PHP2Shell: Warum Millionen Webseiten am 21. Oktober offline gingen
Seit gestern Abend zeigen zahlreiche Internetseiten lediglich den Hinweis „Vorübergehend nicht erreichbar“. Dahinter steckt kein gewöhnlicher Wartungsfehler, sondern eine der schwerwiegendsten Sicherheitslücken der vergangenen Jahre.
Was ist geschehen?
Im Kern der Programmiersprache PHP wurden zwei kritische Sicherheitslücken entdeckt. Sie werden unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 geführt und von Sicherheitsexperten unter dem Namen „PHP2Shell“ zusammengefasst – in Anlehnung an die Log4Shell-Lücke aus dem Jahr 2021.
Das PHP-Sicherheitsteam bewertet beide Lücken mit 9,2 von 10 Punkten auf der CVSS-Skala. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Warnstufe 3 / Orange ausgerufen. Diese Stufe signalisiert eine außerordentlich hohe Bedrohung und erfordert unverzügliche Gegenmaßnahmen. Das BSI empfiehlt ausdrücklich, Server im Zweifel vollständig vom Netz zu nehmen.
Warum ist die Bedrohung so groß?
PHP ist die Grundlage für rund 75 Prozent aller Webseiten weltweit. Nahezu jedes Content-Management-System wie WordPress, Joomla, Drupal, TYPO3 oder Magento ist darauf angewiesen.
Die Lücke ermöglicht eine sogenannte Remote Code Execution (RCE). Angreifer können ohne Anmeldedaten durch speziell präparierte Anfragen, etwa über manipulierte Datei-Uploads, eigenen Code auf dem Server ausführen. Im schlimmsten Fall erlangen sie die vollständige Kontrolle über den Webspace, greifen Kundendaten ab, manipulieren Webseiten oder nutzen die Infrastruktur für weitere Cyberangriffe.
Entscheidend ist: Betroffen ist nicht eine einzelne Anwendung, sondern der PHP-Kern selbst. Es spielt daher keine Rolle, wie aktuell das eingesetzte CMS oder die Plugins sind. Ist das darunterliegende PHP verwundbar, ist die gesamte Webseite verwundbar.
Warum kam es zu massenhaften Abschaltungen?
Die Patches waren für den 21. Oktober 2026 um 14:00 UTC (16:00 Uhr deutscher Zeit) angekündigt. Da jedoch technische Details vorab auf der Plattform HackerNews geleakt wurden, inklusive eines Demonstrationsvideos zur Übernahme von WordPress, Drupal und Magento, steht die gesamte Branche unter erheblichem Zeitdruck.
Aus diesem Grund haben zahlreiche Hoster, Kommunen und Unternehmen am 21. Oktober mittags vorsorglich tausende Webseiten vom Netz genommen, um sie bis zur Installation des Patches zu schützen.
Was bedeutet das für Betreiber von WordPress-Seiten?
Für WordPress-Betreiber besteht unmittelbarer Handlungsbedarf, dieser liegt jedoch primär auf Seiten des Hostings.
1. PHP-Version prüfen: In der Hosting-Verwaltung sollte überprüft werden, welche PHP-Version aktiv ist. Als sicher gelten seit dem 21. Oktober die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Alle darunterliegenden Versionen gelten als verwundbar.
2. Hosting-Anbieter kontaktieren: Zeigt die Verwaltung noch eine ältere Version an oder ist die Webseite offline, handelt es sich in den meisten Fällen um eine Schutzmaßnahme des Anbieters. In diesem Fall sollte der Support um ein Update auf die gepatchte PHP-Version gebeten werden.
3. Nachkontrolle nach dem Update: Sobald die Seite wieder erreichbar ist, empfiehlt sich eine Überprüfung des Systems. Unter „Benutzer“ sollte kontrolliert werden, ob keine unbekannten Administrator-Konten angelegt wurden. Unter „Plugins“ sollte geprüft werden, ob keine unbekannte Software installiert wurde. Im Zweifelsfall sollte ein sauberes Backup von vor dem 20. Oktober wiederhergestellt werden.
Die Schwachstelle ist kein Fehler von WordPress, WordPress-Seiten sind aufgrund ihrer weiten Verbreitung jedoch ein primäres Ziel für die automatisierten Massenscans, die von Sicherheitsexperten in den kommenden Tagen erwartet werden.
