PHP2Shell: So überprüfen und aktualisieren Sie die PHP-Version Ihrer Website

PHP2Shell: So überprüfen und aktualisieren Sie die PHP-Version Ihrer Website

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Korrekturen für zwei kritische Sicherheitslücken mit dem Spitznamen PHP2Shell, die es einem Angreifer ermöglichen könnten, ohne Anmeldung eigenen Code auf einem Webserver auszuführen. Laut W3Techs laufen etwa 70 % aller Websites mit PHP, darunter jede WordPress-Website. Dies betrifft also einen sehr großen Teil des Internets.

Die Lösung ist eine neuere PHP-Version, nicht ein Update von WordPress oder Plugins. Diese Anleitung erklärt verständlich, wie Sie prüfen, welche PHP-Version Ihre Website verwendet, und wie Sie sie am einfachsten aktualisieren.

Überprüfen Sie die PHP-Version Ihrer Website

Inhaltsverzeichnis:

• Einleitung
• Was ist PHP2Shell?
• Welche PHP-Versionen behoben sind
• Methode 1: PHP-Version mit dem PCrisk Website Scanner prüfen
• Methode 2: PHP-Version in WordPress prüfen
• Methode 3: Hosting-Control-Panel prüfen
• Methode 4: Hosting-Anbieter fragen
• So aktualisieren Sie PHP
• Wenn Sie nicht sofort aktualisieren können
• Fazit
• Häufig gestellte Fragen (FAQs)

Was ist PHP2Shell?

PHP ist die Programmiersprache, mit der die Seiten der meisten Websites erstellt werden - von WordPress-Blogs bis hin zu Onlineshops. PHP2Shell ist der Name, den Forscher einem Angriff gegeben haben, der zwei neu entdeckte PHP-Schwachstellen kombiniert: CVE-2026-109618 und CVE-2026-109619. Sie wurden von Forschern bei Calif, Wiz und OpenAI entdeckt und im August an das PHP-Projekt gemeldet.

In seinem Sicherheitshinweis erklärt das PHP-Projekt, dass die Schwachstellen „eine nicht authentifizierte Remotecodeausführung ermöglichen können". Einfach ausgedrückt: Ein Fremder kann eine speziell präparierte Anfrage an Ihre Website senden und im schlimmsten Fall die Kontrolle über den dahinterliegenden Server übernehmen. Das Problem steckt in PHP selbst, noch bevor irgendein Code von WordPress, Plugins oder Themes ausgeführt wird.

Einige wichtige Punkte:

• Fast jede Website, die PHP verwendet, ist betroffen, unabhängig von der Hosting-Konfiguration. PHP stuft das Risiko auf Servern, die PHP innerhalb von Apache (mod_php) ausführen, als am höchsten ein.
• Die Angriffe begannen sofort. Amazon verzeichnete den ersten Versuch am 17. Oktober, noch vor der Bekanntgabe, und der CEO von Cloudflare sprach von Millionen von Versuchen innerhalb weniger Stunden nach der Bekanntgabe. Bis zum 22. Oktober wurde kein erfolgreicher Einbruch öffentlich bestätigt.
• Ein Update von WordPress, Plugins oder Themes behebt das Problem nicht. Nur eine aktualisierte PHP-Version hilft.

[Zurück zum Inhaltsverzeichnis]

Welche PHP-Versionen behoben sind

PHP-Versionen sind in Familien, sogenannte Branches, wie z. B. 8.3, unterteilt. Jeder Branch erhält kleine Updates mit einer dritten Zahl, wie etwa 8.3.35 und 8.3.36. Die Korrektur ist in der neuesten Version jedes unterstützten Branches enthalten:

Die Daten stammen von der Seite zu den unterstützten PHP-Versionen. WordPress empfiehlt PHP 8.3 oder neuer, dennoch laufen laut WordPress.org-Statistiken noch etwa ein Drittel aller WordPress-Websites mit PHP 8.1 oder älter.

Zwei Ausnahmen sollten Sie kennen, bevor Sie Ihre eigene Website prüfen:

• Manche Hoster beheben PHP, ohne die Versionsnummer zu ändern. Ubuntu, Plesk, cPanel, CloudLinux und mehrere Hosting-Unternehmen haben gepatchte Builds ausgeliefert, die die alte Versionsnummer beibehalten, darunter auch Korrekturen für PHP 7.4, 8.0 und 8.1. Wenn sich Ihre Versionsnummer nicht geändert hat, ist die Ankündigung Ihres Hosters entscheidend.
• Ein alter Branch bleibt auch nach dem Patchen riskant. PHP 8.1 und älter erhalten keine offiziellen Sicherheitskorrekturen mehr, sodass die nächste Schwachstelle möglicherweise gar nicht behoben wird. Planen Sie einen Umstieg auf PHP 8.3 oder 8.4.

[Zurück zum Inhaltsverzeichnis]

Methode 1: PHP-Version mit dem PCrisk Website Scanner prüfen

Dies ist der schnellste Weg und erfordert keine Anmeldung. Der kostenlose PCrisk Website Scanner liest die PHP-Version aus, die Ihre Website jedem Besucher meldet, und vergleicht sie mit den neuesten Versionen.

1. Öffnen Sie scanner.pcrisk.com und geben Sie Ihre Website-Adresse ein, zum Beispiel your-site.com.

2. Starten Sie den Scan und warten Sie auf den Bericht. Das dauert in der Regel ein bis zwei Minuten.

3. Suchen Sie die Zeile „PHP-Version" unter den Informationskacheln. Klicken Sie auf „Details", um die gemeldete Version, den Branch, das Support-Ende und die neueste Version anzuzeigen.

Die Zeile zeigt eines der folgenden Ergebnisse:

• Aktuell: Die Website meldet die neueste Version ihres Branches.
• Update verfügbar: Es gibt eine neuere Version. Im obigen Beispiel meldet die Website 8.3.35 und liegt damit eine Version hinter der behobenen Version 8.3.36.
• Support endet bald oder End of Life: Der Branch erhält bald bzw. bereits keine Sicherheitskorrekturen mehr.
• Version verborgen: Die Website verwendet PHP, zeigt aber nicht an, welche Version. Die meisten Websites verbergen dies, was eine bewährte Vorgehensweise ist. Nutzen Sie in diesem Fall Methode 2, 3 oder 4.

Der Scanner liest die Version aus, die Ihr Server meldet. Er greift Ihre Website nicht an und testet nicht, ob sie ausgenutzt werden kann. Derselbe Scan prüft Ihre Website zudem anhand von mehr als 90 Sicherheits-Engines und 10 Bedrohungsdatenbanken.

Weitere kostenlose Online-Prüftools. Zwei Sicherheitsunternehmen haben ebenfalls kostenlose PHP2Shell-Prüfungen veröffentlicht:

PHP2Shell-Check von Brandefense: Liest wie der PCrisk-Scanner die von Ihrer Website gemeldete PHP-Version aus und teilt Ihnen mit, ob sie in den betroffenen Bereich fällt. Außerdem werden Sie gewarnt, wenn ein Dienst wie Cloudflare die Version möglicherweise verbirgt.

Aikido PHP2Shell-Checker: Anstatt die Version auszulesen, sendet dieses Tool Testanfragen an Ihre Website und misst, wie PHP darauf reagiert. Verwenden Sie es nur für Ihre eigene Website und lassen Sie die optionale „definitive check" auf einer Live-Website deaktiviert, da sie einen PHP-Prozess zum Absturz bringen kann.

Jede externe Prüfung hat ihre Grenzen. Ein Tool, das die Version ausliest, kann keine Korrektur erkennen, die Ihr Hoster ohne Änderung der Versionsnummer eingespielt hat, und laut Aikido kann der Timing-Test allein nicht zwischen gepatchtem und anfälligem PHP unterscheiden. Betrachten Sie jedes Ergebnis als Ausgangspunkt und bestätigen Sie es mit Methode 2, 3 oder 4.

[Zurück zum Inhaltsverzeichnis]

Methode 2: PHP-Version in WordPress prüfen

WordPress zeigt die genaue PHP-Version an, mit der Ihre Website läuft, selbst wenn sie für Besucher verborgen ist.

1. Melden Sie sich in Ihrem WordPress-Dashboard an und gehen Sie zu „Werkzeuge" und dann zu „Website-Zustand".

2. Öffnen Sie den Tab „Info" und klappen Sie den Abschnitt „Server" auf.

3. Lesen Sie die Zeile „PHP-Version" ab. Im folgenden Beispiel läuft die Website mit 8.3.33 und benötigt daher das Update auf 8.3.36.

Verlassen Sie sich nicht auf die grünen Häkchen im Tab „Status". Der Website-Zustand bezeichnet jede Version ab PHP 8.3 als „eine empfohlene PHP-Version", selbst wenn ihr die PHP2Shell-Korrektur fehlt, wie im selben Beispiel:

Dasselbe gilt für das Dashboard. WordPress zeigt das Feld „PHP-Aktualisierung erforderlich" nur für PHP 8.0 und älter an, wie etwa 7.4 im folgenden Beispiel. Wenn kein Feld angezeigt wird, bedeutet das nicht, dass Sie auf dem neuesten Stand sind.

Andere Website-Baukästen haben eine ähnliche Seite: Öffnen Sie in Joomla „System" und dann „Systeminformationen". Öffnen Sie in Drupal „Berichte" und dann „Statusbericht". WooCommerce-Shops finden die PHP-Version außerdem unter „WooCommerce", „Status".

[Zurück zum Inhaltsverzeichnis]

Methode 3: Hosting-Control-Panel prüfen

Ihr Hosting-Panel zeigt, welchen PHP-Branch Ihre Website verwendet, und dort können Sie ihn auch ändern. Öffnen Sie in cPanel den „MultiPHP Manager" (bzw. „Select PHP Version" bei vielen günstigen Hostern). Öffnen Sie in Plesk „Websites & Domains" und dann „PHP". Hoster mit eigenen Panels, wie Hostinger, SiteGround, GoDaddy und Kinsta, haben eine PHP-Seite in den Website-Einstellungen (siehe Tabelle im Abschnitt zum Update weiter unten).

Die meisten Panels zeigen nur den Branch an, z. B. „PHP 8.3", nicht die vollständige Versionsnummer. Plesk und der PHP Manager von SiteGround zeigen die vollständige Nummer an, und Hostinger sowie Bluehost haben eine separate PHP-Info-Seite, auf der sie zu sehen ist. Die kleinen Sicherheitsupdates innerhalb eines Branches werden vom Hoster installiert. Prüfen Sie daher die vollständige Versionsnummer oder fragen Sie Ihren Hoster, bevor Sie davon ausgehen, dass die PHP2Shell-Korrektur installiert ist.

Wenn Sie Ihren eigenen Server betreiben (einen VPS oder dedizierten Server), können Sie oder Ihr Entwickler die Version direkt auf dem Server prüfen. Beachten Sie, dass sich das Kommandozeilen-PHP von dem PHP unterscheiden kann, das Ihre Website ausliefert, und lassen Sie niemals eine temporäre Seite online, die PHP-Einstellungen ausgibt.

[Zurück zum Inhaltsverzeichnis]

Methode 4: Hosting-Anbieter fragen

Dies ist die zuverlässigste Antwort, denn nur Ihr Hoster weiß, welchen Build er installiert hat. Die meisten großen Hoster haben am 21. oder 22. Oktober ein PHP2Shell-Update in ihrem Blog oder auf ihrer Statusseite veröffentlicht, schauen Sie daher zuerst dort nach. Wenn Sie nichts finden, senden Sie dem Support eine kurze Nachricht wie diese:

„Wurde das PHP in meinem Hosting-Konto für CVE-2026-109618 und CVE-2026-109619 (PHP2Shell) aktualisiert? Welche PHP-Version und welchen Build verwende ich, und wurde PHP nach dem Update neu gestartet? Falls es noch nicht aktualisiert wurde, wann wird das geschehen?"

[Zurück zum Inhaltsverzeichnis]

So aktualisieren Sie PHP

Es gibt zwei verschiedene Arten von PHP-Updates, und wer sie durchführt, hängt von Ihrem Hosting ab.

Ein Sicherheitsupdate innerhalb Ihres Branches (zum Beispiel von 8.3.35 auf 8.3.36) wird beim Shared und Managed Hosting vom Hoster installiert. Dafür gibt es keine Schaltfläche, und es führt fast nie dazu, dass eine Website nicht mehr funktioniert. Folgendes haben die größeren Hoster mit Stand 22. Oktober 2026 mitgeteilt:

Einen Umstieg auf einen neueren Branch (zum Beispiel von 7.4 oder 8.1 auf 8.3) führen Sie selbst im Hosting-Panel durch. Tun Sie dies jetzt, wenn Ihre Website mit PHP 8.2 oder älter läuft; 8.1 und älter werden nicht mehr unterstützt, und der Support für 8.2 endet am 31. Dezember 2026. Wählen Sie PHP 8.3 oder 8.4.

1. Erstellen Sie eine vollständige Sicherung Ihrer Dateien und Ihrer Datenbank mit dem Backup-Tool Ihres Hosters oder einem Backup-Plugin.

2. Aktualisieren Sie zuerst WordPress, Ihre Plugins und Ihr Theme. Veraltete Plugins sind der häufigste Grund, warum eine Website nach einem PHP-Wechsel nicht mehr funktioniert.

3. Testen Sie den Wechsel auf einer Staging-Kopie, sofern Ihr Hoster eine anbietet (Kinsta, WP Engine, Cloudways, SiteGround, WordPress.com und andere tun dies).

4. Ändern Sie die PHP-Version in Ihrem Hosting-Panel:

5. Prüfen Sie Ihre Website sofort. Öffnen Sie die Startseite und einige Unterseiten, melden Sie sich im Dashboard an, senden Sie eine Testnachricht über Ihr Kontaktformular und, falls Sie einen Shop betreiben, legen Sie ein Produkt in den Warenkorb und gehen Sie so weit wie möglich durch den Bestellvorgang.

6. Wenn etwas nicht funktioniert, wechseln Sie zurück - an derselben Stelle - und bitten Sie den Plugin- oder Theme-Entwickler um ein Update. WordPress sendet dem Website-Administrator außerdem per E-Mail einen Wiederherstellungslink, wenn ein Plugin nach dem Wechsel abstürzt. Bei Hostinger ist ein Zurückwechseln auf eine ältere Version nur in derselben Anmeldesitzung möglich, testen Sie daher sofort.

Wenn Sie Ihren eigenen Server betreiben, installieren Sie die Sicherheitsupdates Ihres Betriebssystems für PHP und starten Sie anschließend PHP und den Webserver neu. Bis zum Neustart läuft weiterhin das alte, anfällige PHP. Ubuntu, Debian, Red Hat, cPanel, Plesk und CloudLinux haben alle am 21. oder 22. Oktober gepatchte Pakete veröffentlicht.

[Zurück zum Inhaltsverzeichnis]

Wenn Sie nicht sofort aktualisieren können

Ein Update ist die einzige vollständige Lösung, aber die folgenden Schritte senken das Risiko in der Zwischenzeit:

• Verwenden Sie eine Web Application Firewall. Cloudflare hat PHP2Shell-Regeln für alle Tarife mit Firewall automatisch aktiviert, einschließlich des kostenlosen Tarifs (Beitrag von Cloudflare). Prüfen Sie bei kostenpflichtigen Tarifen, ob das Cloudflare Managed Ruleset bereitgestellt ist; wenn das Dashboard eine php2shell-Warnung anzeigt, klicken Sie auf „Deploy Cloudflare Managed Ruleset". Viele Hoster haben ähnliche Regeln auf ihren eigenen Servern hinzugefügt.
• Bitten Sie Ihren Hoster um die temporären Einstellungen, die im Sicherheitshinweis von PHP aufgeführt sind, wie etwa das Deaktivieren des Session-Upload-Fortschritts und das Verringern der maximalen Upload-Größe. Diese müssen auf dem Server festgelegt werden, daher ist Ihr Hoster dafür zuständig.
• Nehmen Sie die Website offline, wenn sie mit PHP 8.1 oder älter läuft und Ihr Hoster sie weder patchen noch aktualisieren kann.

Meiden Sie Plugins oder Code-Snippets, die versprechen, „PHP2Shell zu beheben". Die Schwachstelle liegt in PHP selbst, daher kann ein WordPress-Plugin sie nicht beheben.

[Zurück zum Inhaltsverzeichnis]

Fazit

PHP2Shell ist ernst zu nehmen, weil es so viele Websites gleichzeitig betrifft. Für die meisten Website-Betreiber ist die Lösung jedoch einfach: Vergewissern Sie sich, dass Ihr Hoster das aktualisierte PHP installiert hat, und steigen Sie auf PHP 8.3 oder 8.4 um, wenn Sie noch einen alten Branch verwenden. Die Prüfung dauert nur wenige Minuten, und Sie können mit einem kostenlosen PCrisk-Scan beginnen.

Scannen Sie Ihre Website mit dem PCrisk Website Scanner

[Zurück zum Inhaltsverzeichnis]

Häufig gestellte Fragen (FAQs)

Ist meine WordPress-Website von PHP2Shell betroffen?

Ja, wenn Ihre Website eine PHP-Version älter als 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 verwendet und Ihr Hoster keinen gepatchten Build installiert hat. Die Schwachstelle liegt in PHP, daher betrifft sie WordPress, Joomla, Drupal, WooCommerce und jede andere PHP-Software gleichermaßen.

Behebt ein Update von WordPress oder meinen Plugins PHP2Shell?

Nein. PHP2Shell muss durch Patchen von PHP auf dem Server behoben werden. Ein Update von WordPress, Plugins oder Themes aktualisiert nicht die zugrunde liegende PHP-Software, mit der Ihre Website läuft. Ihr Hosting-Anbieter oder Serveradministrator muss eine behobene PHP-Version oder einen vom Anbieter gepatchten Build installieren und bestätigen, dass Ihre Website diesen verwendet.

Meine PHP-Versionsnummer hat sich nicht geändert. Bin ich weiterhin gefährdet?

Nicht unbedingt. Ubuntu, Plesk, cPanel, CloudLinux und einige Hoster haben PHP gepatcht, ohne die Versionsnummer zu ändern. Prüfen Sie die Ankündigung Ihres Hosters oder fragen Sie beim Support nach, ob Ihr Build die Korrektur enthält.

Der PCrisk-Bericht zeigt „Version verborgen" an. Was bedeutet das?

Ihre Website verwendet PHP, gibt die Version aber nicht gegenüber Besuchern preis, was eine bewährte Vorgehensweise ist. Daraus lässt sich nicht ablesen, ob die Website gepatcht ist. Um diese Information zu erhalten, prüfen Sie die Version im WordPress-Website-Zustand oder in Ihrem Hosting-Panel oder fragen Sie Ihren Hoster.

Welche PHP-Version sollte ich wählen?

PHP 8.3 oder 8.4. Beide werden noch jahrelang unterstützt und von WordPress und WooCommerce empfohlen. Meiden Sie 8.2, da diese Version ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr erhält.

Kann ein Wechsel der PHP-Version meine Website beschädigen?

Ein Sicherheitsupdate innerhalb Ihres Branches tut dies fast nie. Ein Umstieg auf einen neueren Branch kann veraltete Plugins oder Themes funktionsunfähig machen. Erstellen Sie daher zuerst eine Sicherung, aktualisieren Sie alles, testen Sie wenn möglich auf einer Staging-Umgebung und wechseln Sie zurück, falls etwas schiefgeht.

[Zum Seitenanfang]