Sicherheitslücke PHP2Shell: Wie wir Ihre Websites an einem einzigen Tag geschützt haben

Cybersicherheit22. Okt. 2026Von Emmanuel Nudel, ArtWhere

Am 20. Oktober 2026 gelangten die Details zu zwei kritischen Sicherheitslücken in PHP ins Internet, noch bevor der offizielle Patch verfügbar war. Innerhalb weniger Stunden machte „PHP2Shell“ in der internationalen Fachpresse Schlagzeilen.

Hier erfahren Sie, was passiert ist, was das für Ihre Website bedeutete und wie das ArtWhere-Team die Lage bewältigt hat.

Was ist PHP2Shell?

PHP ist die Programmiersprache, auf der ein sehr großer Teil der Websites weltweit läuft: WordPress, Drupal, zahlreiche Onlineshops und Intranets basieren darauf. Wenn eine Sicherheitslücke PHP selbst betrifft, sind nicht nur einige Websites betroffen, sondern Millionen.

„PHP2Shell“ bezeichnet in Wirklichkeit zwei unterschiedliche Sicherheitslücken, die unter CVE-2026-109618 und CVE-2026-109619 geführt werden. Das PHP-Sicherheitsteam hat ihren Schweregrad mit 9,2 von 10 bewertet. Sie konnten es einem Angreifer ermöglichen, ohne Passwort eigenen Code auf dem Server auszuführen, ihn also aus der Ferne zu übernehmen.

Um sich das Risiko vorzustellen: Es ist, als hätte jemand einen Generalschlüssel gefunden, der alle Gebäude mit demselben Schlossmodell öffnen kann. Wie stabil die Tür oder wie gut die Alarmanlage war, spielte keine Rolle: Das Schloss selbst war das Problem.

Warum die Lage besonders ernst war

Ein Leak vor dem Patch. Normalerweise wird eine Sicherheitslücke gleichzeitig mit ihrer Behebung öffentlich gemacht. Hier kursierten die Details vorher: Mehrere Stunden lang wussten die Angreifer genauso viel wie die Verteidiger, ohne dass es ein offizielles Update gab.

Ein gigantisches Ziel. PHP läuft auf der Mehrheit der Webserver. Angreifer automatisieren solche Exploits, um das Internet in großem Stil abzuscannen.

Selbst die Experten machten dicht. Mehrere Organisationen, darunter Cybersicherheitszentren wie das niederländische NCSC, nahmen ihre eigene Website vorsorglich vom Netz, bis der Patch verfügbar war. Auf belgischer Seite war die Website des CCB ebenfalls nicht erreichbar.

Unser Einsatz, Stunde um Stunde

Bei ArtWhere hosten und warten wir die Websites unserer Kunden. Ihre Sicherheit liegt in unserer Verantwortung, nicht in ihrer. So ist der Tag verlaufen.

Wann	Was wir getan haben
21. Oktober, 5 Uhr	Das gesamte Team wird mobilisiert. Bestandsaufnahme der Server und der eingesetzten PHP-Versionen, verstärkte Überwachung aller Websites.
21. Oktober, 8 Uhr	Noch vor Erscheinen des Patches Umsetzung der von Branchenexperten empfohlenen Schutzmaßnahmen. Ihre Websites waren ab diesem Zeitpunkt bereits weitgehend geschützt.
21. Oktober, 15:45 Uhr	Vorrangige Installation des offiziellen Patches auf allen von uns verwalteten Servern, anschließend Überprüfung Website für Website.

Während dieser gesamten Zeit mussten unsere Kunden nichts tun. Keine Handgriffe, kein Update anzustoßen, keine Website abzuschalten. Wir blieben im Einsatz, bis jede Website gepatcht und überprüft war.

Warum ein WordPress-Update nicht ausreichte

Viele Website-Betreiber haben richtig reagiert und WordPress, ihre Plugins oder ihr Theme aktualisiert. Das ist immer sinnvoll, schützte aber nicht vor PHP2Shell: Die Lücke lag in PHP selbst, also in der Engine, auf der die Website läuft und die auf Serverebene verwaltet wird.

Nur ein PHP-Update behob das Problem. Das PHP-Team veröffentlichte am 21. Oktober die folgenden korrigierten Versionen:

PHP-Zweig	Korrigierte Version
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Ältere Versionen (PHP 8.1, 8.0, 7.x …) werden offiziell nicht mehr gepflegt. Das PHP-Team hat für einige davon minimale Patches veröffentlicht, doch eine Website, die noch auf einer so alten Version läuft, bleibt ein leichtes Ziel. Das ist einer der Gründe, warum wir die Server unserer Kunden stets auf aktuellen Versionen halten.

Ihre Website wird nicht von ArtWhere betreut? Die richtigen Schritte

Fragen Sie Ihren Hoster oder Dienstleister, ob PHP auf eine der oben genannten korrigierten Versionen aktualisiert wurde, und wann.

Prüfen Sie Ihre PHP-Version: Sie wird in der Regel im Dashboard Ihres Hostings angezeigt oder in WordPress unter Werkzeuge › Website-Zustand › Bericht.

Wenn Ihre Website noch unter PHP 8.1 oder älter läuft, planen Sie zügig eine Migration: Das ist keine Frage des Komforts mehr, sondern der Sicherheit.

Achten Sie auf ungewöhnliche Anzeichen: neue, unbekannte Administratorkonten, veränderte Dateien, verdächtige Weiterleitungen. Im Zweifelsfall ziehen Sie einen Fachmann hinzu.

Woran uns dieser Vorfall erinnert

Die Sicherheit einer Website beschränkt sich nicht auf ein starkes Passwort oder ein HTTPS-Zertifikat. Sie beruht auch auf unsichtbaren Bausteinen (Server, Programmiersprache, Datenbanken), die ständig überwacht und aktualisiert werden müssen. Wenn eine Krise wie PHP2Shell ausbricht, entscheiden Stunden.

Genau das ist die Aufgabe eines technischen Partners: für Sie wachsam sein, vor Ihnen reagieren und Ihnen ermöglichen, in Ruhe weiterzuarbeiten, während wir uns um den Rest kümmern.

Eine Frage zur Sicherheit Ihrer Website?

Unser Team steht Ihnen gerne zur Verfügung, um Ihr Hosting und Ihre PHP-Versionen gemeinsam mit Ihnen zu überprüfen.

[email protected] · +32 475 29 31 46