PHP2Shell ist der Name für zwei kritische Lücken in PHP selbst, nicht in WordPress direkt. Deine WordPress-Seite ist betroffen, wenn der Server eine ungepatchte PHP-Version nutzt. Deshalb wird die Lücke oft als WordPress PHP2Shell bezeichnet. Prüfe deshalb die PHP-Version und frag beim Hoster nach dem Patchstand. Kümmere dich jetzt darum. Stand der Informationen: Ende Oktober 2026.
Was ist PHP2Shell und warum betrifft es WordPress?
PHP2Shell bezeichnet zwei Sicherheitslücken im PHP-Kern, über die Angreifer ohne Anmeldung Schadcode auf einem Server ausführen könnten. Es handelt sich um CVE-2026-109618 und CVE-2026-109619.
Bei der ersten Lücke gerät PHP bei Speichermangel in einen ungültigen Zustand. Bei der zweiten greift PHP bei einer späteren Anfrage auf bereits freigegebenen Speicher zu. Das PHP-Projekt bewertet beide mit 9,2 von 10 Punkten („Critical“). Die Korrekturen erschienen am 21. Oktober 2026.
WordPress läuft auf PHP. Die Lücke liegt also unter WordPress, nicht im WordPress-Kern und nicht in einem Plugin. Ein Update von WordPress oder Plugins behebt sie deshalb nicht.
Im schlimmsten Fall könnten Angreifer Code mit den Rechten des PHP-Webservers ausführen. Ganz so einfach ist das aber nicht: Die Angriffskomplexität gilt als hoch, und es gibt zusätzliche Voraussetzungen. Zum Stand 22. Oktober war der deutschen IT-Sicherheitsbehörde keine erfolgreiche Ausnutzung in der Breite bekannt. Das war eine Momentaufnahme, keine Garantie.
Ist meine WordPress-Seite von PHP2Shell betroffen?
Das entscheidet die PHP-Version auf dem Server, nicht die WordPress-Version. Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Ältere Stände dieser Zweige sind betroffen.
Auch PHP 7.4, 8.0 und 8.1 sind betroffen. Dafür gibt es keine regulären neuen PHP-Versionen, nur minimale Korrekturen, die Anbieter selbst einbauen können. Eine Versionsnummer allein sagt dort also nicht, ob der Server gepatcht ist. Für PHP 7.3 und älter nennt das PHP-Projekt keinen Fix; sie werden ebenfalls als betroffen berichtet.
Die Entscheidungshilfe:
- Betroffen: PHP 8.2 bis 8.5 unterhalb der genannten Versionen, und der Hoster bestätigt keinen Patch.
- Wahrscheinlich nicht betroffen: Du nutzt mindestens eine der gepatchten Versionen, oder der Hoster bestätigt den Fix für CVE-2026-109618 und CVE-2026-109619.
- Unklar: Du nutzt PHP 7.4, 8.0, 8.1 oder eine noch ältere Version, oder die Versionsnummer wirkt veraltet. Frag den Hoster direkt nach dem Fix.
Wie finde ich heraus, welche PHP-Version meine WordPress-Seite nutzt?
Die PHP-Version steht im WordPress-Dashboard unter Werkzeuge → Website-Zustand → Info → Server. Der Bericht zeigt nur Informationen an und ändert nichts.
Alternativ schaust du im Hosting-Panel deines Anbieters nach. Bei Hostinger zum Beispiel unter Plesk : zeigt die Domain-Karte unter „Websites & Domains“ die PHP-Version. In cPanel findest du sie unter Software → MultiPHP Manager. Achte darauf, die richtige Domain anzusehen, denn die Einstellung kann pro Domain verschieden sein.
Welche PHP-Version sollte ich für WordPress nutzen?
Für WordPress ist PHP 8.4 oder 8.5 aktuell ein sinnvolles Ziel, sofern dein Hoster die Version anbietet. WordPress empfiehlt allgemein PHP 8.3 oder höher, für Live-Seiten sogar 8.4 oder höher.
PHP 8.3 bekommt nur noch Sicherheitskorrekturen, PHP 8.2 läuft am 31. Dezember 2026 aus. PHP 7.4 ist nicht mehr offiziell unterstützt und birgt Sicherheitsrisiken. Welche PHP-Version für WordPress? So aktuell wie möglich, aber erst nach einem Test. Und egal welcher Zweig: Es muss mindestens der gepatchte Stand sein oder ein vom Hoster bestätigter Fix.
Wie schließe ich die Sicherheitslücke bei meiner WordPress-Seite?
Du schließt die Lücke, indem PHP auf einen gepatchten Stand kommt. Das PHP-Projekt nennt das Update als einzige vollständige Lösung.
Muss ich selbst handeln oder macht das mein Hoster?
Bei normalem Shared Hosting patcht in der Regel der Hoster die PHP-Umgebung. Du solltest PHP dort nicht selbst ersetzen, sondern den Patchstand prüfen und bei Unklarheit nachfragen.
Anders ist es bei einem VPS oder eigenen Server. Dort bist du selbst für das PHP-Update zuständig. Frag den Hoster außerdem nach den beiden CVE-Nummern, nicht nur nach einer Versionsnummer. Manche Pakete tragen eine ältere Nummer, enthalten den Fix aber schon.
WordPress, Theme und Plugins bleiben trotzdem deine Aufgabe.
So gehst du vor :
- Backup anlegen: Sichere Datenbank und Dateien zusammen und lege die Kopie nicht nur auf dem Server ab.
- Alles aktualisieren: Bringe zuerst WordPress, Theme und Plugins auf den neuesten Stand und prüfe, ob die Seite läuft.
- Kompatibilität klären: Schau in den Angaben der Theme- und Plugin-Anbieter nach, welche PHP-Versionen sie unterstützen.
- Testen: Wenn dein Hoster eine Staging-Kopie anbietet, probiere die neue PHP-Version zuerst dort.
- Umstellen: Wähle die neue Version im Hosting-Panel. Fehlt sie, wende dich an den Hoster.
- Kontrollieren: Teste Startseite, Backend, Formulare und Shop, und sieh unter Website-Zustand nach.
Was mache ich, wenn meine Seite nach einem PHP-Update nicht mehr funktioniert?
Schalte zuerst im Hosting-Panel auf die vorherige PHP-Version zurück oder bitte den Hoster darum. Damit läuft die Seite in der Regel wieder wie vorher.
Spiele das Backup nur ein, wenn das nicht reicht. Dabei kann auch die alte PHP-Version nötig sein. Danach suchst du den Verursacher, oft ein Plugin oder Theme, das mit der neuen Version nicht zurechtkommt. Ein Blick ins Fehlerprotokoll des Hostings hilft dabei. Ein Rückschalten ist aber nur eine Übergangslösung. Solange du auf einer alten Version bleibst, brauchst du die Bestätigung des Hosters, dass sie gepatcht ist.
Hilft eine Web Application Firewall gegen solche Sicherheitslücken?
Eine Web Application Firewall (WAF) kann bei bekannten Lücken höchstens zeitweise überbrücken, sie ersetzt den Patch nicht. Sie prüft Anfragen an deine Seite anhand von Regeln und kann bekannte Angriffsmuster blockieren. Das nennt man „virtuellen Patch“, gedacht als Überbrückung bis zum echten Update.
Eine WAF kann umgangen werden und auch harmlose Anfragen blockieren. Die Schwachstelle bleibt bestehen. Ähnliches gilt für Notmaßnahmen in der PHP-Konfiguration: Sie erschweren einzelne Angriffswege, bieten aber keinen vollständigen Schutz.
Woran erkenne ich, dass meine WordPress-Seite gehackt wurde?
Typische Anzeichen sind veränderte Inhalte, unbekannte Unterseiten, Spam oder Schadsoftware auf der Seite und fremde Dateien auf dem Server. Auch ein unbekanntes Konto mit Administratorrechten ist ein Warnsignal. Ebenso verdächtig sind unerwartete Weiterleitungen auf fremde Seiten.
Kein Zeichen beweist für sich allein einen Hack. Und eine unauffällige Seite ist nicht automatisch sauber. Ein Hoster empfahl nach PHP2Shell, nach ungewöhnlichen Dateien, Änderungen und neuen Benutzerkonten zu suchen, weil eine Ausnutzung vor dem Patch nicht grundsätzlich auszuschließen sei.
Diese Prüfpunkte kannst du selbst abarbeiten:
- Benutzerliste: Gibt es Administratoren, die du nicht kennst?
- Dateien: Gibt es neue oder kürzlich geänderte Dateien? Ein Vergleich mit einem sauberen Backup macht Abweichungen sichtbar.
- Uploads-Ordner: Dort haben PHP-Dateien normalerweise nichts verloren.
- Logs: Auffällige Zugriffe stehen in den Protokollen des Hostings.
Bei Verdacht: Nimm die Seite offline oder ersetze sie durch eine einfache Infoseite, und sichere die Logs. Hol Hoster und Fachleute dazu. Ändere Passwörter erst von einem Rechner, der sicher nicht infiziert ist, und zwar für Server, WordPress und weitere Zugänge. Spiele danach ein sauberes Backup ein und aktualisiere alles, bevor die Seite wieder online geht. Liegen personenbezogene Daten auf dem Server, können Meldepflichten nach der DSGVO gelten.
Wie kann ich meine WordPress-Seite dauerhaft besser absichern?
Mehr zum Thema – WordPress Sicherheit hier.
Am meisten bringen wenige Basismaßnahmen, die du konsequent durchhältst. Damit kannst du deine WordPress-Seite absichern und die Sicherheit erhöhen, ohne Entwickler:
- Updates: Halte WordPress, Plugins und Themes aktuell und nutze automatische Sicherheitsupdates, wo es geht. Prüfe aber, ob sie wirklich durchgelaufen sind.
- Aufräumen: Entferne ungenutzte Plugins und Themes und lade nur aus vertrauenswürdigen Quellen.
- Zugänge: Nutze starke, einmalige Passwörter und die Zwei-Faktor-Anmeldung für Admin-Konten. Fachleute bevorzugen Passkeys oder eine Authenticator-App gegenüber SMS-Codes. Halte die Zahl der Admin-Konten klein.
- Backups: Sichere Datenbank und Dateien regelmäßig. Für kleinere Seiten nennt WordPress wöchentliche Sicherungen als allgemeine Empfehlung, bei viel Aktivität täglich. Bewahre die Kopien getrennt vom Server auf und teste die Wiederherstellung.
- Rechte: Dateien und Ordner sollten nur die nötigen Schreibrechte haben. Üblich sind 644 für Dateien und 755 für Verzeichnisse. Das hängt aber vom Hosting ab. Für die wp-config.php nennt WordPress 400 oder 440, soweit der Server das zulässt.
- Aktuelles PHP: Halte PHP aktuell oder lass dir den Patchstand bestätigen. Das ist bei PHP2Shell der Kernpunkt.
- Web Application Firewall: Sie kann eine zusätzliche Schutzschicht sein, aber kein Ersatz für Updates und Backups.
Wo ist die htaccess-Datei bei WordPress?
Die .htaccess liegt normalerweise im WordPress-Hauptverzeichnis, dort, wo auch die wp-config.php liegt. Da der Name mit einem Punkt beginnt, blenden manche FTP-Programme sie aus. Du musst dann „versteckte Dateien anzeigen“ aktivieren.
Sie funktioniert nur auf Apache-Servern mit entsprechender Unterstützung. Frag im Zweifel den Hoster. Wenn du eigene Regeln einträgst, setze sie außerhalb der Markierungen „# BEGIN WordPress“ und „# END WordPress“, sonst kann WordPress sie überschreiben. Mit solchen Regeln kannst du zum Beispiel den direkten Zugriff auf die wp-config.php sperren.
Reicht die htaccess zum Absichern?
Nein, die .htaccess ist ein Baustein und kein Wundermittel. Gegen die PHP-Lücke selbst hilft sie nicht, dafür brauchst du den PHP-Patch. Falsche Regeln können außerdem Probleme verursachen. Sichere die Datei deshalb vor jeder Änderung und teste danach die Seite.
Häufige Fragen
Wie oft sollte ich die Sicherheit meiner WordPress-Seite prüfen?
Ein kurzer Check einmal im Monat ist für kleine Seiten sinnvoll: Updates, Benutzerliste, PHP-Version und Backup. Nach größeren Sicherheitsmeldungen, wie jetzt bei PHP2Shell, prüfst du sofort. Backups richten sich nach der Änderungshäufigkeit deiner Seite; WordPress nennt wöchentliche Sicherungen als allgemeine Empfehlung für kleinere Seiten.
Reicht es, nur WordPress und die Plugins zu aktualisieren?
Nein. PHP2Shell liegt in der PHP-Laufzeit des Servers, daher schließt ein Update von WordPress oder Plugins diese Lücke nicht. Du brauchst zusätzlich einen gepatchten PHP-Stand.
Kann ich meine PHP-Version selbst ändern?
In vielen Hosting-Panels ja, zum Beispiel bei Plesk unter „PHP“ der Domain oder bei cPanel im MultiPHP Manager. Die Umstellung passiert beim Hoster, nicht in WordPress. Mach vorher ein Backup.
Woher erfahre ich künftig von neuen Sicherheitslücken?
Fazit: Das Wichtigste in Kürze
PHP2Shell ist ein PHP-Problem, kein WordPress-Problem, und der Schlüssel ist die PHP-Version deines Servers. Prüfe sie im Website-Zustand, lass dir vom Hoster den Patch bestätigen und stelle bei Bedarf auf PHP 8.4 oder 8.5 um, mit Backup und Test. Schau außerdem kurz nach Anzeichen eines Hacks. Wer Updates, Backups, Zwei-Faktor-Anmeldung und eine aktuelle PHP-Version pflegt, sichert seine WordPress-Seite dauerhaft deutlich besser ab.
Quellen:
Dieser Beitrag stützt sich unter anderem auf diese Quellen:
- www.bsi.bund.de · SharedDocs · DownloadsPrävention und Erste Hilfe bei Website … (bsi.bund.de)
- BSI: „⚠️ Sicherheitswarnung: PHP – …“ (social.bund.de)
- PHP: News Archive (php.net)
- github.com · php · php-srcRCE via OOM corruption · Advisory · php/php-src · GitHub (github.com)
- Get a faster, more secure website: update your PHP today (wordpress.org)
