Ist Ihre Website von der PHP-Lücke betroffen? So prüfen Sie es

Was ist passiert?

PHP ist die Programmiersprache hinter WordPress, vielen Webshops und Kundenportalen. Am 21. Oktober 2026 um 16 Uhr deutscher Zeit veröffentlichte das PHP-Projekt Notfall-Updates für zwei Lücken mit dem Namen php2shell (CVE-2026-109618 und CVE-2026-109619, Bewertung 9,2 von 10). Über sie kann ein Angreifer ohne Anmeldung Code auf dem Server ausführen. Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten.

Das BSI hat am selben Tag gewarnt und dazu aufgerufen, das Sicherheitsupdate noch am selben Tag einzuspielen. Es stuft die Lage mit Stufe 3 von 4 ein: Maßnahmen müssen unverzüglich ergriffen werden. Angriffsversuche hat Amazon schon am 17. Oktober beobachtet, vier Tage vor der Veröffentlichung. Eine erfolgreiche Ausnutzung in der Breite war dem BSI am 22. Oktober nicht bekannt.

Am 23. Oktober meldete das PHP-Projekt eine dritte Lücke (CVE-2026-115560), für die es noch kein Update gibt. Sie greift nur bei einer seltenen Konfiguration. Als Schutz empfiehlt das PHP-Projekt, die Einstellung session.upload_progress.enabled auf 0 zu setzen.

Was bedeutet das?

Ihre Website ist betroffen, wenn sie auf PHP läuft und die PHP-Laufzeit nicht aktualisiert wurde. Das gilt auch für Geräte mit Weboberfläche: Laut BSI sind unter anderem manche Firewalls, Router und NAS-Systeme betroffen.

Wichtig: Ein Update von WordPress, Theme oder Plugins schließt die Lücke nicht. Entscheidend ist die PHP-Version auf dem Server. Beim Webhosting kümmert sich in der Regel der Anbieter darum. Lassen Sie es sich trotzdem bestätigen.

Die Versionsnummer allein ist nicht immer eindeutig. Linux-Distributionen schließen Lücken oft nachträglich, ohne die Nummer zu ändern. Gewissheit gibt deshalb nur Ihr Hoster oder Ihr IT-Dienstleister.

Bemerkenswert: Gemeldet wurden die Lücken unter anderem von OpenAI und den Sicherheitsfirmen Calif und Wiz. Das BSI rechnet damit, dass KI auch Angreifern hilft, schneller einsatzfähige Angriffe zu bauen.

Was Sie jetzt tun können

PHP-Version nachsehen: In WordPress finden Sie die Angabe unter Werkzeuge, Website-Zustand, Info, im Abschnitt Server. Bei anderen Systemen steht sie meist im Kundenbereich Ihres Hosters.
Mit den sicheren Versionen vergleichen: Sicher sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie neuere Versionen. Liegt Ihre Version darunter, ist das ein Warnsignal, aber noch kein Beweis, denn Ihr Anbieter kann das Update nachträglich eingespielt haben.
Ihren Hoster schriftlich fragen: Ist mein Paket gegen CVE-2026-109618 und CVE-2026-109619 abgesichert, und seit wann? Ist session.upload_progress.enabled abgeschaltet? Diese Einstellung können Sie beim Webhosting meist nicht selbst wirksam setzen.
PHP 8.1 und älter ersetzen: Für diese Versionen gibt es vom PHP-Projekt keine fertigen Updates mehr. Das BSI rät, auf eine unterstützte Version zu wechseln. Wer nicht sofort aktualisieren kann, sollte laut BSI eine vorübergehende Trennung vom Internet erwägen.
Geräte und Spuren prüfen: Denken Sie an Firewalls, Router und NAS mit Weboberfläche und spielen Sie dort die Herstellerupdates ein. Ihr IT-Dienstleister sollte zudem nach neuen oder veränderten PHP-Dateien suchen, rückwirkend ab dem 17. Oktober.

Häufige Fragen

Reicht ein Update von WordPress?

Nein. Die Lücke steckt in PHP selbst, nicht in WordPress. Erst ein Update der PHP-Laufzeit auf dem Server schließt sie.

Schützt eine Web Application Firewall?

Teilweise. Laut BSI kann eine WAF eine Ausnutzung erschweren. Vollständigen Schutz bieten aber nur das Update oder die Trennung vom Internet.

Wurden schon Websites gehackt?

Angriffsversuche gibt es, laut Amazon seit dem 17. Oktober. Eine erfolgreiche Ausnutzung in der Breite war BSI und CISA bei ihrer letzten Aktualisierung nicht bekannt. Darauf sollten Sie sich nicht verlassen und trotzdem sofort aktualisieren.

Quellen

BSI: PHP: BSI warnt vor kritischen Schwachstellen, Sicherheitsupdate noch heute notwendig (21. Oktober 2026)
BSI: Cybersicherheitswarnung: PHP, kritische Schwachstellen bedrohen Webanwendungen weltweit (22. Oktober 2026)
php.net: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht (21. Oktober 2026)
php.net: Hinweis zu CVE-2026-115560 und Schutzmaßnahme (23. Oktober 2026)
PHP Foundation: Today’s PHP security release and how we’re strengthening PHP security (21. Oktober 2026)
Amazon Web Services: Amazon threat intelligence identifies PHP2Shell exploitation prior to public disclosure (21. Oktober 2026)
CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21. Oktober 2026)

Stand: 25. Oktober 2026. Diese Einordnung ersetzt keine Rechtsberatung und keine Prüfung im Einzelfall.