Kritische PHP-Sicherheitslücke: Jetzt PHP updaten lassen
Mit „PHP2Shell" können Angreifer ohne Login Code auf Ihrem Server ausführen – betroffen sind praktisch alle PHP-Websites. Ich prüfe kurzfristig, ob Ihre Website gefährdet ist, spiele das Sicherheitsupdate ein oder hebe veraltete PHP-Versionen an.
Softwareservice Fuhrmeister · Klaus Fuhrmeister · B.Sc. Informatik · PHP-Entwicklung seit 2011 · Rhein-Main & remote deutschlandweit
Zwei kritische Lücken im PHP-Kern – Update ist der einzige sichere Schutz
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Über präparierte Web-Anfragen können Angreifer im schlimmsten Fall eigenen Code auf dem Server ausführen – ohne Benutzerkonto und noch bevor Ihre Anwendung überhaupt läuft. Details waren bereits vor dem Patch öffentlich, Sicherheitsfirmen melden erste Angriffsversuche.
- Betroffen ist nicht ein bestimmtes CMS, sondern PHP selbst – also TYPO3, WordPress, Shopware, Laravel und Eigenentwicklungen gleichermaßen.
- Gefährdet sind alle Server, die Web-Anfragen mit PHP bearbeiten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
- Sicher sind nur die neuen Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
- Für PHP 8.1, 8.0 und 7.4 gibt es keine offiziellen Updates mehr – nur Quellcode-Patches oder Pakete einzelner Anbieter.
- Konfigurations-Workarounds verkleinern die Angriffsfläche, schließen die Lücke aber nicht.
Bin ich betroffen?
Welche PHP-Versionen sind sicher?
Die PHP-Version Ihrer Website finden Sie im Kundenmenü Ihres Hosters, im TYPO3-Backend unter „Umgebung" oder in WordPress unter „Werkzeuge → Website-Zustand". Unsicher? Im Kontaktformular einfach Bescheid geben – ich prüfe das für Sie.
| PHP-Version | Verwundbar | Sicher ab | Was tun? |
|---|---|---|---|
| PHP 8.5 | bis 8.5.11 | 8.5.12 | Sofort updaten |
| PHP 8.4 | bis 8.4.26 | 8.4.27 | Sofort updaten |
| PHP 8.3 | bis 8.3.35 | 8.3.36 | Sofort updaten |
| PHP 8.2 | bis 8.2.34 | 8.2.35 | Updaten – Supportende 31.12.2026, Upgrade einplanen |
| PHP 8.1, 8.0, 7.4 | alle | kein offizielles Update | Upgrade auf PHP 8.4 dringend |
| PHP 7.3 und älter | alle | kein Fix | Upgrade auf PHP 8.4 dringend |
Betroffen? Jetzt Notfall-Check anfragen
So schnell sind Sie wieder sicher
Kein langes Projekt, sondern ein klarer Notfall-Ablauf.
-
Anfrage senden
Kontaktformular ausfüllen oder anrufen – zwei Minuten genügen.
-
Kostenloser Check
Ich prüfe PHP-Version, Hosting und Patch-Stand und melde mich mit einer klaren Empfehlung.
-
Zugang & Freigabe
Sie geben mir Zugang zum Server oder Hosting-Kundenmenü und bestätigen den Festpreis.
-
Update oder Upgrade
Ich patche bzw. hebe die PHP-Version an und starte alle Dienste neu.
-
Test & Protokoll
Website, Formulare und Shop werden getestet, Sie erhalten ein kurzes Protokoll.
Besonders dringend für
Gerade kleine Unternehmen merken oft nicht, dass ihre Website noch auf einer alten PHP-Version läuft – weil sie ja funktioniert.
- Websites auf eigenem Server oder VPS, um die sich niemand aktiv kümmert
- Online-Shops mit Kundendaten und Zahlungsabwicklung
- Installationen mit PHP 8.1 oder älter
- Apache-Server mit mod_php
- Websites, deren Agentur oder Entwickler nicht mehr erreichbar ist
- Interne PHP-Anwendungen, die aus dem Internet erreichbar sind
Ein Entwickler, der heute noch reagiert
Ich bin Klaus Fuhrmeister, Softwareentwickler mit B.Sc. Informatik und arbeite seit 2011 mit PHP – von TYPO3 und WordPress bis zu individuellen Anwendungen und Server-Setups. Bei Ihnen landet keine Ticketnummer in einer Warteschlange: Sie sprechen direkt mit dem, der das Update auch einspielt.
- Fachinformatiker & B.Sc. Informatik
- PHP-Entwicklung seit 2011, selbstständig seit 2015
- TYPO3, WordPress, Shopware, Laravel, Linux-Server
- Rhein-Main & remote deutschlandweit
Schnell, ehrlich, ohne Panikmache.
Rufen Sie an – bei Notfällen auch außerhalb der Bürozeiten
Sie vermuten, dass Ihre Website bereits angegriffen wurde, oder Ihr Server verhält sich seltsam? Dann zählt jede Stunde.
Häufige Fragen zur PHP-Sicherheitslücke
-
PHP2Shell ist der Name für zwei kritische Sicherheitslücken im PHP-Kern (CVE-2026-109618 und CVE-2026-109619), die am 21. Oktober 2026 geschlossen wurden. Über präparierte Web-Anfragen kann ein Angreifer im schlimmsten Fall eigenen Code auf dem Server ausführen – ohne Login.
-
Sehr wahrscheinlich, wenn sie mit PHP läuft und noch nicht auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert wurde. Laut Sicherheitsforschern sind alle PHP-Versionen seit 5.4 von mindestens einer der beiden Lücken betroffen.
-
Bei Webhosting-Paketen spielt der Hoster die PHP-Updates ein. Sie sollten aber prüfen, welche PHP-Version im Kundenmenü eingestellt ist: Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr. Ob Ihr Hoster diese Versionen selbst nachpatcht, ist nicht garantiert – im Notfall-Check kläre ich das für Sie.
-
Nein. Das PHP-Projekt nennt Einstellungen, die die bekannten Angriffswege erschweren – etwa Speicher- und Upload-Limits oder das Abschalten von Session-Upload-Progress. Diese Maßnahmen ersetzen das Update ausdrücklich nicht, sondern überbrücken höchstens die Zeit bis dahin.
-
Ein Proof-of-Concept ist öffentlich, und Sicherheitsfirmen melden erste Angriffsversuche. Ob Ihre Website gezielt angegriffen wurde, lässt sich nur anhand von Server-Logs beurteilen. Bei Verdacht prüfe ich die Logs und auffällige Dateien.
-
Ja. Laufende PHP-FPM-Prozesse bzw. der Apache-Webserver nutzen die alte Version, bis sie neu gestartet werden. Ein installiertes Update ohne Neustart schützt nicht.
-
Der Notfall-Check ist kostenlos. Ein Sicherheitsupdate auf einem Server beginnt bei 190 € netto, ein Upgrade von PHP 8.1 oder älter auf PHP 8.4 bei 690 € netto. Sie erhalten vorher einen Festpreis.
-
Bei einem Sicherheitsupdate innerhalb derselben Version (z. B. 8.3.x auf 8.3.36) ändert sich für Ihre Anwendung nichts. Bei einem Versionssprung (z. B. 7.4 auf 8.4) prüfe ich vorher Code und Plugins und teste auf einer Kopie, damit es beim Umstellen keine Überraschungen gibt.
-
Für das Update ja – entweder SSH-Zugang zum Server oder Zugang zum Kundenmenü Ihres Hosters. Zugangsdaten bitte nicht ins Formular schreiben; die tauschen wir nach dem Erstkontakt auf sicherem Weg aus.
-
Ja. Ich übernehme kurzfristig auch Server und Websites, die von anderen Dienstleistern aufgesetzt wurden – gerade wenn die ursprüngliche Agentur gerade nicht erreichbar ist.