Sicherheitslücke · CVE-2026-109618 / CVE-2026-109619

PHP2Shell: Ist Ihr Server betroffen? Kostenlose Vorabprüfung

Zwei kritische Lücken in PHP selbst erlauben unter bestimmten Bedingungen das Ausführen von Code ohne Login – unabhängig davon, ob WordPress, Shopware oder eine eigene Anwendung darauf läuft. Wir prüfen kostenlos, ob Ihr Server betroffen ist, und patchen ihn danach zum Festpreis.

Kostenlose Vorabprüfung anfragen Per WhatsApp anfragen

Für WhatsApp gelten die Datenschutzhinweise; Nachrichten laufen über WhatsApp/Meta.

🔎 Vorabprüfung kostenlos
💶 Festpreis vor Beginn
🐧 Linux-Server, VPS, Container
🔐 Nur lesender Zugang für die Prüfung

Stand 23.10.2026

Was hinter PHP2Shell steckt

Unter dem Namen PHP2Shell wurden zwei Lücken im PHP-Kern bekannt (CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 9.2). Beide hängen damit zusammen, wie PHP nach einem schweren Fehler während einer Anfrage – typischerweise beim Überschreiten des Speicherlimits – Speicher aufräumt. Betroffen sind praktisch alle PHP-Versionen seit 5.4, egal ob über Apache mod_php, PHP-FPM, php-cgi, LiteSpeed oder FrankenPHP. Als besonders gefährdet gilt Apache mit mod_php.

Am 21.10.2026 hat das PHP-Projekt korrigierte Versionen veröffentlicht. Erste Angriffsversuche wurden schon vorher beobachtet. Die öffentlich kursierenden Exploits funktionieren laut Sicherheitsforschern zwar nicht gegen eine Standardinstallation, ein Angriff braucht zusätzliche Bedingungen auf dem Server. Das ist ein Grund für Gelassenheit, aber keiner, das Update aufzuschieben: Das PHP-Projekt sagt ausdrücklich, dass keine Konfigurationsänderung die Lücken vollständig schließt.

Quellen: php.net, Sansec, watchTowr.

Korrigierte PHP-Versionen
Zweig	Sicher ab
PHP 8.5	8.5.12 offizielles Release
PHP 8.4	8.4.27 offizielles Release
PHP 8.3	8.3.36 offizielles Release
PHP 8.2	8.2.35 offizielles Release, Support endet 31.12.2026
PHP 7.4 – 8.1	– kein offizielles Release; nur Backports über Distributionen bzw. Drittanbieter-Repositories
PHP 7.3 und älter	– keine Korrektur – nur ein Upgrade hilft

Zuständigkeit

Wer jetzt handeln muss

PHP2Shell ist kein Fehler in Ihrer Website, sondern im Server darunter. Wer patchen muss, hängt davon ab, wem der Server gehört.

Eigener Server, VPS, Container

Sie – oder wir für Sie

Bei Root-Servern, VPS, Cloud-Instanzen und eigenen Docker-Images spielt niemand das Update automatisch ein. Genau hier setzt unser Patch-Service an.

Webhosting-Paket

Ihr Hoster

Bei Shared Hosting ist der Anbieter zuständig. Prüfen sollten Sie trotzdem, welche PHP-Version Ihre Seite nutzt – bei sehr alten Versionen hilft auch der beste Hoster nicht weiter.

PHP 8.1 und älter

Upgrade statt Patch

Für 8.1, 8.0 und 7.4 gibt es kein offizielles Release, nur Backports einzelner Distributionen. Meist ist der Umstieg auf eine aktuelle PHP-Version der saubere Weg: PHP-Version aktualisieren.

Erste Einschätzung

So prüfen Sie es selbst

Von außen lässt sich PHP2Shell nicht zuverlässig erkennen. Mit SSH-Zugang reichen zwei Befehle für eine erste Einschätzung.

Versionsnummer: liegt sie unter den Werten in der Tabelle oben, ist der Server ungepatcht.
Distributions-Pakete (Debian, Ubuntu, RHEL) behalten oft die alte Nummer und bekommen den Fix als Backport. Dann zeigt nur das Changelog, ob er drin ist.
Achtung: Die Konsole kann eine andere PHP-Version nutzen als der Webserver. Im Zweifel zählt, was die Website tatsächlich ausführt.

Schicken Sie uns die Ausgaben einfach mit – das ist bereits die halbe Vorabprüfung.

$ php -v
PHP 8.3.36 (cli) …

# Debian/Ubuntu (Paketname ggf. anpassen):
$ zgrep CVE-2026-109618 \
  /usr/share/doc/php8.3-common/changelog.Debian.gz

# RHEL, AlmaLinux, Rocky:
$ rpm -q --changelog php-common | grep CVE-2026-109618

Treffer = Fix enthalten. Kein Treffer = handeln.

Ablauf

Von der Vorabprüfung zum gepatchten Server

Vorabprüfung, kostenlos

Sie schicken uns die Befehlsausgaben oder geben uns einen lesenden Zugang. Wir stellen fest, ob und wie Ihr Server betroffen ist.

Festpreis-Angebot

Sie bekommen einen festen Preis pro Server und den geplanten Weg: Paket-Update, Backport-Repository oder Versionswechsel.

Patch & Kontrolle

Update, Neustart aller PHP-Prozesse, Prüfung der Version direkt über den Webserver und Sichtung der Logs seit August auf Angriffsspuren.

Kurzbericht

Sie erhalten schriftlich, was geändert wurde, was wir in den Logs gefunden haben und was wir für die Zukunft empfehlen.

Kosten

Was das Patchen kostet

Vorabprüfung

0 €

unverbindlich, ohne Zahlungsdaten

Einschätzung: betroffen oder nicht
Empfohlener Weg für Ihren Server
Festpreis-Angebot pro Server
Antwort in der Regel innerhalb eines Werktags

Vorabprüfung anfragen

Danach: Festpreis pro Server

Ist ein Paket-Update für Ihre PHP-Version verfügbar, liegt der Patch inklusive Kontrolle, Log-Sichtung und Kurzbericht bei ab 149 € pro Server. Bei veralteten PHP-Versionen, mehreren PHP-Versionen parallel oder eigenen Container-Images nennen wir den Preis nach der Vorabprüfung – immer bevor wir anfangen.

Verdacht auf einen erfolgreichen Angriff?

Dann geht es nicht mehr nur ums Patchen. Wir sagen Ihnen, was wir gefunden haben, und stimmen den weiteren Aufwand mit Ihnen ab. Ist schon eine Website betroffen, hilft unsere Notfallhilfe für WordPress, Joomla und TYPO3.

Nicht bei jeder Lücke neu anfangen

In unserer Server-Betreuung gehören Sicherheitsupdates zum laufenden Betrieb: Kritische Patches spielen wir zeitnah ein, ohne dass Sie erst davon in den Nachrichten lesen müssen.

FAQ

Häufige Fragen zu PHP2Shell

Kann man von außen erkennen, ob mein Server betroffen ist?

Nein, nicht zuverlässig. Entscheidend ist die tatsächlich installierte PHP-Version bzw. das Paket Ihrer Distribution – und die sieht man nur auf dem Server selbst. Deshalb fragen wir für die Vorabprüfung nach zwei Befehlsausgaben oder schauen uns das Paket mit einem lesenden Zugang an.

Ich habe nur ein normales Webhosting-Paket. Muss ich etwas tun?

Bei Shared Hosting spielt der Anbieter die PHP-Updates ein, nicht Sie. Sinnvoll ist trotzdem ein Blick darauf, welche PHP-Version Ihre Seite nutzt: Läuft sie noch auf PHP 8.1 oder älter, gibt es dafür kein offizielles Sicherheitsupdate mehr. Dann ist die Umstellung auf eine aktuelle Version der eigentliche Schritt.

Was kostet die Vorabprüfung?

Nichts. Sie bekommen eine Einschätzung, ob und wie Ihr Server betroffen ist, und ein Festpreis-Angebot für das Patchen. Erst wenn Sie das Angebot annehmen, entstehen Kosten.

Warum gibt es keinen Pauschalpreis?

Weil der Aufwand stark schwankt: Auf einem aktuellen Debian- oder Ubuntu-System mit unterstützter PHP-Version ist es ein Paket-Update mit anschließender Prüfung. Bei einer alten PHP-Version, eigenen Docker-Images oder mehreren PHP-Versionen parallel steckt deutlich mehr dahinter. Nach der Vorabprüfung wissen wir es – und nennen dann einen festen Preis.

Reicht eine Web Application Firewall oder ein Sicherheits-Plugin?

Nein. Die Lücken liegen in PHP selbst, ein Teil wird ausgelöst, bevor überhaupt Anwendungscode läuft. Sicherheitsforscher und Hersteller weisen ausdrücklich darauf hin, dass WAFs und Schutzfunktionen innerhalb der Anwendung den Angriff nicht zuverlässig stoppen. Übergangsmaßnahmen in der PHP-Konfiguration gibt es, sie ersetzen das Update aber nicht.

Wurde mein Server womöglich schon angegriffen?

Erste Angriffsversuche wurden ab dem 17.10.2026 beobachtet. Beim Patchen sehen wir uns deshalb auch die Logs seit Anfang August auf typische Spuren an (auffällige Upload-Anfragen, Speicherfehler, Abstürze von PHP-Prozessen). Finden wir Hinweise auf eine Kompromittierung, besprechen wir das weitere Vorgehen mit Ihnen, bevor zusätzlicher Aufwand entsteht.

Wie geht es nach dem Patch weiter?

Die nächste kritische Lücke kommt bestimmt. Wenn Sie nicht jedes Mal selbst hinterherlaufen wollen, übernehmen wir das Patch-Management dauerhaft im Rahmen unserer Server-Betreuung: Updates, Monitoring und Benachrichtigung, bevor etwas brennt.

Kostenlose Vorabprüfung

Server prüfen lassen

Nennen Sie uns Server bzw. Domain, Betriebssystem und – falls vorhanden – die Ausgaben der beiden Befehle von oben. Wir melden uns mit Einschätzung und Festpreis-Angebot.