Eine schwerwiegende Sicherheitslücke in PHP sorgt derzeit weltweit für Aufregung. Unter dem Namen „PHP2Shell“ sind gleich zwei gefährliche Schwachstellen bekannt geworden, die Millionen von Webseiten betreffen können. Auch Betreiber kleiner privater Homepages, Blogs und WordPress-Webseiten sollten jetzt prüfen, ob ihre Internetseite ausreichend geschützt ist.
Wir erklären dir, was hinter der Sicherheitslücke steckt, welche Webseiten betroffen sind und was du jetzt tun solltest.
Was ist passiert?
PHP gehört zu den am häufigsten verwendeten Programmiersprachen im Internet. Viele Webseiten nutzen PHP, um Inhalte dynamisch darzustellen, Kontaktformulare zu verarbeiten oder Daten aus einer Datenbank abzurufen.
Auch bekannte Content-Management-Systeme wie WordPress, Joomla oder Drupal basieren auf PHP.
Sicherheitsforscher haben nun zwei kritische Schwachstellen entdeckt, die unter dem Namen PHP2Shell bekannt geworden sind.
Die Sicherheitslücken tragen die Bezeichnungen:
- CVE-2026-109618
- CVE-2026-109619
Beide Schwachstellen wurden mit einem Schweregrad von 9,2 von 10 Punkten bewertet. Sie gelten damit als kritisch.
Besonders problematisch: Unter bestimmten Voraussetzungen können Angreifer die Sicherheitslücken ausnutzen, ohne sich vorher auf der betroffenen Webseite anmelden zu müssen.
Welche Gefahr besteht für meine Homepage?
Durch die Sicherheitslücken könnten Angreifer eigenen Programmcode auf einem betroffenen Webserver ausführen.
Im schlimmsten Fall können sie dadurch:
- deine Homepage manipulieren oder beschädigen,
- vertrauliche Daten auslesen,
- Schadsoftware auf dem Server installieren,
- Datenbanken und gespeicherte Informationen ausspionieren,
- deine Webseite für weitere Angriffe missbrauchen.
Das bedeutet allerdings nicht, dass automatisch jede PHP-Webseite gehackt wurde.
Entscheidend ist, welche PHP-Version dein Webserver verwendet und ob dein Hosting-Anbieter bereits die notwendigen Sicherheitsupdates installiert hat.
Welche PHP-Versionen sind betroffen?
Die Sicherheitsprobleme reichen weit in die Geschichte von PHP zurück. Auch ältere PHP-Versionen ab PHP 5 können betroffen sein.
Für die offiziell unterstützten PHP-Versionen wurden inzwischen Sicherheitsupdates veröffentlicht.
Folgende Versionen enthalten die entsprechenden Korrekturen:
| PHP-Version | Sicherheitsupdate |
|---|---|
| PHP 8.5 | ab 8.5.12 |
| PHP 8.4 | ab 8.4.27 |
| PHP 8.3 | ab 8.3.36 |
| PHP 8.2 | ab 8.2.35 |
| PHP 8.1 und älter | keine offiziellen Sicherheitsupdates mehr |
Wenn deine Homepage noch PHP 5, PHP 7 oder eine ältere PHP-8-Version verwendet, solltest du besonders aufmerksam sein.
Einige Hosting-Anbieter stellen zwar eigene Sicherheitskorrekturen für ältere PHP-Versionen bereit. Langfristig ist der Umstieg auf eine unterstützte PHP-Version aber die bessere Lösung.
Wie finde ich heraus, welche PHP-Version meine Homepage verwendet?
Das ist meistens einfacher, als du denkst.
Möglichkeit 1: Im Kundenbereich deines Webhosters
Melde dich bei deinem Hosting-Anbieter an. Bei vielen Anbietern findest du die PHP-Version unter Einstellungen, Hosting, PHP oder PHP-Konfiguration.
Dort kannst du häufig auch eine andere PHP-Version auswählen.
Möglichkeit 2: Direkt in WordPress
Wenn du WordPress verwendest, kannst du deine PHP-Version auch im Administrationsbereich nachsehen:
- Melde dich bei WordPress an.
- Öffne den Menüpunkt „Werkzeuge“.
- Klicke auf „Website-Zustand“.
- Wähle den Reiter „Bericht“.
- Öffne den Bereich „Server“.
Dort wird dir die aktuell verwendete PHP-Version angezeigt.
Wichtig: Die angezeigte Versionsnummer allein sagt bei älteren PHP-Versionen nicht immer aus, ob dein Hoster bereits einen eigenen Sicherheitspatch installiert hat. Frage im Zweifelsfall direkt beim Anbieter nach.
Was muss ich jetzt tun?
Wenn du eine eigene Homepage betreibst, empfehlen wir dir folgende Schritte.
1. PHP-Version kontrollieren
Prüfe zunächst, welche PHP-Version dein Webhosting verwendet und ob die aktuellen Sicherheitskorrekturen installiert sind.
2. Sicherheitsupdates installieren
Verwendest du eine betroffene PHP-Version, solltest du möglichst schnell auf eine abgesicherte Version wechseln.
Wenn du einen eigenen Server betreibst, musst du dich gegebenenfalls selbst um die Installation kümmern.
3. Backup deiner Homepage erstellen
Bevor du die PHP-Version wechselst, solltest du unbedingt eine vollständige Datensicherung erstellen. Dazu gehören sowohl die Dateien deiner Homepage als auch die Datenbank.
4. Kompatibilität überprüfen
Nicht jede ältere Homepage funktioniert automatisch mit einer aktuellen PHP-Version.
Besonders ältere PHP-Skripte, Themes und Plugins können Probleme verursachen. Prüfe deshalb vor dem Wechsel, ob deine Webseite kompatibel ist.
5. Hosting-Anbieter kontaktieren
Wenn du nicht weißt, ob deine Homepage betroffen ist, frage deinen Webhoster.
Viele Anbieter haben bereits reagiert und die Sicherheitsupdates automatisch installiert.
Sind WordPress-Webseiten betroffen?
Ja, grundsätzlich können auch WordPress-Webseiten betroffen sein.
Das Problem liegt allerdings nicht direkt in WordPress, sondern in der darunterliegenden PHP-Umgebung.
Deshalb reicht es nicht aus, lediglich WordPress, Themes und Plugins zu aktualisieren.
Auch die PHP-Installation des Servers muss abgesichert sein.
Wenn du ein sogenanntes Managed-WordPress-Paket verwendest, übernimmt dein Hosting-Anbieter häufig die technische Wartung der Serverumgebung.
Trotzdem lohnt es sich, die verwendete PHP-Version zu kontrollieren.
Was ist mit kostenlosen Homepages und kostenlosem Webspace?
Auch kostenlose Webhosting-Angebote können betroffen sein, sofern sie PHP verwenden.
Bei einem kostenlosen Webspace-Angebot hast du häufig weniger Möglichkeiten, die Serverkonfiguration selbst zu verändern.
In diesem Fall bist du darauf angewiesen, dass der Anbieter die notwendigen Sicherheitsupdates installiert.
Verwendest du dagegen eine rein statische Homepage aus HTML und CSS, die kein PHP ausführt, ist deine Webseite von diesen konkreten PHP-Sicherheitslücken nicht unmittelbar betroffen.
Wenn du kostenlosen Webspace suchst, solltest du deshalb nicht nur auf den verfügbaren Speicherplatz und die Werbung achten, sondern auch darauf, ob der Anbieter seine Server regelmäßig aktualisiert.
Muss ich meine Homepage jetzt abschalten?
Nicht unbedingt.
Wenn dein Hosting-Anbieter die Sicherheitslücken bereits geschlossen hat, besteht wegen dieser beiden Schwachstellen kein Anlass, deine Homepage vorsorglich abzuschalten.
Anders sieht es aus, wenn du einen eigenen Server mit einer ungepatchten PHP-Version betreibst.
Hier solltest du schnell handeln. Wenn sich die Sicherheitslücken nicht zeitnah schließen lassen, kann es sinnvoll sein, die betroffene Anwendung vorübergehend vom Internet zu trennen.
Unser Fazit: PHP-Version prüfen und Sicherheitsupdates ernst nehmen
Die aktuellen PHP-Sicherheitslücken zeigen, wie wichtig eine regelmäßig gewartete Serverumgebung für die Sicherheit einer Homepage ist.
Dabei spielt es keine Rolle, ob du eine kleine private Webseite, einen WordPress-Blog oder eine umfangreiche Firmenhomepage betreibst.
Die gute Nachricht: Viele große Hosting-Anbieter haben bereits reagiert und entsprechende Sicherheitsmaßnahmen umgesetzt.
Unser Tipp: Kontrolliere die PHP-Version deiner Homepage, halte deine Software aktuell und erstelle regelmäßig Backups. So kannst du das Risiko erfolgreicher Angriffe deutlich reduzieren.
Weitere Informationen und offizielle Sicherheitsupdates findest du auf PHP.net.