Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell bekannt wurden. Betroffen ist PHP selbst, also die Programmiersprache, auf der WordPress, WooCommerce, Shopware und viele andere Shops und Websites laufen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung herausgegeben und rät, die Updates sofort einzuspielen. Dieser Beitrag erklärt, was hinter PHP2Shell steckt, ob Ihr Shop betroffen ist und was Sie jetzt tun sollten.
Stand: 21. Oktober 2026. Wir aktualisieren den Beitrag, wenn sich die Lage ändert.
Was ist PHP2Shell?
PHP2Shell ist der Sammelname für zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten (CVSS 4.0) als kritisch eingestuft. Entdeckt hat sie das Sicherheitsunternehmen Wiz, unter anderem mit Hilfe von KI-Werkzeugen. Gemeldet wurden die Lücken im August, behoben am 21. Oktober.
Vereinfacht gesagt: Bei bestimmten fehlerhaften Anfragen, etwa wenn PHP der Speicher ausgeht, bleiben Daten im Arbeitsspeicher zurück, die bei der nächsten Anfrage falsch weiterverwendet werden. Angreifer können das ausnutzen, um:
- eigenen Code auf dem Server auszuführen, ohne Login und ohne dass jemand etwas anklicken muss,
- Daten aus dem Arbeitsspeicher auszulesen, zum Beispiel Passwörter, Zugangsdaten zu Schnittstellen oder Sitzungen anderer Besucher.
Das Besondere: Die Lücke steckt nicht in WordPress, Shopware oder einem Plugin, sondern in PHP. Ein Update des Shops oder der Plugins schließt sie deshalb nicht.
Ist Ihr Shop von PHP2Shell betroffen?
Betroffen ist praktisch jede Website und jeder Shop, der auf einem eigenen oder gemieteten Server mit PHP läuft und noch keine aktualisierte PHP-Version nutzt. Laut den Entdeckern ist jede PHP-Version ab 5.4 von mindestens einer der Lücken betroffen.
| Ihre Situation | Betroffen? | Was zu tun ist |
|---|---|---|
| Shopware, WordPress, WooCommerce auf eigenem Server | Ja, bis PHP aktualisiert ist | PHP sofort auf eine gepatchte Version bringen |
| Shop oder Website bei einem Webhoster (Shared Hosting) | Ja, bis der Hoster aktualisiert hat | Beim Hoster prüfen, ob das Update eingespielt ist |
| Cloud-Shopsysteme (z. B. PlentyONE, Shopware SaaS) | Der Anbieter betreibt die Server | Updates liegen beim Anbieter, im Zweifel nachfragen |
| Rein statische Website ohne PHP | Nein | Nichts |
Sicherheitsforscher haben die Lücke bereits erfolgreich gegen aktuelle Versionen von WordPress, Drupal, Joomla und Magento ausgenutzt. Für Shopware und WooCommerce gilt dasselbe Risiko, weil auch sie auf PHP laufen.
Welche PHP-Versionen sind sicher?
Geschlossen sind die Lücken ab diesen Versionen:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1 und älter werden vom PHP-Projekt nicht mehr unterstützt und erhalten kein offizielles Update. Manche Linux-Distributionen und Hoster liefern eigene Korrekturen nach, darauf verlassen sollten Sie sich aber nicht. Das betrifft besonders ältere Shops, zum Beispiel noch laufende Installationen mit Shopware 5, die oft PHP 7.4 oder 8.0 nutzen.
Was Sie jetzt tun sollten
1. PHP-Version prüfen
Die genaue PHP-Version finden Sie im Kundenbereich Ihres Hosters, bei WordPress unter Werkzeuge, Website-Zustand, Bericht, oder auf eigenen Servern mit dem Befehl php -v. Wichtig ist die vollständige Nummer, also zum Beispiel 8.3.36 und nicht nur 8.3.
2. Update einspielen oder beim Hoster nachfragen
Auf eigenen Servern spielen Sie das Update über die Paketverwaltung ein und starten PHP-FPM bzw. den Webserver neu. Bei Shared Hosting kümmert sich der Hoster darum. Viele Hoster haben am 21. Oktober reagiert, manche erst später. Prüfen Sie die Statusseite Ihres Hosters oder fragen Sie direkt nach.
3. Alte PHP-Versionen umstellen
Läuft Ihr Shop noch mit PHP 8.1 oder älter, ist jetzt der Zeitpunkt für den Wechsel auf eine unterstützte Version. Vorher sollten Sie prüfen, ob Shop, Theme und Plugins damit funktionieren, am besten in einer Testumgebung.
4. Wenn ein Update nicht sofort möglich ist
Sicherheitsforscher nennen einige Notmaßnahmen, etwa das Sperren bestimmter Upload-Anfragen am Webserver oder das vorübergehende Abschalten der Website. Diese Maßnahmen schränken Funktionen wie Datei-Uploads oder Formulare ein und schützen nur teilweise. Ein Wartungsmodus von WordPress oder Shopware hilft dagegen nicht, weil PHP die Anfrage verarbeitet, bevor der Shop den Wartungsmodus prüft. Die einzige vollständige Lösung ist das PHP-Update.
5. Auf Spuren eines Angriffs achten
Erste Angriffsversuche wurden schon vor dem offiziellen Update beobachtet. Achten Sie in den Tagen danach auf ungewöhnlich viele Serverfehler (Status 500), Speicherfehler in den PHP-Logs, unbekannte PHP-Dateien im Webverzeichnis und unerklärliche Änderungen an Dateien. Wenn Sie unsicher sind, ändern Sie nach dem Update wichtige Passwörter und Zugangsdaten zu Schnittstellen, da die Lücke auch das Auslesen solcher Daten erlaubt.
Warum regelmäßige Wartung so wichtig ist
PHP2Shell zeigt, dass ein Shop nicht nur aus Shopsoftware und Plugins besteht. Auch die Serverumgebung braucht Updates, und zwar zeitnah. Shops mit veralteten PHP-Versionen haben in solchen Fällen das größte Problem, weil es für sie keine offizielle Korrektur gibt. Wer PHP, Shop und Plugins regelmäßig aktuell hält, kann bei der nächsten Lücke schnell reagieren. Wie wir dabei unterstützen, lesen Sie unter technische Betreuung.
Fazit
PHP2Shell gehört zu den schwersten PHP-Lücken der letzten Jahre. Betroffen sind fast alle Shops und Websites mit PHP, unabhängig davon, wie sauber der eigene Code ist. Prüfen Sie jetzt Ihre PHP-Version und sorgen Sie dafür, dass mindestens 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 läuft. Shops mit PHP 8.1 oder älter sollten so bald wie möglich auf eine unterstützte Version umgestellt werden.
