Wenn eine Sicherheitslücke einen Namen bekommt, der nach Action-Film klingt, ist meistens Wochenende. PHP2Shell ist so ein Fall. Die gute Nachricht: Du musst kein Hacker sein, um zu verstehen, was los ist. Die weniger gute: Betroffen ist eine Technik, die auf sehr vielen Websites läuft, darunter vermutlich auch auf deiner. Stand dieses Beitrags ist der 21. Oktober 2026.
Was ist PHP2Shell?
PHP2Shell ist der Name für zwei kritische Sicherheitslücken in der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619). Sie werden mit einem CVSS-Wert von 9,2 bewertet, auf einer Skala bis 10. Über solche Lücken kann ein Angreifer im ungünstigen Fall eigenen Code auf dem Server ausführen („Remote Code Execution“). Der Name verrät es: aus PHP wird eine Shell, also eine Kommandozeile für Fremde.
Lohnt sich eine App für deinen Betrieb?
Finde es kostenlos heraus – in 2 Minuten.
Öffentlich bekannt wurde die Lücke am 21. Oktober 2026. Die Berichte darüber, ob sie bereits aktiv ausgenutzt wird, gehen auseinander. Das BSI hat die Warnlage auf Stufe 3 von 4 eingeordnet. Unsere Quellen sind unter anderem Wikipedia, heise online, das Deutsche Sicherheitsnetz (DSIN) sowie Beiträge von Hosting- und CMS-Anbietern. Ändert sich die Lage, ändert sich dieser Beitrag.
Wen betrifft es?
Kurz gesagt: alle, die PHP-Versionen seit PHP 5 einsetzen. Dazu zählen unzählige Websites, Webshops und Vereinsseiten, vor allem solche auf WordPress, Joomla, TYPO3, Drupal oder Shopware. Ob dein Betrieb tatsächlich angreifbar ist, hängt von der Konfiguration deines Servers ab. Den Patchstand kann nur jemand beurteilen, der Zugriff auf den Server hat.
Welche Versionen sind repariert?
| PHP-Version | Gepatcht ab | Status |
|---|---|---|
| 8.5 | 8.5.12 | Update verfügbar |
| 8.4 | 8.4.27 | Update verfügbar |
| 8.3 | 8.3.36 | Update verfügbar |
| 8.2 | 8.2.35 | Update verfügbar |
| 8.1 und älter | – | Kein Patch. Umstieg auf eine unterstützte Version nötig |
Wichtig: Nur ein Update von PHP selbst behebt die Lücke. Updates von WordPress, Plugins oder Themes helfen dagegen nicht, so wenig wie ein neues Hemd gegen ein Leck im Dach.
Was passiert, wenn nichts passiert?
Im schlimmsten Fall übernimmt jemand Fremdes die Kontrolle über deinen Webserver. Das reicht von Werbung auf deiner Startseite über abgegriffene Kundendaten bis zu einer Website, die plötzlich Dinge verkauft, die du nie im Sortiment hattest. Dazu kommen Aufwand, Ärger und im Zweifel eine Meldepflicht nach DSGVO, wenn personenbezogene Daten betroffen sind. Und nein, weglächeln hilft nicht.
Was du jetzt tun solltest
- Frag deinen Administrator oder Hosting-Anbieter, welche PHP-Version bei dir läuft und ob sie bereits gepatcht ist (siehe Tabelle oben).
- Läuft PHP 8.1 oder älter, plane den Umstieg auf eine unterstützte Version. Ein Patch kommt für diese Versionen nicht.
- Frag nach einer Übergangslösung, solange das Update noch aussteht. Berichten zufolge kann ein Abschalten der Upload-Progress-Funktion das Risiko vorübergehend senken. Das entscheidet dein Admin, nicht wir.
- Mach ein aktuelles Backup, bevor irgendjemand etwas aktualisiert.
- Prüfe, welche Websites und Dienste bei dir überhaupt PHP nutzen. Oft sind es mehr, als man denkt: die Vereinsseite, der alte Webshop, die vergessene Landingpage.
Mach den PHP-Check
Mit dem kostenlosen PHP-Check auf pocketshop.at schauen wir uns an, was deine Website nach außen verrät, zum Beispiel eine PHP-Version im Header. Das ist kein Sicherheitsscan und ersetzt keinen Blick deines Admins, aber es gibt dir in zehn Sekunden einen Anhaltspunkt und eine Handlungsempfehlung. Du findest ihn unter pocketshop.at/php-check.
Und warum reden wir als App-Anbieter darüber?
Weil wir es nicht lassen können. Aber im Ernst: Eine Website auf PHP gehört gepflegt wie ein Garten. Wer das nicht möchte, braucht für seine Stammkundschaft nicht unbedingt die nächste Seite. Die Apps von Pocketshop basieren nicht auf PHP und sind von dieser Lücke daher nicht betroffen. Deine Kundschaft bekommt Treuekarte, Coupons und Push-Nachrichten direkt aufs Handy, und du musst dafür keinen Server patchen. Eine App ersetzt deine Website nicht, aber sie nimmt dir einen Kanal ab, der sonst an einem Server hängt.
Wir sind dabei ehrlich: Auch wir betreiben Websites, und wir kümmern uns um deren Updates wie alle anderen. Digitale Hygiene betrifft jeden.
Du möchtest wissen, wie eine eigene App für dein Geschäft aussehen könnte? Mit dem kostenlosen App-Check auf pocketshop.at bekommst du in wenigen Minuten eine Einschätzung.