PHP2Shell: So prüfst du in fünf Schritten, ob deine Website betroffen ist

Ob deine Website von PHP2Shell betroffen ist, entscheidet die PHP-Version auf deinem Server. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie neuere Versionen dieser Zweige, veröffentlicht am 21. Oktober 2026. Alles darunter gilt als verwundbar, bis dein Hoster eine bestätigte Korrektur eingespielt hat.

Diese Anleitung von Aubrey Company führt dich in fünf Schritten durch die Prüfung. Du brauchst dafür keine Programmierkenntnisse, nur Zugang zu deinem Hosting-Konto oder zum Backend deiner Website. Was PHP2Shell genau ist, erklären wir im ersten Teil dieser Serie.

Schritt 1: Finde heraus, welche PHP-Version läuft

Bei den meisten Hostern steht die PHP-Version im Kundenbereich, oft unter Webhosting, Einstellungen oder PHP-Konfiguration. In WordPress findest du sie unter Werkzeuge, Website-Zustand, Bericht, im Abschnitt Server. Notiere dir die vollständige Nummer mit allen drei Stellen, zum Beispiel 8.3.36. Die ersten beiden Stellen zeigen den Zweig, die dritte den Stand der Fehlerkorrekturen.

Es gibt eine wichtige Ausnahme. Manche Linux-Distributionen und Hoster tragen Sicherheitskorrekturen in ältere Versionen ein, ohne die Nummer zu erhöhen. Fachleute nennen das Backport. Steht bei dir eine ältere Nummer, klär deshalb in Schritt 2, ob die Korrektur trotzdem aktiv ist.

Schritt 2: Frag deinen Hoster nach dem Patch-Status

Bei Shared Hosting und Managed Hosting spielt in der Regel der Anbieter die PHP-Updates ein. Viele Hoster haben seit dem 21. Oktober 2026 Statusmeldungen veröffentlicht. Findest du keine, frag schriftlich nach: Ist auf meinem Paket eine Korrektur für CVE-2026-109618 und CVE-2026-109619 aktiv, und seit wann? Eine klare Antwort mit Datum ist mehr wert als ein allgemeines „Wir kümmern uns“.

Betreibst du einen eigenen Server oder einen virtuellen Server, bist du selbst zuständig. Dann spielst du die aktualisierten PHP-Pakete deiner Distribution ein und startest PHP-FPM oder den Webserver neu, damit die neue Version tatsächlich läuft.

Schritt 3: Verlass dich nicht auf das CMS-Update

Ein Update von WordPress, Shopware, TYPO3 oder einzelnen Plugins schließt PHP2Shell nicht. Die Lücke steckt in PHP selbst, also in der Schicht unter deinem System. Halte dein CMS trotzdem aktuell, aber hake die Prüfung erst ab, wenn die PHP-Version stimmt.

Denk auch an die Nebenschauplätze: Staging-Umgebungen, alte Testinstallationen und Microsites vergangener Kampagnen. Sie laufen oft auf derselben Infrastruktur, werden aber selten gepflegt. Gerade dort bleiben alte PHP-Versionen gern unbemerkt.

Schritt 4: Entscheide, was mit alten PHP-Versionen passiert

Läuft deine Website auf PHP 8.1 oder älter, gibt es vom PHP-Projekt keine offizielle neue Version. Für PHP 7.4 bis 8.1 existieren nur minimale Korrekturen, die dein Hoster einspielen muss. Für PHP 5.4 bis 7.3 gibt es gar keine Korrektur. Auf Dauer hilft hier nur der Wechsel auf einen unterstützten Zweig, und der erfordert oft Anpassungen an Theme, Plugins oder eigenem Code.

Bis dahin nennt das BSI in seiner Warnung (Version 1.2 vom 22. Oktober 2026) die vorübergehende Trennung vom Netz als Option für veraltete Systeme, die sich nicht kurzfristig aktualisieren lassen. Anbieter von Web Application Firewalls wie Cloudflare haben laut BSI Regeln gegen bekannte Angriffswege veröffentlicht. Das verschafft dir Zeit, ersetzt aber kein Update.

Schritt 5: Beobachte deinen Server

Auch nach dem Update lohnt ein Blick zurück. Das BSI empfiehlt, öffentlich erreichbare PHP-Server verstärkt auf Auffälligkeiten zu beobachten. Dazu zählen unbekannte Dateien im Webverzeichnis, neue Administratorkonten, ungewöhnliche Serverlast oder Weiterleitungen, die du nicht eingerichtet hast. Laut Infosecurity Magazine wurde ein erster Angriffsversuch schon am 17. Oktober 2026 beobachtet, also vor der Veröffentlichung der Updates.

Findest du Hinweise auf einen Einbruch, reicht ein Update nicht mehr. Dann gehört der Server in fachkundige Hände. Wer dir in diesem Fall rund um die Uhr hilft, zeigen wir im dritten Teil dieser Serie.

Häufige Fragen

Wo finde ich die PHP-Version meiner WordPress-Website?

Die PHP-Version steht in WordPress unter Werkzeuge, Website-Zustand, Bericht, im Abschnitt Server. Alternativ findest du sie im Kundenbereich deines Hosters.

Meine PHP-Version ist älter als 8.2.35. Ist meine Website damit automatisch ungeschützt?

Nicht zwingend. Manche Hoster und Distributionen spielen die Korrektur ein, ohne die Versionsnummer zu ändern. Lass dir den Patch-Status für CVE-2026-109618 und CVE-2026-109619 von deinem Hoster schriftlich bestätigen.

Reicht ein WordPress-Update gegen PHP2Shell?

Nein. PHP2Shell steckt im Kern von PHP, nicht in WordPress. Erst eine sichere PHP-Version oder eine bestätigte Korrektur deines Hosters schließt die Lücke.

Was mache ich, wenn meine Website noch auf PHP 7.4 oder PHP 8.0 läuft?

Plane den Wechsel auf einen unterstützten PHP-Zweig, also mindestens PHP 8.2. Bis dahin brauchst du die Korrektur deines Hosters oder, wenn es keine gibt, eine vorübergehende Abschaltung, die das BSI als Option nennt.