Seit dem 21. Oktober 2026 herrscht in der Webbranche Alarmstimmung: Das PHP-Team hat zwei kritische Sicherheitslücken geschlossen, die unter dem Namen «PHP2Shell» bekannt wurden. Über sie können Angreifer ohne Anmeldung eigenen Code auf einem Webserver ausführen – im schlimmsten Fall übernehmen sie damit die ganze Website.
PHP ist die Programmiersprache hinter einem grossen Teil aller Websites, darunter jede WordPress-Website und viele Online-Shops. Entsprechend gross ist die Aufmerksamkeit – auch in der Schweiz. Wir erklären, was passiert ist, ob Ihre Website betroffen ist und was Sie jetzt konkret tun sollten.
Kurz gesagt: Sicher sind nur die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (oder neuer) beziehungsweise entsprechend gepatchte Pakete Ihres Hosters. Ein WordPress-Update allein reicht nicht, denn die Lücke steckt im Server. Fragen Sie Ihren Hoster, ob das Update eingespielt ist – und läuft Ihre Website noch auf PHP 8.1 oder älter, besteht dringender Handlungsbedarf.
Was ist passiert?
Am 20. Oktober kündigte das PHP-Sicherheitsteam ein dringendes Update an, am 21. Oktober 2026 erschienen die korrigierten Versionen. Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind mit 9,2 von 10 Punkten (CVSS v4.0) als kritisch eingestuft.
Technisch geht es um Fehler in der internen Speicherverwaltung von PHP: Unter bestimmten Bedingungen arbeitet PHP mit unvollständig vorbereiteten oder bereits veralteten Daten aus einer früheren Anfrage. Ein Angreifer kann das mit präparierten Anfragen ausnutzen, um Schadcode auszuführen – je nach Server-Konfiguration (etwa bei Apache mit mod_php) sogar, bevor die eigentliche Website überhaupt geladen ist. Ein Login oder eine bestimmte Erweiterung ist dafür nicht nötig.
Ist meine Website betroffen?
Gefährdet ist laut dem PHP-Team jede PHP-Installation, die Anfragen aus dem Web beantwortet – unabhängig davon, ob PHP über PHP-FPM, Apache (mod_php), CGI oder LiteSpeed läuft. Das betrifft unter anderem:
- WordPress-Websites – auch mit vollständig aktualisierten Plugins und Themes,
- Online-Shops auf PHP-Basis wie WooCommerce, Shopware oder PrestaShop,
- Content-Management-Systeme wie Joomla, Drupal oder TYPO3,
- eigene Webanwendungen, Kundenportale und Formulare, die mit PHP arbeiten.
Sicher sind nur die aktualisierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere Versionen stellt das PHP-Projekt keine offiziellen Updates mehr bereit – hier helfen nur gepatchte Pakete des Hosters oder ein Wechsel auf eine aktuelle Version.
Wichtig: Die Versionsnummer allein sagt nicht immer alles. Viele Hoster und Linux-Distributionen spielen Sicherheitskorrekturen in ihre eigenen Pakete ein, die eine andere Nummer tragen. Verbindlich ist deshalb die Bestätigung Ihres Hosters.
Warum ein WordPress-Update nicht reicht
Die Lücke liegt nicht in WordPress, sondern in PHP – also in der Software, die auf dem Server läuft und WordPress überhaupt erst ausführt. Updates für WordPress, Plugins und Themes bleiben wichtig, schliessen diese Lücke aber nicht. Das Update muss auf dem Server eingespielt werden – bei Shared Hosting durch Ihren Hoster, bei einem eigenen Server durch Sie selbst oder Ihre IT.
Was Sie jetzt tun sollten
- PHP-Version prüfen: Im Control Panel Ihres Hostings (z. B. cPanel oder Plesk) sehen Sie, welche PHP-Version Ihre Website nutzt.
- Beim Hoster nachfragen: Lassen Sie sich bestätigen, dass die Sicherheitsupdates vom 21. Oktober eingespielt sind. Viele Hoster haben ihre Server bereits aktualisiert und informieren darüber auf ihrer Website.
- Veraltete PHP-Versionen ersetzen: Läuft Ihre Website noch auf PHP 8.1 oder älter, sollte sie so schnell wie möglich auf eine aktuelle Version wechseln. Testen Sie vorher, ob Theme und Plugins damit funktionieren – oder lassen Sie das von einer Fachperson erledigen.
- Eigene Server sofort aktualisieren: Wer einen eigenen Server oder VPS betreibt, muss PHP selbst aktualisieren und danach alle PHP-Prozesse neu starten. Container-Images müssen neu gebaut werden.
- Im Notfall vom Netz nehmen: Lässt sich ein System nicht sofort aktualisieren, empfehlen Behörden wie die US-Cybersicherheitsbehörde CISA, es vorübergehend offline zu nehmen. Konfigurationsänderungen oder eine Web Application Firewall verringern das Risiko höchstens teilweise – vollständig behebt die Lücken laut PHP-Team nur das Update.
- Auf Anzeichen eines Angriffs achten: Unbekannte Administrator-Konten, neue oder veränderte PHP-Dateien, ungewohnte Weiterleitungen oder Spam-Seiten in den Google-Ergebnissen können auf eine Kompromittierung hinweisen. In diesem Fall Passwörter und Zugangsschlüssel ändern und ein sauberes Backup einspielen.
Was bedeutet das für die Schweiz?
Das Bundesamt für Cybersicherheit (BACS) rief Betreiber am 22. Oktober dazu auf, die Updates umgehend zu installieren. Angriffe in der Schweiz, die klar auf diese Lücken zurückgehen, waren dem BACS zu diesem Zeitpunkt nicht bekannt – unentdeckte Fälle könne man aber nicht ausschliessen. Auch Anwendungen der Bundesverwaltung waren betroffen. Mehrere Websites, darunter Angebote von Hochschulen und die Website des Kantons Basel-Stadt, wurden vorsorglich eingeschränkt oder vom Netz genommen.
Der nächste Termin steht schon fest
Auch nach dem Update lohnt sich ein Blick in den Kalender: PHP 8.2 erhält ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr. Websites, die noch auf PHP 8.2 oder älter laufen, sollten deshalb jetzt auf PHP 8.3 oder 8.4 umgestellt werden – geplant und getestet, statt unter Zeitdruck bei der nächsten Lücke.
PHP2Shell zeigt einmal mehr: Eine Website ist kein einmaliges Projekt, sondern braucht regelmässige Pflege. Wer Updates, Backups und Überwachung im Griff hat, kann auf solche Meldungen gelassen reagieren.
Sie sind unsicher, ob Ihre Website betroffen ist? Kontaktieren Sie uns – wir prüfen Ihre Website, klären den Stand mit Ihrem Hoster und kümmern uns um das Update.
Quellen
- PHP: Sicherheitsupdate vom 21. Oktober 2026 sowie die technischen Hinweise zu CVE-2026-109618 und CVE-2026-109619
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching, 21. Oktober 2026
- watson.ch / Keystone-SDA: Keine Hackerangriffe wegen PHP-Sicherheitslücken in der Schweiz bekannt, 22. Oktober 2026