---
title: "PHP2Shell: Die kritische PHP-Sicherheitslücke und was KMU jetzt tun müssen"
description: "Zwei kritische PHP-Lücken (PHP2Shell) bedrohen Webseiten weltweit. Was passiert ist, welche Rolle KI spielt und welche 6 Schritte KMU jetzt umsetzen."
date: "2026-10-23T04:26:32.565633+00:00"
updated: "2026-10-23T04:26:32.565633+00:00"
author: "Cybershark Team"
url: "https://cybershark.ch/blog/php2shell-php-sicherheitsluecke-kmu"
tags: ["PHP", "PHP2Shell", "Sicherheitslücke", "WordPress", "Cybersecurity", "IT-Sicherheit", "KMU", "KI"]
---

# PHP2Shell: Die kritische PHP-Sicherheitslücke und was KMU jetzt tun müssen

**Kurz gesagt: Am 21. Oktober 2026 hat die PHP Foundation Notfall-Updates für zwei kritische Sicherheitslücken in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619, genannt «PHP2Shell»).** PHP läuft auf rund 70 % aller Webseiten, darunter WordPress, Drupal, Joomla, Magento und Laravel. Wer nicht mindestens PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 einsetzt, ist angreifbar. Prüfen Sie Ihre PHP-Version noch heute.

Stand: 23. Oktober 2026 · Lesezeit: ca. 5 Minuten. Die Lage entwickelt sich laufend.

## Was ist PHP2Shell?

PHP2Shell ist der Name für zwei Schwachstellen im PHP-Interpreter selbst. Sie liegen also nicht in einem einzelnen Plugin oder einer einzelnen Webseite, sondern im Fundament, auf dem die Seite läuft. Beide Lücken ermöglichen laut den Entdeckern von Wiz Research Remote Code Execution: Ein Angreifer kann Code auf Ihrem Server ausführen, ohne sich anzumelden. Zusätzlich kann Speicherinhalt des Servers ausgelesen werden, in dem Passwörter oder Schlüssel liegen können.

Die PHP Foundation stuft beide Lücken als kritisch ein (CVSS 9.2 von 10). Betroffen ist jede PHP-Version der letzten zehn Jahre, bis zurück zu PHP 5.4. Gefährdet sind alle gängigen Betriebsarten: PHP-FPM, Apache mit mod\_php, php-cgi, FrankenPHP und LiteSpeed.

## Was ist passiert? Die Chronologie

Datum

Ereignis

**21\. Oktober 2026**

PHP veröffentlicht die Updates 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Die NSA und die europäische Cybersicherheitsbehörde raten zu sofortigem Handeln. Der Sicherheitsanbieter watchTowr beobachtet bereits Angriffe auf echte Systeme.

**20\. Oktober 2026**

Details der Lücken gelangen vor dem geplanten Termin an die Öffentlichkeit. Cloudflare registriert laut Fortune innerhalb von 45 Minuten zehntausende Angriffsversuche.

**21\. September 2026**

PHP bestätigt die gemeldeten Lücken und beginnt mit der Entwicklung eines Fixes.

Die NSA empfahl Betreibern sogar, ihre Seiten vom Netz zu nehmen, wenn ein schnelles Update nicht möglich ist. Mehrere Behörden und Organisationen in Europa haben ihre Webseiten vorübergehend abgeschaltet. Stand 22. Oktober hat die US-Behörde CISA keine der beiden Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Die Lage kann sich aber stündlich ändern.

## Warum KI der eigentliche Wendepunkt ist

Die Fehler steckten über ein Jahrzehnt unbemerkt im PHP-Code. Neu ist, wie sie gefunden und nutzbar gemacht wurden: Forschende von Wiz und Calif haben dafür KI-Modelle eingesetzt, namentlich GPT-5.6 Sol von OpenAI und Gemini 4 Argon von Google. Wiz spricht von einem «AI inflection point». Der Kern der Aussage: Die Schwachstellen existierten schon lange, aber KI macht es deutlich einfacher, aus einem theoretischen Fehler einen funktionierenden Angriff zu bauen und ihn an verschiedene Systeme anzupassen.

Das ist keine Einzelerscheinung:

-   **WordPress, September 2026:** Für die Core-Lücke CVE-2026-87902 erschien am 22. September das Update 7.1.2. Laut Patchstack gab es die ersten Angriffsversuche weniger als fünf Stunden später.
-   **Angriffe mit KI-Modellen:** Forbes berichtete im September über einen Hacker, der mit KI-Modellen von Anthropic und DeepSeek über 600'000 Kreditkartendaten von mehr als 100 Webseiten gestohlen haben soll.

### Was das für Sie bedeutet

Das Zeitfenster zwischen «Update verfügbar» und «Angriff läuft» schrumpft von Wochen auf Stunden. Automatisierte KI-gestützte Werkzeuge müssen nicht schlafen und scannen laufend nach verwundbaren Seiten. Das ist unsere Einschätzung aus den genannten Fällen. Wer seine Webseite nur gelegentlich anschaut, ist damit im Nachteil.

## Bin ich betroffen?

Sehr wahrscheinlich ja, wenn Ihre Webseite mit PHP läuft und die Version nicht aktualisiert ist. Das trifft insbesondere auf WordPress-Seiten zu, die von einer Agentur gebaut und danach nicht mehr betreut wurden. Die PHP-Version sehen Sie im Hosting-Panel (zum Beispiel Plesk oder cPanel) oder erfahren sie von Ihrem Hoster. Wichtig: Ein WordPress-Update allein genügt nicht, denn die Lücke liegt auf Serverebene.

## Die 6-Schritte-Checkliste für heute

1.  **PHP-Version prüfen und updaten.** Mindestens 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Empfohlen sind 8.4 oder 8.5, denn PHP 8.2 erhält nur noch bis 31. Dezember 2026 Sicherheitsupdates und PHP 8.3 bis 31. Dezember 2027.
2.  **Hoster kontaktieren.** Lassen Sie sich schriftlich bestätigen, dass der Server gepatcht ist.
3.  **CMS, Plugins und Themes aktualisieren.** Bei WordPress mindestens Version 7.1.2.
4.  **Auf Auffälligkeiten prüfen.** Suchen Sie nach unbekannten PHP-Dateien in Webordnern und im temporären Verzeichnis sowie nach ungewöhnlichen Zugriffen seit dem 20. Oktober. Wer fündig wird, muss den Server als kompromittiert behandeln.
5.  **Zugangsdaten erneuern.** Wenn die Seite ungepatcht online war, ändern Sie Datenbank-Passwörter, Admin-Logins und API-Schlüssel.
6.  **Aufräumen und absichern.** Schalten Sie vergessene Webseiten und Testumgebungen ab und prüfen Sie, ob sich Ihre Backups wirklich wiederherstellen lassen.

Kann Ihre Seite nicht rasch gepatcht werden, ist es sicherer, sie vorübergehend vom Netz zu nehmen, als sie ungeschützt laufen zu lassen.

## Was das für Bau- und Handwerksbetriebe heisst

Bei Elektro-, Dach- und Baubetrieben liegt die Webseite oft in der Verantwortung von niemandem: Die Agentur hat sie gebaut, intern kümmert sich keiner um Updates. Gerade solche Seiten werden automatisiert zuerst abgeklopft. Dabei geht es nicht nur um die Webseite selbst. Über einen übernommenen Server sind Kontaktformulare, Offertenanfragen und Kundendaten in Gefahr. Fragen Sie deshalb heute nach, wer bei Ihnen für die Webseite zuständig ist und wann sie zuletzt aktualisiert wurde.

## So unterstützt Cybershark

Im KMU-Check schauen wir uns Ihre IT und Sicherheit sowie Ihren Online-Auftritt in einer kostenlosen Erstanalyse an, auch die PHP-Version Ihrer Webseite und ihres Hostings. Danach beraten wir unabhängig, was zu tun ist. Wer die laufende Betreuung nicht selbst stemmen will, kann das im IT-Management an uns abgeben. Ein Ansprechpartner kümmert sich um Updates, Hosting und Sicherheit, damit solche Meldungen Sie nicht mehr kalt erwischen.

Möchten Sie wissen, wie es um Ihre Webseite steht? [Fordern Sie den KMU-Check an](https://cybershark.ch/kontakt) und wir melden uns bei Ihnen.

## Häufige Fragen

### Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Sicherheitslücken im PHP-Interpreter (CVE-2026-109618 und CVE-2026-109619), die am 21. Oktober 2026 öffentlich wurden. Sie erlauben es Angreifern, Code auf dem Server auszuführen und Speicherinhalte auszulesen.

### Ist meine Webseite von PHP2Shell betroffen?

Ja, wenn sie mit PHP läuft und die PHP-Version nicht aktualisiert wurde. Das gilt unabhängig vom System, auch für WordPress, Drupal, Joomla, Magento und Laravel, weil die Lücke im PHP-Interpreter selbst liegt.

### Welche PHP-Version ist sicher?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer enthalten die Korrektur. Empfohlen sind 8.4 oder 8.5, da 8.2 nur noch bis Ende 2026 Sicherheitsupdates erhält.

### Muss ich meine Webseite abschalten?

Nicht, wenn Sie sofort updaten können. Wenn ein Update nicht rasch möglich ist, haben die NSA und die europäische Cybersicherheitsbehörde empfohlen, die Seite vorübergehend vom Netz zu nehmen.

### Woher weiss ich, ob meine Webseite schon gehackt wurde?

Typische Hinweise sind unbekannte PHP-Dateien in Webordnern oder im temporären Verzeichnis sowie ungewöhnliche Zugriffe in den Server-Logs seit dem 20. Oktober 2026. Bei Verdacht sollte ein IT-Fachmann den Server prüfen und alle Zugangsdaten erneuern.

### Wurde die Lücke wirklich mit KI gefunden?

Ja. Laut Wiz, Calif und OpenAI haben Forschende KI-Modelle (GPT-5.6 Sol und Gemini 4 Argon) beim Finden der Lücken und beim Bau des Exploits eingesetzt. Die Fehler steckten über ein Jahrzehnt im PHP-Code.

_Quellen: Wiz Research («PHP2Shell»), Patchstack («Major security alert»), watchTowr («PHP2Shell FAQ»), Fortune, Axios, CNBC, Forbes, BleepingComputer («WordPress CVE-2026-87902»), Secnews («WordPress-Lücke ausgenutzt»)._

_Haftungsausschluss: Dieser Beitrag dient der allgemeinen Information, Stand 23. Oktober 2026. Die Lage zu PHP2Shell entwickelt sich laufend. Für die Richtigkeit, Vollständigkeit und Aktualität der Angaben wird keine Gewähr übernommen. Er ersetzt keine individuelle Sicherheitsberatung._