PHP2Shell: Warum jetzt fast jede WordPress-Website ein Update braucht

PHP ist die Programmiersprache, auf der WordPress läuft. Sie ist auf dem Server deines Hosters installiert und führt bei jedem Seitenaufruf den Code von WordPress, deinem Theme und deinen Plugins aus. Am besten stellst du dir PHP als Fundament vor, auf dem das ganze Haus steht.

PHP2Shell ist ein Riss in genau diesem Fundament. Gemeint sind zwei Sicherheitslücken im PHP-Interpreter (CVE-2026-109618 und CVE-2026-109619), die das PHP-Security-Team als kritisch eingestuft hat (CVSS v4.0: 9.2). Über sie können Angreifer ohne Login fremden Code auf dem Server ausführen (Remote Code Execution) und so die Website oder gleich den ganzen Server übernehmen. Zusätzlich lässt sich Arbeitsspeicher auslesen, in dem Passwörter, Tokens oder API-Schlüssel liegen können.

Entdeckt und gemeldet hat die Lücken Wiz Research. Laut Wiz ist jede PHP-Version bis zurück zu 5.4 von mindestens einer der beiden Lücken betroffen. Das Team hat Angriffe ohne Login auf aktuelle WordPress-, Drupal- und Joomla-Installationen demonstriert. Kurz: Es spielt keine Rolle, wie gut das Haus gepflegt ist, wenn das Fundament nachgibt.

• 20. Oktober 2026: Details zu den Lücken sickern noch vor der geplanten Veröffentlichung durch.
• 21. Oktober 2026, morgens: Hoster melden Patchstack und Cloudflare erste aktive Angriffe. Auch in Österreich nehmen große Organisationen vorsorglich Websites offline: Die Universität Wien schaltet ihre Website und zentrale IT-Services wie Webmail und Moodle ab, die TU Wien beschränkt ihre Online-Dienste auf das interne Uni-Netz. Auch die Websites der NÖN und des Presseaussendungsdienstes OTS sind zeitweise nicht erreichbar.
• 21. Oktober 2026, 15:52 Uhr (österreichische Zeit): Das PHP-Projekt veröffentlicht die Fixes.

Inzwischen ist öffentlicher Exploit-Code im Umlauf. Die EU-Cybersicherheitsstelle CERT-EU und das britische National Cyber Security Centre (NCSC) haben Warnungen herausgegeben.

Wenn deine Website mit WordPress, WooCommerce, Joomla, Drupal oder einem anderen PHP-basierten System läuft: ja. Und zwar so lange, bis PHP auf deinem Server aktualisiert ist.

Wichtig: Ein Update von WordPress, deinem Theme oder deinen Plugins behebt die Lücke nicht. Auch eine vorbildlich gepflegte WordPress-Installation ist angreifbar, solange darunter eine ungepatchte PHP-Version läuft. Entscheidend ist allein, welche PHP-Version auf dem Server installiert ist.

Die gute Nachricht: Die Fixes sind veröffentlicht. Diese Schritte solltest du jetzt angehen, am besten gemeinsam mit deinem Hoster oder deiner Agentur:

• Nachfragen: Frag deinen Hoster oder deine Agentur, ob PHP auf deinem Server bereits aktualisiert wurde. Das ist der wichtigste Schritt.
• Auf eine gepatchte Version aktualisieren: Die Fixes stecken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bzw. im entsprechend gepatchten Paket deines Hosters oder deiner Linux-Distribution.
• Alte PHP-Versionen ersetzen: PHP 8.1 und älter bekommen vom PHP-Projekt keine regulären Updates mehr. Frag deinen Hoster nach einem Backport des Fixes oder wechsle auf eine unterstützte Version.
• Vergessene Installationen finden: Denk an alle Orte, an denen PHP läuft, auch an Staging-Seiten, alte Subdomains und Testinstallationen. Eine vergessene Testseite reicht als Einfallstor.
• Finger weg von „Fix-Plugins“: Installiere keine inoffiziellen Plugins oder kopierten Code-Schnipsel, die Schutz versprechen. Die Lücke schließt nur das PHP-Update.
• Kritische Seiten vorübergehend pausieren: Wenn du nicht sofort aktualisieren kannst und deine Website geschäftskritisch ist, nimm sie bis zum Update in den Wartungsmodus.
• Bei Verdacht handeln: Gibt es Hinweise auf einen Angriff, behandle den Server als potenziell kompromittiert und erneuere alle Zugangsdaten, also Passwörter und API-Schlüssel.

PHP2Shell zeigt ein grundsätzliches Muster: Eine WordPress-Website besteht aus mehreren Ebenen, und jede davon muss laufend gepflegt werden.

• PHP: die Programmiersprache auf dem Server
• WordPress-Core: das System selbst
• Theme: das Erscheinungsbild deiner Website
• Plugins: jede einzelne Erweiterung, inklusive Page-Builder

Jede dieser Ebenen kann eine Lücke haben. Erst vor rund einem Monat wurde eine kritische Lücke im WordPress-Core (CVE-2026-87902) aktiv ausgenutzt; behoben ist sie in WordPress 7.1.2. Und allein im Oktober 2026 meldete Patchstack unter anderem eine aktiv ausgenutzte Lücke im Plugin Bricksforge sowie Hintertüren, die über gestohlene UpdraftCentral-Schlüssel eingeschleust wurden.

Das heißt nicht, dass WordPress schlecht ist. Die Herausforderung liegt in der Summe: Je mehr Ebenen und Plugins eine Website hat, desto mehr muss laufend aktualisiert und überwacht werden, und desto mehr Stellen gibt es, an denen etwas schiefgehen kann.

Bei neuen Websites setzen wir bei Zewas Digital auf Payload CMS mit Next.js. Das ist ein moderner JavaScript-Stack, der ohne PHP auskommt und keinen Marktplatz für Drittanbieter-Plugins hat. Von PHP2Shell war dieser Stack deshalb nicht betroffen.

Unangreifbar ist auch dieser Ansatz nicht. Jede Software hat Lücken, auch Next.js hatte bereits kritische. Der Unterschied liegt in der Angriffsfläche: Es gibt deutlich weniger Komponenten, die angegriffen werden können, und damit auch weniger Pflegeaufwand. Für dich und dein Team bleibt es trotzdem komfortabel, denn eure Inhalte pflegt ihr weiterhin selbst über ein übersichtliches Admin-Panel.

Ja. Mittels KI lässt sich eine veraltete PHP-Website heute einfach und deutlich schneller auf ein modernes CMS migrieren als noch vor wenigen Jahren. Die KI übernimmt den Großteil der Fleißarbeit, die einen Relaunch früher teuer und langwierig gemacht hat. Das gilt für alte WordPress-Seiten genauso wie für selbst programmierte PHP-Websites, Joomla oder TYPO3.

• Inhalte übernehmen: Seiten, Blogbeiträge, Bilder und Produkte werden automatisch ausgelesen, sauber strukturiert und ins neue CMS übertragen.
• SEO erhalten: Alte URLs werden auf die neuen weitergeleitet, Meta-Titel und Beschreibungen wandern mit. So bleiben deine Google-Rankings erhalten.
• Altlasten loswerden: Veraltete Plugins, ungenutzte Seiten und doppelte Inhalte fallen bei der Migration weg.

Bei Zewas Digital kombinieren wir KI-gestützte Migration mit redaktioneller Kontrolle durch unser Team. Das Ergebnis ist eine schnelle Website auf Basis von Payload CMS und Next.js, die ohne PHP auskommt und die du weiterhin selbst pflegst.

Kurzfristig zählt nur eines: PHP auf deinem Server muss aktualisiert werden, und zwar überall, wo es läuft. Ein WordPress-Update reicht dafür nicht. Langfristig lohnt sich eine zweite Frage: Wie groß muss die Angriffsfläche deiner Website eigentlich sein? Steht ohnehin ein Relaunch an, ist das der richtige Moment, die technische Basis neu zu bewerten. Dank KI-gestützter Migration ist der Umstieg auf ein modernes CMS heute schneller und günstiger als je zuvor.

Du bist unsicher, ob deine Website betroffen ist, oder planst einen Relaunch? Melde dich bei uns, wir schauen uns das gemeinsam mit dir an.

Häufige Fragen zu PHP2Shell

Quellen

• PHP Security Advisory (php.net)
• The PHP Foundation: Security-Release vom 21. Oktober 2026
• Wiz Research: PHP2Shell
• Patchstack: Überblick und Timeline
• CERT-EU Security Advisory 2026-018
• UK National Cyber Security Centre (NCSC)
• Cyber Security News: WordPress-Core-Lücke CVE-2026-87902
• ORF: „PHP2Shell“: Sicherheitslücken bedrohen Websites
• MeinBezirk: NÖN, OTS und weitere Websites offline