{"id":12011,"date":"2026-10-22T21:18:10","date_gmt":"2026-10-22T18:18:10","guid":{"rendered":"https:\/\/360dsgn.com\/de\/?p=12011"},"modified":"2026-10-22T21:18:10","modified_gmt":"2026-10-22T18:18:10","slug":"php2shell-sicherheitsluecke-was-tun","status":"publish","type":"post","link":"https:\/\/360dsgn.com\/de\/php2shell-sicherheitsluecke-was-tun\/","title":{"rendered":"PHP2Shell-Sicherheitsl\u00fccke: Was Website-Betreiber jetzt tun sollten"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Am 21. Oktober 2026 haben die PHP-Entwickler ein Update ver\u00f6ffentlicht, das zwei kritische Sicherheitsl\u00fccken schlie\u00dft. Die als \u201ePHP2Shell\u201c bekannten L\u00fccken erm\u00f6glichen es Angreifern, ohne Passwort oder Login Code auf dem Webserver auszuf\u00fchren. Die kurze Antwort: <strong>L\u00e4uft Ihre Website mit einer PHP-Version, die \u00e4lter ist als 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, muss sie aktualisiert werden; nutzen Sie PHP 8.1 oder \u00e4lter, ist der Umstieg auf eine unterst\u00fctzte Version n\u00f6tig.<\/strong> In diesem Beitrag erkl\u00e4ren wir, was hinter der L\u00fccke steckt, wie Sie erkennen, ob Ihre Website betroffen ist, und was Sie jetzt tun sollten.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was ist PHP und warum betrifft diese L\u00fccke so viele Websites?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP ist die Programmiersprache, die auf der Serverseite einer Website l\u00e4uft. Verbreitete Systeme wie WordPress, WooCommerce, OpenCart, Joomla, Drupal und Magento sind alle in PHP geschrieben. Laut W3Techs nutzen mehr als zwei Drittel der Websites, deren serverseitige Sprache bekannt ist, PHP. Kurz gesagt: Eine Unternehmenswebsite, ein Onlineshop oder ein Blog l\u00e4uft sehr wahrscheinlich mit PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Deshalb betrifft eine L\u00fccke in PHP selbst einen weit gr\u00f6\u00dferen Kreis als eine L\u00fccke in einem einzelnen Plugin oder Theme: Auch wenn Theme, Plugins und Inhalte Ihrer Website aktuell sind, bleibt das Risiko bestehen, solange die PHP-Version, mit der die Website l\u00e4uft, nicht aktuell ist.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was bewirkt die PHP2Shell-L\u00fccke?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Es handelt sich um zwei getrennte L\u00fccken. CVE-2026-109618 entsteht, weil PHP beim Umgang mit einem Speichermangel (Out of Memory) den Speicher besch\u00e4digt; CVE-2026-109619 entsteht, weil Daten, die eine Anfrage zur\u00fcckl\u00e4sst, von der n\u00e4chsten Anfrage wiederverwendet werden. Beide werden auf der CVSS-4.0-Skala mit 9,2 von 10 bewertet und gelten damit als \u201ekritisch\u201c.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die eigentliche Gefahr: Der Angriff erfordert keinen Login. Ohne Ihr Admin-Panel zu betreten, kann ein Angreifer allein durch speziell pr\u00e4parierte Anfragen Befehle auf dem Server ausf\u00fchren. Die Forscher, die die L\u00fccken entdeckt haben, best\u00e4tigten, dass dies auch bei Websites mit bestimmten Versionen von WordPress, Joomla, Drupal und Magento m\u00f6glich ist. Wer Code auf Ihrem Server ausf\u00fchren kann, kann Schadcode auf Ihrer Website ablegen, auf Kunden- und Bestelldaten in Ihrer Datenbank zugreifen oder Ihre Besucher auf andere Websites umleiten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wie ernst die Lage ist, zeigen die Reaktionen. In den USA haben FBI, NSA und CISA, in Europa CERT-EU dazu geraten, sofort zu aktualisieren und Systeme, bei denen das nicht m\u00f6glich ist, vor\u00fcbergehend vom Netz zu nehmen. In Japan, den Niederlanden, Norwegen und Finnland wurden einige Beh\u00f6rdenwebsites vorsorglich abgeschaltet. Sicherheitsfirmen berichten, dass sie die ersten Angriffsversuche bereits am 17. Oktober beobachtet haben \u2013 noch bevor die L\u00fccken bekannt gegeben wurden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Welche PHP-Versionen sind sicher?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Das PHP-Team hat am 21. Oktober 2026 Korrekturen f\u00fcr vier Versionszweige ver\u00f6ffentlicht. L\u00e4uft in dem Zweig, den Ihre Website nutzt, die folgende Version oder eine neuere, ist sie gegen diese beiden L\u00fccken gesch\u00fctzt:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>PHP 8.5:<\/strong> 8.5.12 oder neuer<\/li>\n\n\n<li><strong>PHP 8.4:<\/strong> 8.4.27 oder neuer<\/li>\n\n\n<li><strong>PHP 8.3:<\/strong> 8.3.36 oder neuer<\/li>\n\n\n<li><strong>PHP 8.2:<\/strong> 8.2.35 oder neuer<\/li>\n\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full yazi-cizim\"><img decoding=\"async\" src=\"\/wp-content\/themes\/360tasarim-tema\/assets\/img\/yazi\/blog-php2shell-acigi-nedir-ne-yapmali-1.de.svg\" alt=\"Status der PHP-Versionen: In den Zweigen 8.2 bis 8.5 gen\u00fcgt ein Update, f\u00fcr 7.4 bis 8.1 gibt es kein offizielles Release, 7.3 und \u00e4lter werden nicht mehr unterst\u00fctzt\"\/><figcaption class=\"wp-element-caption\">Status der PHP-Versionen nach dem Sicherheitsupdate vom 21. Oktober 2026.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr PHP 8.1 und \u00e4lter gibt es kein offizielles Release. F\u00fcr PHP 7.4, 8.0 und 8.1 wurden lediglich eingeschr\u00e4nkte Patches ver\u00f6ffentlicht, die aus dem Quellcode kompiliert werden m\u00fcssen; manche Linux-Distributionen und Anbieter von Langzeit-Support \u00fcbernehmen sie eventuell in ihre eigenen Pakete. PHP 7.3 und \u00e4ltere Versionen werden \u00fcberhaupt nicht mehr unterst\u00fctzt. F\u00fcr eine Website auf einer dieser Versionen ist der Umzug auf eine unterst\u00fctzte Version die dauerhafte L\u00f6sung.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Wie finden Sie heraus, mit welcher PHP-Version Ihre Website l\u00e4uft?<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>Hosting-Panel:<\/strong> Sehen Sie in cPanel, Plesk oder DirectAdmin unter \u201ePHP-Version\u201c, \u201ePHP-Einstellungen\u201c oder \u201eMultiPHP-Manager\u201c nach. Die Version wird oft pro Domain festgelegt.<\/li>\n\n\n<li><strong>WordPress:<\/strong> Im Dashboard finden Sie die PHP-Version unter Werkzeuge \u2192 Website-Zustand \u2192 Bericht \u2192 Server.<\/li>\n\n\n<li><strong>Hosting-Anbieter:<\/strong> Wenn Sie die Angabe nicht finden, fragen Sie Ihren Anbieter: \u201eMit welcher PHP-Version l\u00e4uft meine Website, und wurde das Sicherheitsupdate vom 21. Oktober eingespielt?\u201c<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Achten Sie auf ein Detail: Dass auf dem Server eine neue PHP-Version installiert ist, hei\u00dft nicht, dass Ihre Website sie auch nutzt. Beim Shared Hosting l\u00e4sst sich f\u00fcr jede Website eine eigene Version w\u00e4hlen. Ist f\u00fcr Ihre Website eine alte Version eingestellt, l\u00e4uft sie damit weiter, selbst wenn der Server aktualisiert wurde.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Worauf Sie vor und nach dem Update achten sollten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die PHP-Version l\u00e4sst sich im Hosting-Panel mit wenigen Klicks umstellen. Sie einfach umzustellen und die Website sich selbst zu \u00fcberlassen, ist jedoch riskant \u2013 vor allem beim Sprung von einer alten auf eine neue Version. Ein \u00e4lteres Theme oder Plugin ist mit der neuen Version wom\u00f6glich nicht kompatibel, und die Website zeigt dann eine leere Seite oder Fehlermeldungen.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li>Sichern Sie zuerst die Dateien und die Datenbank der Website.<\/li>\n\n\n<li>Testen Sie die Umstellung nach M\u00f6glichkeit zuerst an einer Kopie der Website.<\/li>\n\n\n<li>Aktualisieren Sie den WordPress-Core, das Theme und die Plugins; ersetzen Sie Plugins, die keine Updates mehr erhalten.<\/li>\n\n\n<li>Pr\u00fcfen Sie nach dem Update nacheinander die Startseite, das Kontaktformular, gegebenenfalls den Bestellvorgang und das Dashboard.<\/li>\n\n\n<li>Tritt ein Problem auf, spielen Sie das Backup zur\u00fcck, beheben die Ursache und versuchen es erneut.<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Firewall-Dienste wie Cloudflare haben Regeln gegen bekannte Angriffsmethoden ver\u00f6ffentlicht. Diese Regeln verschaffen Ihnen Zeit, sch\u00fctzen aber nur den Datenverkehr, der \u00fcber den jeweiligen Dienst l\u00e4uft, und sind eine vor\u00fcbergehende Ma\u00dfnahme. Die dauerhafte L\u00f6sung ist das PHP-Update.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Wurde Ihre Website wom\u00f6glich schon angegriffen?<\/h2>\n\n\n\n<figure class=\"wp-block-image size-full yazi-cizim\"><img decoding=\"async\" src=\"\/wp-content\/themes\/360tasarim-tema\/assets\/img\/yazi\/blog-php2shell-acigi-nedir-ne-yapmali-2.webp\" alt=\"Laptop mit roter Sicherheitswarnung und H\u00e4kchen \u00fcber der Tastatur\"\/><figcaption class=\"wp-element-caption\">Ein Update schlie\u00dft die L\u00fccke; ist bereits jemand eingedrungen, m\u00fcssen die Spuren gesondert beseitigt werden.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Ein Update schlie\u00dft die L\u00fccke, macht einen bereits erfolgten Einbruch aber nicht r\u00fcckg\u00e4ngig. Wenn Sie eines der folgenden Anzeichen bemerken, sollte Ihre Website genauer untersucht werden:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li>Benutzerkonten im Dashboard, die Sie nicht kennen<\/li>\n\n\n<li>PHP-Dateien auf dem Server mit sinnlosen Namen oder k\u00fcrzlichen \u00c4nderungen<\/li>\n\n\n<li>Besucher werden auf andere Websites umgeleitet, oder in den Suchergebnissen erscheinen unter Ihrer Website themenfremde Titel<\/li>\n\n\n<li>Hinweise, dass \u00fcber Ihre Website Spam-E-Mails versendet werden, oder Warnungen Ihres Hosting-Anbieters wegen \u00fcberm\u00e4\u00dfiger Ressourcennutzung<\/li>\n\n\n<li>Eine Meldung zu \u201eSicherheitsproblemen\u201c in der Google Search Console<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">In diesem Fall reicht ein PHP-Update allein nicht aus: Schadcode muss entfernt, alle Passw\u00f6rter m\u00fcssen ge\u00e4ndert und die Sicherheitseinstellungen der Website versch\u00e4rft werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">So unterst\u00fctzen wir Sie<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"\/kontakt\/\">Kontaktieren Sie uns<\/a> \u2013 wir pr\u00fcfen kostenlos, ob Ihre Website betroffen ist. Sobald Sie uns die Adresse Ihrer Website schicken, sehen wir uns die von au\u00dfen erkennbaren Anzeichen an und erkl\u00e4ren Ihnen das Ergebnis verst\u00e4ndlich. Ist ein Update n\u00f6tig, erstellen wir zuerst ein Backup und pr\u00fcfen anschlie\u00dfend, ob die Website einwandfrei funktioniert. Wir sehen uns Ihre Website an, ganz gleich, welche Agentur sie umgesetzt hat.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ist die technische Basis Ihrer Website zu alt f\u00fcr aktuelle PHP-Versionen, planen wir gemeinsam den Umstieg auf eine zeitgem\u00e4\u00dfe <a href=\"\/webdesign\/\">Website<\/a>.<\/p>\n\n\n\n<p class=\"has-kucuk-font-size wp-block-paragraph\">Quellen: <a href=\"https:\/\/www.cisa.gov\/news-events\/alerts\/2026\/10\/21\/critical-vulnerabilities-php-require-immediate-patching\" target=\"_blank\" rel=\"noopener\" data-yeni-sekme=\"1\">CISA<\/a>, <a href=\"https:\/\/www.tenable.com\/blog\/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote\" target=\"_blank\" rel=\"noopener\" data-yeni-sekme=\"1\">Tenable<\/a>, <a href=\"https:\/\/www.rapid7.com\/blog\/post\/etr-cve-2026-109618-and-cve-2026-109619-critical-unauthenticated-remote-code-execution-in-php\/\" target=\"_blank\" rel=\"noopener\" data-yeni-sekme=\"1\">Rapid7<\/a>, <a href=\"https:\/\/www.aa.com.tr\/tr\/bilim-teknoloji\/dunya-capinda-php-kaynakli-guvenlik-aciginin-giderilmesi-icin-cok-sayida-internet-sitesi-erisime-kapatildi\/4096454\" target=\"_blank\" rel=\"noopener\" data-yeni-sekme=\"1\">Anadolu Agency<\/a>. Stand der Informationen: 22. Oktober 2026.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die am 21. Oktober 2026 geschlossenen PHP2Shell-L\u00fccken erlauben Angreifern, ohne Passwort Code auf dem Webserver auszuf\u00fchren. Wir erkl\u00e4ren, welche PHP-Versionen sicher sind, wie Sie die Version Ihrer Website herausfinden und was jetzt zu tun ist.<\/p>\n","protected":false},"author":19,"featured_media":12012,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_ucyuzaltmis_kapak":"","_ucyuzaltmis_slogan":"","_ucyuzaltmis_giris":"","footnotes":""},"categories":[16],"tags":[],"class_list":["post-12011","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-software"],"_links":{"self":[{"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/posts\/12011","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/users\/19"}],"replies":[{"embeddable":true,"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/comments?post=12011"}],"version-history":[{"count":1,"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/posts\/12011\/revisions"}],"predecessor-version":[{"id":12013,"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/posts\/12011\/revisions\/12013"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/media\/12012"}],"wp:attachment":[{"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/media?parent=12011"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/categories?post=12011"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/360dsgn.com\/de\/wp-json\/wp\/v2\/tags?post=12011"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}