PHP2Shell: So prüfst du, ob dein Server schon gepatcht ist

Am 21. Oktober 2026 hat das PHP-Projekt ein Sicherheitsupdate für zwei kritische Lücken veröffentlicht. Damit können Angreifer ohne Login eigenen Code auf deinem Server ausführen. Betroffen ist jede Webseite und jeder Shop, der mit PHP läuft, also WordPress, WooCommerce, Magento, Shopware und viele mehr. Hier erfährst du, wie du prüfst, ob dein Server geschützt ist, und was du tust, wenn das Update noch fehlt.

Was passiert ist

Die beiden Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619. In der Fachwelt heissen sie zusammen «PHP2Shell». Das PHP-Sicherheitsteam bewertet beide mit 9.2 von 10 Punkten. Das ist die Stufe «kritisch».

Das Problem steckt in PHP selbst, also in der Software, die deine Webseite auf dem Server ausführt. Ein einziger präparierter Aufruf deiner Webseite kann reichen, um den Server zu übernehmen. Der Angriff passiert, bevor dein Shop-System überhaupt läuft. Ein Sicherheits-Plugin in WordPress oder ein starkes Admin-Passwort schützt dich deshalb nicht.

Die Updates sind seit dem 21. Oktober 2026 um 16:00 Uhr Schweizer Zeit verfügbar. Teile der Details waren schon vorher durchgesickert. Sicherheitsfirmen melden bereits erste Angriffe, und Beispielcode für Angriffe ist im Umlauf. Je länger ein Server ungepatcht bleibt, desto grösser wird das Risiko.

Wen es betrifft

Betroffen ist jeder Server, der Webseiten mit PHP ausliefert. Dabei spielt es keine Rolle, ob PHP über PHP-FPM, Apache mit mod_php, LiteSpeed oder FrankenPHP läuft. Wer das Update einspielt, hängt davon ab, wie deine Seite gehostet ist.

• Shared Hosting oder Managed Hosting (z. B. WordPress, WooCommerce, Joomla beim Webhoster): Das Update spielt dein Hoster ein.
• Eigener Server oder VPS (z. B. Magento, Shopware, Laravel): Das Update spielst du ein, deine Agentur oder wer den Server betreut.
• Docker-Container mit eigenem PHP-Image: Du baust das Image mit der gepatchten PHP-Version neu und startest die Container neu.
• Shopify und andere gehostete Shop-Baukästen: Der Anbieter betreibt die Server und spielt das Update ein.

Auch wenn dein Hoster zuständig ist, lohnt sich eine kurze Nachfrage. So weisst du sicher, ob dein Server schon geschützt ist.

So prüfst du die PHP-Version

Das PHP-Projekt hat diese Versionen veröffentlicht. Alles darunter ist verwundbar.

• PHP 8.5: geschützt ab 8.5.12
• PHP 8.4: geschützt ab 8.4.27
• PHP 8.3: geschützt ab 8.3.36
• PHP 8.2: geschützt ab 8.2.35
• PHP 8.1 und älter: keine offizielle neue Version. Plane den Wechsel auf einen aktuellen Zweig und frag deinen Hoster nach dem Stand.

Die Version siehst du im Kundenbereich deines Hosters, in WordPress unter Werkzeuge, Website-Zustand im Bereich Server oder auf dem Server mit dem Befehl php -v.

Wichtig: Die Versionsnummer allein reicht oft nicht. Viele Hoster und Linux-Systeme wie Ubuntu, Debian, Red Hat oder CloudLinux bauen Sicherheitskorrekturen in ihre bestehende Version ein. Die Nummer bleibt dabei gleich. Ein Server mit PHP 8.3.6 unter Ubuntu 24.04 kann also gepatcht sein, obwohl die Nummer kleiner ist als 8.3.36. Ob der Patch drin ist, zeigt dann nur das Änderungsprotokoll des Pakets. Wie du es liest, steht weiter unten bei «Eigener Server». Bei Shared Hosting fragst du deinen Hoster.

Aus demselben Grund kann dir kein Online-Test von aussen zuverlässig sagen, ob ein Server gepatcht ist. Verlass dich auf die Auskunft deines Hosters oder auf die Prüfung direkt auf dem Server.

Shared Hosting: Frag deinen Hoster

Bei Shared Hosting spielt dein Hoster das Update ein. Viele Hoster informieren auf ihrer Statusseite oder per E-Mail. Findest du dort nichts, schreib dem Support. Diesen Text kannst du übernehmen:

Betreff: Stand PHP-Sicherheitsupdate CVE-2026-109618 und CVE-2026-109619

Hallo

Am 21. Oktober 2026 hat das PHP-Projekt Updates für die kritischen Lücken CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Mein Hosting läuft unter [Domain bzw. Vertragsnummer].

Bitte bestätigt mir:

1. Ist der Patch auf meinem Server installiert?
2. Wurden PHP-FPM bzw. der Webserver danach neu gestartet?
3. Falls noch nicht: Bis wann ist das geplant?

Danke und Gruss
[Name]

Die zweite Frage ist wichtig. Ein installiertes Update wirkt erst, wenn die PHP-Prozesse neu gestartet sind.

Eigener Server: Schritt für Schritt

Die Befehle gelten für Ubuntu und Debian mit PHP 8.3. Bei einer anderen Version ersetzt du 8.3 durch deine, zum Beispiel 8.2. Du brauchst Root-Zugriff per SSH.

1. Paketliste aktualisieren und Stand prüfen.

   apt update
   apt-cache policy php8.3-fpm

   Unter Installed steht deine Version, unter Candidate die neueste verfügbare. Sind beide gleich, ist entweder schon alles aktuell oder der Patch ist bei deiner Paketquelle noch nicht angekommen. Schritt 2 klärt das.

2. Im Änderungsprotokoll nach den CVE-Nummern suchen.

   apt changelog php8.3-common | head -20

   Der oberste Eintrag muss CVE-2026-109618 und CVE-2026-109619 nennen. Meldet der Befehl einen Fehler, ist das Protokoll online noch nicht verfügbar. Dann liest du es direkt aus dem Paket:

   cd /tmp && apt download php8.3-common
   dpkg-deb --fsys-tarfile php8.3-common_*.deb | tar -xO ./usr/share/doc/php8.3-common/changelog.Debian.gz | zcat | head -20

3. Nur die PHP-Pakete aktualisieren.

   apt install --only-upgrade 'php8.3-*'

   Prüf vor dem Bestätigen die Liste. Sie soll nur Pakete mit php8.3- enthalten.

4. PHP neu starten. Erst danach läuft der neue Code.

   systemctl restart php8.3-fpm

   Läuft PHP über Apache mit mod_php, startest du stattdessen apache2 neu. Hintergrundprozesse wie Queue-Worker oder Cronjobs mit langen Laufzeiten startest du ebenfalls neu, zum Beispiel mit supervisorctl restart all.

5. Ergebnis prüfen.

   dpkg -l | grep php8.3
   systemctl status php8.3-fpm --no-pager | head -5

   Alle PHP-Kernpakete zeigen die neue Version, und PHP-FPM läuft seit dem Neustart.

Tipp, wenn der Patch fehlt: Viele Rechenzentren spiegeln die Ubuntu-Pakete auf eigene Server. Diese Spiegel hinken manchmal einige Stunden hinterher. Mit diesem Befehl siehst du, ob Ubuntu das Update bereits veröffentlicht hat:

curl -s http://security.ubuntu.com/ubuntu/pool/universe/p/php8.3/ | grep -o 'php8.3-fpm_[^"<]*amd64.deb' | sort -u

Ist dort eine neuere Version als deine aufgeführt, trägst du die offizielle Quelle zusätzlich ein und fährst mit Schritt 1 fort:

echo "deb http://security.ubuntu.com/ubuntu noble-security main universe" > /etc/apt/sources.list.d/ubuntu-security-official.list

noble steht für Ubuntu 24.04. Bei einer anderen Ubuntu-Version setzt du deren Codenamen ein.

Andere Systeme: Auf Red Hat, AlmaLinux oder Rocky Linux aktualisierst du mit dnf update 'php*' und prüfst mit rpm -q --changelog php-common | head -20. Nutzt du PHP aus dem Paketarchiv von Ondřej Surý (Ubuntu) oder von Remi (Red Hat), zeigt php -v nach dem Update direkt die neue Versionsnummer aus der Tabelle oben.

Wenn der Patch noch fehlt

Das PHP-Team und die EU-Cybersicherheitsstelle CERT-EU sind sich einig: Nur das Update schliesst die Lücken. Die folgenden Massnahmen verkleinern das Risiko für ein paar Stunden. Einen sicheren Server machen sie nicht.

• Seite vom Netz nehmen oder einschränken. CERT-EU empfiehlt, öffentlich erreichbare Systeme bis zum Patch abzuschotten. Bei einem Shop ist das ein Wartungsmodus.
• Datei-Uploads im Webserver sperren. Ein Teil der Angriffe läuft über Formulare mit Datei-Upload. In Nginx blockierst du solche Anfragen mit if ($http_content_type ~* "multipart/form-data") { return 403; } im server-Block. Funktionen wie Bild-Uploads oder Datei-Importe gehen dann vorübergehend nicht.
• PHP-Einstellungen verschärfen. CERT-EU nennt unter anderem session.upload_progress.enabled = 0 und ein niedriges post_max_size. Danach startest du alle PHP-Prozesse neu.
• Webseite hinter eine Web Application Firewall stellen. Cloudflare hat Regeln gegen die bekannten Angriffswege veröffentlicht. Das wirkt nur, wenn der gesamte Verkehr über Cloudflare läuft.

Sobald der Patch installiert ist, nimmst du die Sperren wieder zurück.

Nach dem Patch: Prüf, ob jemand drin war

Angriffe gab es schon vor dem Update. Ein Patch schliesst die Tür, entfernt aber niemanden, der bereits drin ist. Prüf deshalb nach dem Update diese Punkte:

• Neue Admin-Konten in WordPress, WooCommerce, Magento oder deinem Shop-Backend, die niemand aus deinem Team angelegt hat.
• Geänderte oder neue PHP-Dateien im Webverzeichnis, besonders in Upload-Ordnern. Auf dem Server zeigt dir find /var/www -name "*.php" -mtime -3 alle PHP-Dateien, die in den letzten drei Tagen geändert wurden. Den Pfad passt du an deinen Webordner an.
• Unbekannte Cronjobs mit crontab -l für die Benutzer root und www-data.
• Auffällige Anfragen im Zugriffsprotokoll des Webservers, zum Beispiel viele grosse POST-Anfragen von unbekannten Adressen.

Findest du etwas Verdächtiges, nimm die Seite vom Netz und hol dir Hilfe von einer Fachperson für IT-Sicherheit. Ändere danach alle Passwörter und API-Schlüssel, die auf dem Server gespeichert sind.

Libers Suite und deine Daten

Die Server von Libers Suite haben wir am 21. Oktober 2026 am Abend aktualisiert, rund zwei Stunden nach der Veröffentlichung. Den Patch haben wir anhand der CVE-Nummern im Änderungsprotokoll geprüft und alle PHP-Prozesse neu gestartet.

Dein eigener Shop läuft auf deinem Server oder bei deinem Hoster. Dafür gelten die Schritte oben.

Häufige Fragen

Reicht es, WordPress und die Plugins zu aktualisieren?

Die Lücken stecken in PHP auf dem Server. Deshalb braucht es das PHP-Update auf dem Server. Updates von WordPress, WooCommerce oder Plugins sind trotzdem sinnvoll. Gegen PHP2Shell hilft aber das PHP-Update.

Mein Hoster zeigt PHP 8.3.6 an. Bin ich ungeschützt?

Das lässt sich an der Nummer allein nicht ablesen. Viele Hoster bauen den Patch in die bestehende Version ein. Frag deinen Hoster mit dem Mustertext oben.

Gibt es einen Online-Test für meine Domain?

Von aussen lässt sich der Patch-Stand nicht zuverlässig erkennen. Sichere Auskunft gibt dir dein Hoster oder die Prüfung direkt auf dem Server.

Ich nutze noch PHP 7.4 oder 8.1. Was jetzt?

Für diese Versionen hat das PHP-Team nur Korrekturen im Quellcode bereitgestellt. Manche Hoster und Linux-Anbieter liefern eigene Korrekturen. Frag deinen Hoster und plane den Wechsel auf PHP 8.3 oder neuer.

Mein Shop läuft auf Shopify. Muss ich etwas tun?

Shopify betreibt die Server für deinen Shop und kümmert sich um deren Sicherheit. Betreibst du daneben eine Webseite oder einen Blog mit WordPress, prüfst du diese wie oben beschrieben.

Wie schnell muss ich handeln?

Heute. Es gibt bereits Angriffe, und Beispielcode ist im Umlauf.

Stand der Informationen: 22. Oktober 2026, 09:00 Uhr. Die Lage entwickelt sich weiter. Prüf die aktuellen Angaben bei den Quellen.