PHP-Sicherheitslücke PHP2Shell: Warum so viele Websites offline waren und was das für WordPress-Betreiber bedeutet

Am 21. Oktober 2026 um 16 Uhr MESZ veröffentlichten die PHP-Entwickler vier Notfall-Patches. Der Grund: eine kritische PHP-Sicherheitslücke, die Sicherheitsforscher "PHP2Shell" nannten und die Angreifern ohne jede Anmeldung die vollständige Kontrolle über fremde Webserver ermöglicht. Noch bevor der Patch fertig war, registrierte Cloudflare bereits aktive Angriffe im Netz. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft eine großflächige Ausnutzung innerhalb weniger Stunden als wahrscheinlich ein. Stand: 22.10.2026.

Was ist PHP2Shell? Die PHP-Sicherheitslücke im Überblick

Was bedeutet das konkret? Ein Angreifer kann über das Internet auf den Server einer Website zugreifen und dort Befehle ausführen, ganz ohne Passwort. Er kann Kundendaten abgreifen, Schadsoftware verstecken oder die Seite für weitere Angriffe missbrauchen.

Ein Beispiel: Stellen Sie sich ein Bürogebäude vor. Ihre Firma hat dort eigene Räume mit eigenem Schloss an der Tür. Dieses Schloss entspricht Ihrer Website mit Login und Plugins. Jetzt stellt sich heraus, dass der Haupteingang des Gebäudes, also PHP, einen Konstruktionsfehler hat. Mit einem simplen Trick kommt jeder hinein, ohne Schlüssel. Ihr eigenes Türschloss hilft dann wenig, denn der Einbrecher ist schon im Haus. Und weil weltweit Millionen Gebäude mit genau diesem Eingang gebaut wurden, sind sie alle gleichzeitig gefährdet. Genau deshalb haben die Stadt Düsseldorf und viele andere ihre Websites vorsorglich vom Netz genommen, bis der Fehler behoben war.

PHP (Hypertext Preprocessor) ist die Programmiersprache, auf der ein Großteil des Webs läuft. WordPress, TYPO3, Joomla und viele andere Systeme nutzen PHP als Laufzeitumgebung auf dem Server. Genau dort liegt das Problem.

PHP2Shell bezeichnet zwei eigenständige Schwachstellen: CVE-2026-109618 und CVE-2026-109619. Beide tragen einen CVSS-4.0-Score von 9,2 und werden damit als kritisch eingestuft. Die Lücken stecken im PHP-Kern, nicht in einzelnen Plugins oder Themes. Sie erlauben sogenannte Remote Code Execution (RCE): Ein Angreifer führt ohne vorherige Anmeldung beliebigen Programmcode auf dem fremden Webserver aus. Er kann Dateien lesen, Daten stehlen, Schadcode hinterlegen oder den Server als Ausgangspunkt für weitere Angriffe nutzen.

Betroffen sind alle PHP-Installationen, die Webanfragen direkt verarbeiten: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Die Schwachstellen reichen nach ersten Analysen bis zurück zu PHP 5. Entdeckt wurden sie unter anderem mit KI-gestützter Sicherheitsanalyse durch die Firmen Wiz und Calif.io in Zusammenarbeit mit OpenAI.

Details leakten am 20. Oktober über Hacker News, bevor der offizielle Patch bereitstand. Das erhöhte den Druck auf alle Betreiber erheblich. Am 21. Oktober erschienen die folgenden gesicherten Versionen:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP 8.1 und alle älteren Versionen erhalten keinen offiziellen Sicherheitspatch. Laut CERT-EU kursieren bereits funktionierende Proof-of-Concept-Exploits. Quellen: BSI-Warnung 2026-297981-1032, Malwarebytes.

Warum so viele Websites offline gingen

CERT-EU formulierte seine Empfehlung klar: Wer nicht sofort patchen kann, soll die Website vom Netz nehmen. Dieser Rat wurde von einer bemerkenswert breiten Gruppe beherzigt.

In Düsseldorf gingen die Stadtwebsite, die Homepage der Heinrich-Heine-Universität und die der Uniklinik offline. Weitere Einrichtungen in Deutschland folgten: die Stadt Mainz, die Charité in Berlin und die Ruhr-Universität Bochum. International schalteten Regierungsseiten in Finnland, den Niederlanden und Kanada ihre Auftritte vorübergehend ab. Besonders symbolisch: Das nationale Cybersicherheitszentrum der Niederlande, das selbst für Sicherheitswarnungen zuständig ist, nahm die eigene Website vom Netz. Quellen: t-online Düsseldorf, CNBC.

Einige Hosting-Anbieter sperrten vorübergehend Datei-Uploads auf ihren Servern. Das klingt nach Überreaktion, ist es aber nicht. Ein kompromittierter Server kann zur Waffe werden: Daten werden abgezogen, der Webauftritt für Phishing missbraucht, oder das System dient als Sprungbrett für Angriffe auf Dritte. Gleichzeitig gilt: Wer nicht weiß, ob der Patch bereits eingespielt ist, hat ohne Offline-Schaltung schlicht keinen gesicherten Zustand.

Warum ein WordPress-Update hier nicht geholfen hätte

Dieser Abschnitt gibt die persönliche Einschätzung von Aleksey Rogalev, Geschäftsführer von marketer UX, wieder.

Die naheliegende Frage vieler Website-Betreiber: Hätte ein rechtzeitiges WordPress-Update die Gefahr abgewendet? Die Antwort ist klar: Nein, gar nicht.

PHP2Shell steckt nicht in WordPress, nicht in einem Plugin und nicht in einem Theme. Die Lücke sitzt in der PHP-Laufzeitumgebung auf dem Server. Wer WordPress auf dem aktuellen Stand hält, hat damit die Schwachstelle in der Laufzeit nicht geschlossen. Das ist kein Fehler von WordPress. Es ist ein strukturelles Problem des Betriebsmodells.

Wer eine Website auf einem selbst verwalteten Server mit PHP betreibt, trägt Verantwortung auf mehreren Ebenen gleichzeitig: Server-Absicherung, PHP-Versionspflege, CMS-Core, Plugins, Themes. All das muss koordiniert werden, oft unter Zeitdruck und ohne dediziertes Sicherheitsteam. In einer Umgebung, in der Sicherheitslücken mit KI-Unterstützung entdeckt werden und einsatzbereite Exploits binnen Stunden verfügbar sind, ist das ein ernstzunehmendes Betriebsrisiko.

Infrastruktursicherheit darf kein Nebenprodukt sein, das der Website-Betreiber zwischen Tagesgeschäft und dem nächsten Meeting erledigt. Sie muss strukturell beim Plattformanbieter liegen. Gerade mittelständische Unternehmen, Behörden und Bildungseinrichtungen verfügen nicht über die personellen Mittel, einen eigenen PHP-Stack professionell zu warten. Die detaillierte Gegenüberstellung beider Ansätze liefert unser Artikel Webflow vs. WordPress 2026: Der ultimative Vergleich.

Welche Plattformen von der PHP-Lücke nicht betroffen waren

Managed- und SaaS-Plattformen wie Webflow sowie statische oder Headless-Setups auf Basis von Next.js betreiben keinen öffentlich erreichbaren PHP-Server. Wer seine Website über Webflow hostet, hat schlicht keinen PHP-Prozess im Netz, den ein Angreifer über die PHP2Shell-Lücken ansprechen könnte. Das gilt auch für rein statische Setups, bei denen es kein PHP auf der Serverseite gibt.

Das macht keine dieser Plattformen zu einem unknackbaren System. Kein Anbieter ist vollständig immun gegen jede denkbare Angriffsfläche, und es wäre unehrlich, das zu behaupten. Aber die Angriffsfläche ist kleiner, und das Haftungsrisiko liegt beim Anbieter, nicht beim Betreiber. Wer am 21. Oktober 2026 auf Webflow oder einem vergleichbaren Managed-System gearbeitet hat, musste an diesem Tag nichts unternehmen. Keine Notfall-Patches einspielen, keine Logs durchsuchen, keine Website offline nehmen.

Wie der Wechsel in der Praxis aussieht, zeigt die Fallstudie Von WordPress zu Webflow: Die ACO entschied sich aus ähnlichen Gründen für diesen Schritt und löste dabei das, was der Kunde selbst die "Update-Hölle" nannte.

Was jetzt zu tun ist: Checkliste für Website-Betreiber

Ob Sie selbst handeln oder Ihren Hoster ansprechen: Diese Punkte sollten in den nächsten 48 Stunden erledigt sein.

1. PHP-Version beim Hoster prüfen. Fragen Sie nach der aktuell installierten und aktiven Version, nicht der verfügbaren. Was zählt: was läuft, nicht was man einspielen könnte.
2. Patch sofort einspielen lassen. Gesicherte Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Wenn Ihr Hoster diese nicht anbietet, ist das ein Problem.
3. PHP 8.1 und älter sofort migrieren. Diese Versionen erhalten keinen Fix. Wer noch auf PHP 7.x oder 8.1 betreibt, muss auf eine gepatchte Version wechseln.
4. Server-Logs auf Kompromittierung prüfen. Achten Sie auf unbekannte Admin-Konten, verdächtige PHP-Dateien in Upload-Verzeichnissen und unerklärliche Dateiänderungen seit dem 20. Oktober.
5. DSGVO-Meldepflicht beachten. Wenn personenbezogene Daten betroffen sind, gilt eine Meldepflicht bei der zuständigen Datenschutzbehörde. Die Frist beträgt 72 Stunden ab Kenntnis des Vorfalls.
6. Mittelfristig: Plattform-Strategie überdenken. Wenn diese Woche gezeigt hat, dass der selbst verwaltete PHP-Stack ein Risiko ist, das intern nicht professionell beherrscht wird, ist jetzt der richtige Zeitpunkt für eine strategische Entscheidung.

PHP2Shell ist kein Einzelfall. Es ist Teil eines wiederkehrenden Musters: eine Lücke in einer Laufzeitumgebung, Notfall-Patches, Websites offline, Betreiber unter Druck. Das Modell des selbst verwalteten Servers löst dieses Muster nicht. Es wiederholt es.

Wenn Sie konkret einschätzen möchten, ob eine Webflow-Website für Ihr Unternehmen der richtige Schritt ist, finden Sie dort einen realistischen Überblick. Und wenn Sie einen verlässlichen Partner für die Umsetzung suchen, hilft unser Leitfaden Website erstellen lassen: So findest du den perfekten Partner.

Stand: 22.10.2026. Quellen: BSI-Cybersicherheitswarnung 2026-297981-1032 (bsi.bund.de); Malwarebytes, 21.10.2026; t-online Düsseldorf, 21.10.2026; CNBC, 21.10.2026.