen manchmal Funktionen, die neuere PHP-Versionen nicht mehr kennen. Hier lohnt ein Blick in die Fehlerprotokolle, bevor du die Website wieder öffentlich freigibst.
• Kein Zugang zum Hosting. Liegt das Hosting noch bei der früheren Agentur oder bei einem ehemaligen Mitarbeiter, kläre den Zugang jetzt. Ohne ihn kannst du weder Updates einspielen noch Backups ziehen.

Checkliste für die nächsten Tage

1. PHP-Version in WordPress nachsehen und notieren.
2. Backup von Dateien und Datenbank anlegen.
3. Auf einen aktuellen PHP-Zweig umstellen oder den Hoster darum bitten.
4. Startseite, Formulare, Shop und Login testen.
5. Plugins und Theme auf den aktuellen Stand bringen.
6. Prüfen, ob es Admin-Konten gibt, die niemand mehr braucht, und diese entfernen.

Läuft deine Website nicht auf WordPress, gilt dasselbe für jedes andere PHP-System, etwa Joomla, TYPO3 oder einen selbst programmierten Shop. Denkst du ohnehin über eine neue Website nach, gehört der Wartungsaufwand zur Entscheidung: Beim Webdesign für deinen Betrieb besprechen wir vorher, welche Technik wie viel Pflege braucht.

Quellen und weiterführende Informationen

[Q1] Help Net Security: PHP2Shell, PHP vulnerabilities patched (CVE-2026-109618, CVE-2026-109619)

[Q2] Tenable: PHP2Shell – Frequently Asked Questions

[Q3] Patchstack: PHP Major Vulnerability Alert (10/2026)