PHP2Shell: Warum WordPress-Updates nicht reichen

Am 21. Oktober 2026 wurden unter dem Namen PHP2Shell zwei kritische Sicherheitslücken öffentlich. Vorweg zur Einordnung: Weder WordPress noch eure Plugins waren schuld. Die Lücken steckten eine Ebene tiefer, im Interpreter der Programmiersprache PHP selbst.

Nach der Meldung war die Verunsicherung groß. Das BSI hat eine Warnung der Stufe Orange herausgegeben, einige Städte, Kliniken und Hochschulen haben ihre Websites vorsorglich vom Netz genommen. Schnell hieß es in vielen Gesprächen: WordPress ist unsicher.

Das greift zu kurz. Betroffen waren nicht nur WordPress-Seiten, sondern grundsätzlich alle Webanwendungen, die auf PHP laufen, also auch TYPO3, Joomla, Drupal, Magento oder Nextcloud. Der Fehler lag nicht im Code eurer Website, sondern in der Software, die diesen Code auf dem Server ausführt.

In diesem Beitrag ordnen wir ein, was hinter PHP2Shell steckt, warum WordPress hier nicht der Schuldige war und welche Maßnahmen eure Website künftig robuster machen.

Was ist PHP2Shell überhaupt?

PHP ist die Programmiersprache, in der WordPress und viele andere Systeme geschrieben sind. Damit aus diesem Code eine fertige Webseite wird, braucht es auf dem Server einen Interpreter: ein Programm, das jede Anfrage entgegennimmt, den PHP-Code ausführt und das Ergebnis an den Browser schickt.

PHP2Shell ist der Sammelname für zwei kritische Lücken in genau diesem Interpreter (CVE-2026-109618 und CVE-2026-109619). Vereinfacht gesagt geht es um Fehler im Umgang mit Arbeitsspeicher: Die eine Lücke betrifft die Fehlerbehandlung, wenn der Speicher während einer Anfrage knapp wird. Die andere betrifft Speicherbereiche, die nach einer Anfrage nicht sauber zurückgesetzt werden.

Das Ergebnis ist in beiden Fällen dasselbe: Angreifer können unter bestimmten Bedingungen eigenen Code auf dem Server ausführen, ohne sich vorher anmelden zu müssen. Daher kommt auch der Name. Aus einer PHP-Anfrage wird eine Shell, also eine Fernsteuerung für den Server.

Warum war WordPress diesmal nicht das Problem?

Stellt euch eure Website wie ein Haus vor. WordPress, Theme und Plugins sind Räume, Möbel und Türen. PHP ist das Fundament, auf dem alles steht. PHP2Shell war ein Riss im Fundament, nicht in einer der Türen.

Besonders deutlich wird das bei Servern, auf denen PHP als Apache-Modul läuft (mod_php). Dort konnte ein Angriff greifen, bevor überhaupt eine Zeile WordPress-Code ausgeführt wurde. Kein Login-Schutz, kein Sicherheits-Plugin und keine noch so saubere Plugin-Auswahl hätte das verhindern können.

Deshalb hilft hier auch kein WordPress-Update. Ein Core- oder Plugin-Update ändert den Code eurer Website, aber nicht den Interpreter darunter. Die Lösung ist ein Update von PHP selbst, und das liegt je nach Setup bei euch, eurer Agentur oder eurem Hoster.

Das ist übrigens kein PHP-Einzelfall. Log4Shell hat vor einigen Jahren gezeigt, dass auch weit verbreitete Bausteine anderer Programmiersprachen kritische Lücken haben können. Keine Technologie ist dauerhaft fehlerfrei. Entscheidend ist, wie schnell Lücken geschlossen werden.

Was hat PHP2Shell so kritisch gemacht?

Sicherheitslücken in PHP gibt es immer wieder. Diese beiden fielen aber aus mehreren Gründen besonders ins Gewicht.

Nichts davon lag in der Hand eines WordPress-Betreibers. Umso wichtiger ist, dass jemand die Serverebene im Blick hat.

Woran erkennt ihr, ob eure Website betroffen war?

Der erste Schritt ist der Patchstand. Läuft eure Seite auf einer korrigierten PHP-Version, ist die Lücke geschlossen. Offen bleibt die Frage, ob in der Zeit davor jemand Zugriff hatte.

Die bekannten Warnsignale gelten dabei weiterhin: unbekannte PHP-Dateien an ungewöhnlichen Stellen wie dem Upload-Ordner, neue Admin-Konten, die niemand angelegt hat, Spam-Mails aus eurer Domain, plötzliche Weiterleitungen oder Warnungen in der Google Search Console.

Wenn euch etwas komisch vorkommt oder ihr gar nicht wisst, wer bei euch für PHP zuständig ist, lohnt ein Blick von außen. Unser Website-Check ist ein guter Startpunkt, um den technischen Zustand eurer Seite einzuordnen.

Was bedeutet das für euer Unternehmen?

Kein Grund zur Panik, aber ein guter Anlass zum Hinschauen. PHP2Shell hat gezeigt, wie schnell aus einer technischen Meldung ein echtes Geschäftsrisiko werden kann. Behörden und Kliniken haben ihre Seiten lieber vorübergehend abgeschaltet, als ein Risiko einzugehen.

Wird eine Website kompromittiert, folgen Ausfallzeiten, Bereinigungskosten und im Ernstfall meldepflichtige Datenschutzvorfälle nach DSGVO. Dazu kommt der Vertrauensverlust bei Kunden und Partnern.

Auch eure Sichtbarkeit steht auf dem Spiel. Markiert Google eure Domain als unsicher, sind Monate an Arbeit in Suchmaschinenoptimierung schnell entwertet. Werbeplattformen wie Google Ads stoppen Anzeigen, sobald sie Schadcode auf der Zielseite erkennen.

Wie sichert ihr euch für die Zukunft ab?

Gegen Lücken im Fundament hilft kein einzelnes Plugin. Was hilft, ist ein Setup, in dem Updates auf allen Ebenen schnell und verlässlich ankommen.

Aktuelle PHP-Version: Setzt auf eine offiziell unterstützte PHP-Version und plant den Umstieg auf PHP 8.3 oder neuer frühzeitig ein, statt bis zum Supportende zu warten.

Klare Zuständigkeit: Wer spielt PHP-Updates ein, der Hoster, eure Agentur oder ihr selbst? Wie schnell passiert das im Ernstfall und wie werdet ihr informiert? Diese Fragen sollten beantwortet sein, bevor die nächste Warnung kommt.

Ganzheitliche Wartung: Eine gute WordPress-Wartung kümmert sich nicht nur um Core und Plugins, sondern hat auch PHP-Version, Serverkonfiguration und aktuelle Sicherheitsmeldungen im Blick.

Backups und Monitoring: Regelmäßige Sicherungen auf externen Servern und eine Überwachung auf verdächtige Dateien oder Prozesse sorgen dafür, dass ihr im Ernstfall schnell reagieren und sauber wiederherstellen könnt.

Zusätzliche Schutzschichten: Eine Web Application Firewall kann bekannte Angriffsmuster abfangen. Ein Update ersetzt sie aber nicht, das haben PHP-Team und BSI ausdrücklich betont.

Sicherheit von Anfang an: Wer eine neue Seite plant, sollte Hosting und Sicherheit beim Webdesign direkt mitdenken. Ein Hoster mit klarem Patch-Prozess und transparenter Kommunikation ist im Ernstfall Gold wert.

Fazit

PHP2Shell war keine WordPress-Lücke. Die Schwachstellen steckten im PHP-Interpreter selbst und betrafen damit nahezu jede PHP-basierte Website, egal mit welchem System sie gebaut ist.

Die wichtigste Lehre: Sicherheit endet nicht beim WordPress-Dashboard. Wer seine Website ernsthaft für Vertrieb, Marketing und Markenbildung nutzt, braucht jemanden, der auch die Ebene darunter im Blick hat und im Ernstfall schnell handelt.

Ein guter erster Schritt: Prüft eure PHP-Version, fragt beim Hoster nach dem Patchstand und klärt, wer künftig zuständig ist.