Sicherheitswarnung · Stand 22. Oktober 2026

PHP2Shell: Kritische Lücke in PHP. Ist Ihr Server betroffen?

PHP ist die Programmiersprache, mit der ein Großteil aller Websites und Online-Shops läuft. Zwei Fehler darin erlauben es Angreifern, Webserver ohne aktuelles Update zu übernehmen, ganz ohne Passwort. Erste Angriffe laufen bereits. Wir prüfen Ihren Linux-Server, schließen die Lücke und halten ihn dauerhaft sauber.

Server prüfen lassen +43 7242 313001

Was passiert ist

Ein Fehler im Fundament. Nicht in einem Plug-in.

Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen PHP2Shell bekannt geworden sind. Details waren schon vor dem geplanten Termin durchgesickert. Angreifer hatten also einen Vorsprung.

Der Fehler steckt nicht in Ihrer Website, sondern im Fundament darunter: in der Art, wie PHP seinen Speicher verwaltet. Ein Angreifer schickt eine speziell gebaute Anfrage an den Server und kann damit eigene Befehle ausführen, ohne Benutzerkonto und egal, wie sorgfältig die Website selbst programmiert ist. Zusätzlich lässt sich der Arbeitsspeicher auslesen, in dem Kennwörter und Schlüssel liegen können.

Betroffen sind alle gängigen Arten, PHP am Webserver zu betreiben: als Apache-Modul, über PHP-FPM, als CGI und in weiteren Laufzeitumgebungen. Wird PHP als Apache-Modul betrieben, gilt die Lage als besonders dringend. Wenn Sie nicht wissen, was davon bei Ihnen läuft: Wir sehen für Sie nach.

Wer betroffen ist

Überall, wo PHP Webseiten ausliefert.

Websites und Shops

Firmenwebsites und Online-Shops mit WordPress, TYPO3, Joomla, Drupal, Magento und anderen Systemen, die auf PHP laufen.

Cloud und Zusammenarbeit

Selbst betriebene Dateiablagen, Kalender und Plattformen für die Zusammenarbeit wie Nextcloud.

Eigene Webanwendungen

Kundenportale, Buchungs- und Bestellsysteme oder Verbindungen zwischen Programmen (Schnittstellen), etwa auf Basis von Laravel.

Geräte mit Weboberfläche

Auch manche Firewalls, Netzwerkspeicher (NAS) und Router verwenden PHP für die Seite, über die man sie im Browser einstellt.

Besonders gefährdet: Server mit PHP 8.1 oder älter. Für diese Versionen gibt es vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Die Lücke bleibt dort offen, bis umgestiegen wird.

Selbst nachsehen

Welche PHP-Version läuft auf Ihrem Server?

Dieser Abschnitt ist für Ihren Techniker oder Webbetreuer: Per SSH (gesicherte Verbindung zur Kommandozeile) am Linux-Server anmelden und die folgenden Befehle ausführen. Alle funktionieren als normaler Benutzer, Administratorrechte sind nicht nötig. Kein Techniker zur Hand? Rufen Sie uns an, wir prüfen das für Sie.

PHP-Version der Kommandozeile

php -v

Installierte PHP-Pakete (Debian/Ubuntu)

dpkg -l | grep -E '^ii +php[0-9.]*-(fpm|cli|common)'

Installierte PHP-Pakete (RHEL-basierte Systeme)

rpm -qa | grep -E '^php'

Achtung: Die Website kann eine andere PHP-Version verwenden als die Kommandozeile. Im Zweifel prüfen wir das für Sie.

Sofortmaßnahmen

Was jetzt zu tun ist.

01
PHP aktualisieren
Die Lücken sind in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen. Manche Linux-Varianten (Distributionen) bauen die Korrektur auch in ältere Versionsnummern ein. Entscheidend ist der Sicherheitshinweis Ihrer Distribution.
02
Alle PHP-Prozesse neu starten
Nach dem Update Webserver und PHP-FPM neu starten. Sonst arbeiten die bereits laufenden Programme mit dem alten, verwundbaren Stand weiter.
03
Übergangsschutz, wenn kein Update möglich ist
Upload-Fortschritt für Sitzungen abschalten (session.upload_progress.enabled = 0), Anfragegrößen begrenzen, den Zugriff auf bekannte Adressen oder einen gesicherten Tunnel (VPN) einschränken. Das verschafft Zeit, ersetzt das Update aber nicht.
04
Auf Einbruchsspuren prüfen
Warnsignale sind unbekannte PHP-Dateien im Webverzeichnis, neue Administrator-Konten, geänderte zeitgesteuerte Aufgaben (Cronjobs) und ungewöhnliche Verbindungen vom Server nach außen.
05
Zugangsdaten erneuern
Über die Lücken lässt sich auch der Arbeitsspeicher auslesen, und darin können Kennwörter stehen. Kennwörter, Zugangsschlüssel für andere Dienste (API-Schlüssel) und Datenbank-Zugänge, die PHP verwendet, sollten nach dem Update erneuert werden.

Unsere Unterstützung

Einmal absichern. Dauerhaft sauber halten.

Sofort

PHP-Sofort-Check

Wir sehen uns Ihren Server an, schließen die Lücke und prüfen, ob schon jemand eingedrungen ist. Sie bekommen das Ergebnis schriftlich und verständlich.

PHP-Version, Einbindung und Einstellungen prüfen
Update einspielen oder Übergangsschutz setzen
Server auf Einbruchsspuren untersuchen
Kurzer schriftlicher Befund mit nächsten Schritten

Sofort-Check anfragen

Laufend

PHP-Server-Pflege

Die nächste Lücke kommt bestimmt. Mit der laufenden Pflege ist Ihr Server dann schon aktualisiert, bevor Angreifer zum Zug kommen. Und Sie müssen sich um nichts kümmern.

Tägliche Prüfung, ob PHP, Webserver und System auf aktuellem Stand sind
Sicherheitsupdates zeitnah eingespielt, vorher getestet, danach dokumentiert
Sicher eingestelltes PHP („gehärtet“) statt Standardeinstellungen
Erkennung veränderter Dateien und eingeschleuster Hintertüren (Webshells)
Überwachung von Protokollen (Logs), Auslastung und Erreichbarkeit
Rechtzeitiger Umstieg, bevor eine PHP-Version keine Updates mehr bekommt
Datensicherung mit regelmäßigem Wiederherstellungstest
Monatlicher Bericht in verständlicher Sprache

Server-Pflege anfragen

Für Linux-Server mit PHP: im eigenen Haus, im Rechenzentrum oder bei einem Hoster. Wie die monatliche Übersicht aussieht, zeigt unser Muster-Monatsbericht.

Häufige Fragen

Kurz beantwortet.

Ist meine Website betroffen, wenn sie bei einem Hoster liegt?

Bei klassischem Webhosting spielt in der Regel der Hoster (der Anbieter, bei dem Ihre Website liegt) das PHP-Update ein. Fragen Sie nach, ob das bereits passiert ist. Bei einem eigenen Server, einem virtuellen Server oder einem Root-Server sind Sie selbst (oder Ihr IT-Dienstleister) für das Update verantwortlich.

Reicht eine Web Application Firewall als Schutz?

Eine Web Application Firewall (ein Filter vor der Website, der verdächtige Anfragen aussortiert) kann bekannte Angriffsmuster abfangen und Zeit verschaffen. Angreifer versuchen aber bereits, solche Filter zu umgehen. Das einzige vollständige Gegenmittel ist das PHP-Update.

Was ist, wenn mein Server noch PHP 7.4, 8.0 oder 8.1 verwendet?

Diese Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Hier helfen nur Übergangsmaßnahmen und ein geplanter Umstieg auf eine Version, die noch gepflegt wird. Wir übernehmen den Umstieg und testen danach, ob Ihre Website oder Anwendung einwandfrei läuft.

Woran erkenne ich, ob mein Server bereits angegriffen wurde?

Typische Anzeichen sind unbekannte PHP-Dateien im Webverzeichnis, neue Benutzerkonten, geänderte zeitgesteuerte Aufgaben (Cronjobs), Spam-Versand über Ihren Server und ungewöhnlich hohe Auslastung. Vieles davon ist ohne Fachkenntnis kaum sichtbar. Wir prüfen das im Sofort-Check.

Betreuen Sie auch Server, die bei anderen Anbietern laufen?

Ja. Wir betreuen Linux-Server mit PHP unabhängig davon, wo sie stehen: im eigenen Haus, im Rechenzentrum oder bei einem Hoster. Wir arbeiten über einen gesicherten Fernzugriff, österreichweit.

Bereits angegriffen?

Dann zählt jede Stunde.

Auffällige Dateien, Ihr Server verschickt plötzlich Spam oder reagiert nicht mehr: Rufen Sie unsere Notfall-Hotline an. Rund um die Uhr, auch wenn Sie noch nicht von uns betreut werden.

+43 680 1245 174 Erste Schritte im Ernstfall: Notfall-Checkliste

Stand: 22. Oktober 2026. Grundlage sind die Sicherheitshinweise des PHP-Projekts und Veröffentlichungen von Sicherheitsforschern. Wir aktualisieren diese Seite, sobald sich die Lage ändert. Alle aktuellen Sicherheitswarnungen

Passend dazu

Das könnte Sie auch interessieren.

LeistungServer & Clients absichernEndpoint Security nach Stand der Technik: zehn Schutzschichten für Windows.Mehr erfahren Werktäglich aktuellSicherheitswarnungenKritische Sicherheitslücken verständlich erklärt, mit konkreten Schritten.Mehr erfahren Kostenlos & unverbindlichIT-Sicherheitsanalyse vor OrtWir sehen uns Ihre IT an und sagen Ihnen ehrlich, wo es Lücken gibt.Mehr erfahren