Häufige Fragen zur php2shell Sicherheitslücke in WordPress
Was ist php2shell?
php2shell bezeichnet zwei kritische Sicherheitslücken in PHP, der technischen Grundlage vieler Websites. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 können es Angreifern ermöglichen, ohne Anmeldung fremden Code auf einem betroffenen Server auszuführen. Die Fehler befinden sich in PHP selbst.
Welche Websites können betroffen sein?
Grundsätzlich können Websites und Anwendungen betroffen sein, die auf einer verwundbaren PHP-Installation laufen. Dazu gehören beispielsweise WordPress-Websites und andere PHP-basierte Systeme. Entscheidend sind die eingesetzte PHP-Version, vorhandene Sicherheitskorrekturen und die Serverumgebung. Auch bei einem vollständig aktualisierten CMS kann die zugrunde liegende PHP-Installation noch verwundbar sein.
Welche PHP-Versionen schließen die Sicherheitslücken?
Die Sicherheitskorrekturen wurden für die unterstützten Versionsreihen mit PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht. Frühere Versionen dieser Reihen benötigen ein entsprechendes Update oder einen bestätigten Hersteller-Patch. Für ältere PHP-Reihen können spezielle Anbieter-Korrekturen verfügbar sein; ihr Schutzstatus muss separat bestätigt werden.
Reicht ein WordPress- oder Plugin-Update aus?
Nein. php2shell betrifft die PHP-Laufzeit auf dem Server. Ein Update von WordPress, Themes oder Plugins allein behebt diese Schwachstellen nicht. Dafür muss die PHP-Installation durch den Hostinganbieter oder die zuständige Serveradministration aktualisiert beziehungsweise mit den passenden Sicherheitskorrekturen versehen werden.
Wie finde ich heraus, ob meine Website betroffen ist?
Prüfen Sie im Hostingkonto, welche PHP-Version Ihrer Website zugewiesen ist, und lassen Sie sich den Patchstand vom Hostinganbieter bestätigen. Eine Versionsnummer allein kann irreführend sein: Manche Anbieter integrieren Sicherheitskorrekturen in ältere Pakete, ohne die ursprüngliche PHP-Versionsnummer zu ändern. Eine öffentlich nicht erkennbare Version bedeutet ebenfalls keine Entwarnung.
Schützt eine Firewall oder ein Sicherheitsplugin vor php2shell?
Zusätzliche Schutzmaßnahmen können das Risiko bestimmter Angriffe reduzieren. Sie ersetzen jedoch kein PHP-Sicherheitsupdate. Das PHP-Projekt weist darauf hin, dass vorübergehende Maßnahmen keinen vollständigen Schutz gewährleisten. Betroffene Installationen sollten deshalb umgehend aktualisiert werden.
Was sollte ich bei einem möglichen Risiko sofort tun?
Kontaktieren Sie Ihren Hostinganbieter oder Ihre technische Betreuung und lassen Sie den tatsächlichen PHP-Patchstand prüfen. Fordern Sie bei einer betroffenen Installation die zeitnahe Aktualisierung an. Lassen Sie anschließend bestätigen, dass die Website die korrigierte PHP-Installation verwendet. Bei älteren, nicht mehr unterstützten Versionen sollte zusätzlich der Wechsel auf eine unterstützte Versionsreihe geplant werden.
Wie unterstützt mich das kostenfreie Erstgespräch?
Im kostenfreien Erstgespräch besprechen wir Ihre Hostingumgebung, vorhandene Versionsangaben und die nächsten Schritte. Gemeinsam klären wir, welche Informationen Ihr Hostinganbieter liefern sollte und welche weitere technische Prüfung sinnvoll ist. Hinterlassen Sie Ihre E-Mail-Adresse – wir kontaktieren Sie zur Terminabstimmung. Das Erstgespräch ist unverbindlich; eine technische Untersuchung oder Fehlerbehebung wird gesondert vereinbart.
Wir antworten binnen 12 Stunden