Kritische PHP-Sicherheitslücke PHP2Shell: Was Webhosting-Kunden jetzt wissen müssen

PHP2Shell: Zwei kritische Sicherheitslücken in PHP entdeckt

Unter der Bezeichnung PHP2Shell sind zwei kritische Sicherheitslücken in der weitverbreiteten Programmiersprache PHP bekannt geworden. Sie werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt und jeweils mit einem CVSS-v4-Wert von 9,2 bewertet.

Unter bestimmten Bedingungen können Angreifer die Fehler für Remote Code Execution (RCE) ausnutzen. Dann wäre es möglich, eigenen Programmcode auf einem betroffenen Server auszuführen, ohne sich zuvor anmelden zu müssen. Je nach Rechten des PHP-Prozesses könnten sensible Daten ausgelesen, Websites verändert oder weitere Angriffe vorbereitet werden.

Die Ursachen liegen in der internen Speicherverwaltung von PHP: Bei CVE-2026-109618 kann die Behandlung eines Speicherfehlers zu fehlerhaften Zuständen während der Bereinigung einer Anfrage führen. CVE-2026-109619 betrifft globalen Zustand, der auf bereits freigegebenen Anfrage-Speicher verweisen kann. Das Problem liegt damit in PHP selbst und nicht im Code eines einzelnen Content-Management-Systems.

Betroffen sein können deshalb PHP-basierte Webanwendungen wie WordPress, Joomla, Drupal und Onlineshops. Die PHP-Entwickler nennen PHP-FPM, Apache mit mod_php, PHP-CGI, FrankenPHP und LiteSpeed als relevante Betriebsarten. Für mod_php bewerten sie das Risiko besonders hoch, weil sich ein Angriff bereits vor der Ausführung von Anwendungscode auslösen lassen kann.

Welche PHP-Versionen sind betroffen?

Das offizielle PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für die aktuell unterstützten Versionszweige veröffentlicht.

Bei älteren PHP-Versionen ist die Lage anspruchsvoller. Eine alte Versionsnummer bedeutet jedoch nicht automatisch, dass ein Server ungeschützt ist: Linux-Distributionen, LTS-Anbieter und Hosting-Unternehmen können gezielte Sicherheitskorrekturen als Backport bereitstellen, ohne die Hauptversionsnummer zu ändern. Einige Hosting-Unternehmen bieten dies im Rahmen eines PHP Extended Supports an.

Entscheidend ist daher nicht allein die angezeigte Versionsnummer. Betreiber sollten prüfen, ob für die konkret eingesetzte PHP-Installation ein wirksames Update oder ein bestätigter Backport vorhanden ist und ob dieser bereits aktiv ist.

Wer ist für die PHP-Sicherheitsupdates verantwortlich?

Beim klassischen Shared Webhosting administriert der Anbieter üblicherweise Betriebssystem, Webserver und PHP. Sicherheitsupdates der PHP-Laufzeitumgebung fallen daher normalerweise in seinen Verantwortungsbereich. Kunden sollten den Patchstatus prüfen und gegebenenfalls im Hosting-Panel eine abgesicherte PHP-Version auswählen.

Bei Managed WordPress und Managed Servern übernimmt der Anbieter zusätzliche Wartungsaufgaben. Wie weit diese reichen, bestimmt aber der konkrete Tarif. Während die PHP-Laufzeitumgebung typischerweise vom Anbieter gepflegt wird, können Updates für WordPress, Plugins, Themes oder individuell installierte Software weiterhin beim Kunden liegen.

Bei unmanaged VPS, vServern und Root-Servern stellt der Hoster vor allem die Infrastruktur bereit. Betriebssystem, PHP und Webserver müssen dort üblicherweise der Kunde oder dessen Administrator aktualisieren. Das gilt auch dann, wenn Plesk oder cPanel die Arbeit erleichtern: Die Update-Funktionen müssen in einem unmanaged Tarif weiterhin selbst konfiguriert und kontrolliert werden.

Die Übersicht beschreibt die üblichen Zuständigkeiten. Maßgeblich bleiben immer die vertraglich vereinbarten Leistungen des jeweiligen Hosting-Tarifs.

Wie reagieren Webhosting-Anbieter auf PHP2Shell?

Die Umsetzung unterscheidet sich nach Anbieter, Produkt und eingesetzter PHP-Version. Betreiber sollten deshalb stets die Statusmeldung zum eigenen Tarif prüfen.

IONOS: Sicherheitswartung läuft

IONOS weist auf seiner Statusseite auf Sicherheitswartungen hin. Nach Angaben des Unternehmens werden betroffene Dienste wiederhergestellt; dabei können Websites vorübergehend schlechter erreichbar sein oder langsamer reagieren. Für selbst verwaltete VPS- und Bare-Metal-Server müssen Kunden die notwendigen Aktualisierungen eigenständig vornehmen.

Hetzner: Updates auch für mehrere ältere Versionszweige

Hetzner meldete auf seiner Statusseite, dass PHP 7.4 sowie PHP 8.0 bis 8.5 auf Webhosting- und Managed-Servern mit gepatchten Versionen aktualisiert wurden. Für noch ältere PHP-Versionen arbeite das Unternehmen weiter an Backports. Das zeigt, dass auch nicht mehr regulär unterstützte Versionszweige durch Anbieterwartung abgesichert werden können.

Alfahosting: Status und Tarifmodell prüfen

Alfahosting informiert ebenfalls über die Sicherheitslücken auf seiner Statusseite. Für Webspace-Kunden kann der Anbieter die PHP-Umgebung betreuen; bei eigenen vServern und Root-Servern sollten Betreiber den Patchstatus ihrer Systeme hingegen selbst unverzüglich prüfen und die verfügbaren Updates installieren.

Was sollten Website-Betreiber jetzt konkret tun?

Welche Maßnahme erforderlich ist, richtet sich nach dem Hosting-Modell und dem tatsächlichen Patchstatus. Für öffentlich erreichbare Systeme sollte die Prüfung priorisiert erfolgen.

1. Hosting-Modell klären: Prüfen, ob die Website auf Shared Hosting, einem Managed-Angebot oder einem selbst verwalteten Server läuft.
2. PHP-Version und Patchstatus kontrollieren: Die verwendete Version steht häufig im Kundenmenü. Unser Ratgeber erklärt, wie du die aktuelle PHP-Version ermittelst. Bei alten Versionszweigen ausdrücklich nach einem Sicherheits-Backport fragen.
3. Statusmeldung des Anbieters lesen: Fortschritte werden oft über Statusseiten, Kundenmitteilungen oder den Support kommuniziert. Fehlt eine eindeutige Bestätigung, sollte der Kundenservice kontaktiert werden.
4. Eigene Server aktualisieren: Betreiber unmanaged VPS und Root-Server sollten die Sicherheitsupdates des Betriebssystem- oder PHP-Anbieters umgehend einspielen, betroffene PHP- und Webserver-Prozesse neu starten und alle PHP-Installationen kontrollieren.
5. Logs und Backups prüfen: Nach dem Update Website-Funktion, Sicherungen und bei Auffälligkeiten Serverprotokolle kontrollieren. Ein Patch schließt die Lücke, beseitigt aber keine möglicherweise bereits erfolgte Kompromittierung.

Temporäre Konfigurationsmaßnahmen können einzelne Angriffswege einschränken, ersetzen aber kein Update. Das PHP-Projekt nennt sie ausdrücklich keine vollständige Lösung. Wenn ein öffentlich erreichbares System nachweislich verwundbar ist und nicht zeitnah aktualisiert werden kann, sollte der öffentliche Zugriff vorübergehend beschränkt oder die Anwendung isoliert werden.

Während der Wartung können Ausfälle auftreten. Mit einem regelmäßigen HTTP Monitoring lassen sich Erreichbarkeit und Reaktionszeiten überwachen. Das ersetzt jedoch weder ein Sicherheitsupdate noch eine forensische Untersuchung bei einem Verdacht auf Kompromittierung.

Reicht ein WordPress-Update aus?

Nein. Die Schwachstellen befinden sich in PHP und nicht im Programmcode von WordPress. Eine vollständig aktualisierte WordPress-Installation ist deshalb nicht ausreichend geschützt, solange sie auf einer verwundbaren PHP-Laufzeitumgebung betrieben wird.

Regelmäßige Updates von WordPress, Themes und Plugins bleiben dennoch unverzichtbar, weil sie andere Sicherheitslücken schließen. Beim klassischen Webhosting muss der Kunde aber normalerweise keinen PHP-Code ändern: Für die Aktualisierung der Serverumgebung ist in der Regel der Hoster zuständig.

Fazit: Wie dringend müssen Webhosting-Kunden handeln?

PHP2Shell ist eine ernst zu nehmende Bedrohung für PHP-basierte Websites und Anwendungen. Die korrigierten PHP-Versionen stehen bereit; betroffene Systeme sollten daher schnellstmöglich abgesichert werden.