Sicherheitswarnung · Stand 22. Oktober 2026

PHP2Shell: Kritische Lücke in PHP. Ist Ihr Server betroffen?

Zwei Schwachstellen im Kern von PHP erlauben es Angreifern, ungepatchte Webserver ohne Anmeldung zu übernehmen. Erste Angriffe laufen bereits. Wir prüfen Ihren Linux-Server, schließen die Lücke und halten ihn dauerhaft sauber.

Server prüfen lassen 07242 313001

Was passiert ist

Ein Fehler im Fundament – nicht in einem Plug-in.

Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen PHP2Shell bekannt geworden sind. Details waren bereits vor dem geplanten Termin durchgesickert.

Die Fehler liegen in der Art, wie PHP Speicher zwischen Anfragen verwaltet. Ein Angreifer kann eine präparierte Anfrage schicken und damit eigenen Code auf dem Server ausführen – ohne Benutzerkonto und unabhängig davon, wie sorgfältig die Website selbst programmiert ist. Zusätzlich lässt sich Arbeitsspeicher auslesen, in dem Kennwörter und Schlüssel liegen können.

Betroffen sind alle gängigen Arten, PHP am Webserver zu betreiben: als Apache-Modul, über PHP-FPM, als CGI und in weiteren Laufzeitumgebungen. Als Apache-Modul gilt die Lage als besonders dringend.

Wer betroffen ist

Überall, wo PHP Webseiten ausliefert.

Websites und Shops

WordPress, TYPO3, Joomla, Drupal, Magento und andere Systeme, die auf PHP laufen.

Cloud und Zusammenarbeit

Selbst betriebene Dateiablagen, Kalender und Kollaborationsplattformen wie Nextcloud.

Eigene Webanwendungen

Kundenportale, Buchungs- und Bestellsysteme, Schnittstellen – etwa auf Basis von Laravel.

Geräte mit Weboberfläche

Auch manche Firewalls, NAS-Systeme und Router verwenden PHP für ihre Verwaltungsoberfläche.

Besonders gefährdet: Server mit PHP 8.1 oder älter. Diese Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr.

Selbst nachsehen

Welche PHP-Version läuft auf Ihrem Server?

Per SSH am Linux-Server anmelden und die folgenden Befehle ausführen. Alle funktionieren als normaler Benutzer, Administratorrechte sind nicht nötig.

PHP-Version der Kommandozeile

php -v

Installierte PHP-Pakete (Debian/Ubuntu)

dpkg -l | grep -E '^ii +php[0-9.]*-(fpm|cli|common)'

Installierte PHP-Pakete (RHEL-basierte Systeme)

rpm -qa | grep -E '^php'

Die Webseite kann eine andere PHP-Version verwenden als die Kommandozeile. Im Zweifel prüfen wir das für Sie.

Sofortmaßnahmen

Was jetzt zu tun ist.

01
PHP aktualisieren
Die Lücken sind in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen. Linux-Distributionen übernehmen den Fix teils in ältere Versionsnummern – maßgeblich ist der Sicherheitshinweis Ihrer Distribution.
02
Alle PHP-Prozesse neu starten
Nach dem Update Webserver und PHP-FPM neu starten. Laufende Prozesse arbeiten sonst mit dem alten, verwundbaren Code weiter.
03
Übergangsschutz, wenn kein Update möglich ist
Upload-Fortschritt für Sitzungen abschalten (session.upload_progress.enabled = 0), Anfragegrößen begrenzen, den Zugriff auf bekannte Adressen oder per VPN einschränken. Das ersetzt das Update nicht.
04
Auf Einbruchsspuren prüfen
Unbekannte PHP-Dateien im Webverzeichnis, neue Administrator-Konten, geänderte Cronjobs und ungewöhnliche ausgehende Verbindungen sind Warnsignale.
05
Zugangsdaten erneuern
Die Lücken erlauben auch das Auslesen von Arbeitsspeicher. Kennwörter, API-Schlüssel und Datenbank-Zugänge, die PHP verwendet, sollten nach dem Update erneuert werden.

Unsere Unterstützung

Einmal absichern. Dauerhaft sauber halten.

Sofort

PHP-Sofort-Check

Wir sehen uns Ihren Server an, schließen die Lücke und prüfen, ob bereits jemand eingedrungen ist.

PHP-Version, Einbindung und Konfiguration prüfen
Update einspielen oder Übergangsschutz setzen
Server auf Einbruchsspuren untersuchen
Kurzer schriftlicher Befund mit nächsten Schritten

Sofort-Check anfragen

Laufend

PHP-Server-Pflege

Die nächste Lücke kommt bestimmt. Mit der laufenden Pflege ist Ihr Server dann schon aktualisiert, bevor Angreifer zum Zug kommen.

Tägliche Prüfung von PHP-, Webserver- und Systemversionen
Sicherheitsupdates zeitnah eingespielt – getestet und dokumentiert
Gehärtete PHP-Konfiguration statt Standardeinstellungen
Erkennung veränderter Dateien und eingeschleuster Webshells
Überwachung von Logs, Auslastung und Erreichbarkeit
Rechtzeitiger Umstieg, bevor eine PHP-Version ausläuft
Datensicherung mit regelmäßigem Wiederherstellungstest
Monatlicher Bericht in verständlicher Sprache

Server-Pflege anfragen

Für Linux-Server mit PHP – im eigenen Haus, im Rechenzentrum oder bei einem Hoster. Wie die monatliche Übersicht aussieht, zeigt unser Muster-Monatsbericht.

Häufige Fragen

Kurz beantwortet.

Ist meine Website betroffen, wenn sie bei einem Hoster liegt?

Bei klassischem Webhosting spielt in der Regel der Hoster das PHP-Update ein. Fragen Sie nach, ob das bereits passiert ist. Bei einem eigenen Server, einem virtuellen Server oder einem Root-Server sind Sie selbst für das Update verantwortlich.

Reicht eine Web Application Firewall als Schutz?

Eine Web Application Firewall kann bekannte Angriffsmuster abfangen und Zeit verschaffen. Angreifer versuchen bereits, solche Filter zu umgehen. Das einzige vollständige Gegenmittel ist das PHP-Update.

Was ist, wenn mein Server noch PHP 7.4, 8.0 oder 8.1 verwendet?

Diese Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Hier helfen nur Übergangsmaßnahmen und ein geplanter Umstieg auf eine unterstützte Version. Wir übernehmen den Umstieg einschließlich Test der Anwendung.

Woran erkenne ich, ob mein Server bereits angegriffen wurde?

Typische Anzeichen sind unbekannte PHP-Dateien im Webverzeichnis, neue Benutzerkonten, geänderte Cronjobs, Spam-Versand und ungewöhnlich hohe Auslastung. Ein Teil davon ist ohne Fachkenntnis kaum sichtbar – wir prüfen das im Sofort-Check.

Betreuen Sie auch Server, die bei anderen Anbietern laufen?

Ja. Wir betreuen Linux-Server mit PHP unabhängig davon, wo sie stehen – im eigenen Haus, im Rechenzentrum oder bei einem Hoster. Die Arbeit erfolgt per Fernzugriff, österreichweit.

Bereits angegriffen?

Dann zählt jede Stunde.

Auffällige Dateien, Spam-Versand oder ein Server, der nicht mehr reagiert: Rufen Sie unsere Notfall-Hotline an – rund um die Uhr, auch wenn Sie noch nicht von uns betreut werden.

0680 1245 174 Erste Schritte im Ernstfall: Notfall-Checkliste

Stand: 22. Oktober 2026. Grundlage sind die Sicherheitshinweise des PHP-Projekts und Veröffentlichungen von Sicherheitsforschern. Wir aktualisieren diese Seite, sobald sich die Lage ändert. Alle aktuellen Sicherheitswarnungen