PHP2Shell: Kritische PHP-Sicherheitslücke legt Websites weltweit lahm

Es ist einer der schwersten Sicherheitsvorfälle der vergangenen Jahre: Mitten im Oktober 2026 zwingt eine kritische Schwachstelle in der Programmiersprache PHP Webseiten-Betreiber weltweit zu Notfall-Updates – oder zur vorsorglichen Abschaltung ihrer Server. Erst gestern legte ein Google-Cloud-Ausfall stundenlang Banking-Apps in Europa lahm – PHP2Shell ist der nächste Infrastruktur-Schock. Wikipedia, das Internet Archive, der Steam-Store und zahlreiche Behörden-Websites in Deutschland und Europa waren zeitweise offline. Was hinter PHP2Shell steckt und was du jetzt wissen musst.

Was ist PHP2Shell?

PHP ist das Fundament eines großen Teils des Internets: Die Skriptsprache steckt hinter WordPress, Drupal, TYPO3, Joomla, Magento und Nextcloud – laut dpa laufen allein 400 bis 500 Millionen Websites auf WordPress. Genau dort, im Kern von PHP, sitzen die beiden Lücken, die Sicherheitsforscher unter dem Namen „PHP2Shell“ zusammenfassen (ausführliche technische Einordnung im deutschsprachigen Wikipedia-Artikel zu PHP2Shell):

• CVE-2026-109618: Geht PHP der Arbeitsspeicher aus, bricht die Verarbeitung an einer Stelle ab, an der interne Anfragedaten erst halb eingerichtet sind – beim Aufräumen werden diese unvollständigen Daten später als gültig behandelt.
• CVE-2026-109619: Ein interner Zustand, der eigentlich nur zu einer Anfrage gehört, bleibt bestehen, obwohl der zugehörige Speicher schon freigegeben wurde – eine folgende Anfrage im selben Prozess greift dann darauf zu.

Beide ermöglichen eine unauthentifizierte Remote Code Execution (RCE): Ein Angreifer braucht weder Login noch einen Klick, sondern schickt nur gezielt präparierte Anfragen an den Server – und kann im schlimmsten Fall die vollständige Kontrolle übernehmen, Datenbanken abgreifen oder den Server für weitere Angriffe missbrauchen. Der CVSS-Schweregrad liegt bei 9,2 von 10 Punkten.

Das Tückische: Die Lücken stecken nicht in einem Plugin oder Theme, sondern in der PHP-Laufzeit selbst – der fehlerhafte Code stammt noch aus PHP 5.4 von 2012. Auch eine perfekt gepflegte WordPress-Installation mit aktuellen Plugins ist angreifbar, solange darunter ein ungepatchtes PHP läuft. Ein CMS-Update hilft hier nicht. Betroffen ist laut PHP-Projekt jede Installation, die Webanfragen verarbeitet: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed – auch Windows-Server. Bei Apache mit mod_php ist ein Angriff mit Standardeinstellungen nachgewiesen, der greift, bevor überhaupt eine Zeile Anwendungscode läuft.

Mit KI entdeckt – und durch ein Leak eskaliert

Entdeckt wurden die Lücken im August 2026 gleich zweimal unabhängig voneinander: Die Sicherheitsfirma Calif fand eine der Schwachstellen mithilfe des OpenAI-Modells GPT-5.6 Sol im Rahmen der Initiative „Patch the Planet“; OpenAIs eigenes Team stieß am selben Tag unabhängig darauf und fand im September eine noch vollständigere Variante. Später meldete auch die Google-Tochter Wiz weitere Angriffswege. Die Funde gingen zunächst vertraulich an die PHP-Entwickler – KI steckt inzwischen überall, von Microsofts neuem Copilot bis zur Sicherheitsforschung.

Doch am 20. Oktober 2026 – einen Tag vor der geplanten koordinierten Veröffentlichung – sickerten Details durch. Die Veröffentlichung der Notfall-Updates wurde daraufhin um einen Tag vorgezogen: Am 21. Oktober um etwa 16:00 Uhr deutscher Zeit erschienen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Der für die PHP-Stiftung tätige Entwickler Volker Dusch nannte es im „Wall Street Journal“ das gravierendste Sicherheitsproblem der Programmiersprache seit mehr als einem Jahrzehnt; OpenAI spricht von einer der folgenschwersten Sicherheitslücken der jüngeren Vergangenheit.

Gleichzeitig zeigt der Fall die Kehrseite der KI: Weil die Patches öffentlich sind, können Angreifer mit KI-Werkzeugen die Lücken mühelos zurückentwickeln. Experten warnen vor einem „Wettlauf um die Ausnutzung“ – der Sicherheitsforscher Costin Raiu rechnet mit der massenhaften Kompromittierung jedes verwundbaren Webservers. Der Expertendienst Heise Security warnte, funktionierende Exploits würden in Stunden-, spätestens Tagesfrist erscheinen.

Wer war offline? Die Welle der Abschaltungen

Als die Details durchsickerten, blieb vielen Betreibern nur die Notbremse: Server vorsorglich vom Netz nehmen, bis der Patch eingespielt ist. Die Liste der Betroffenen liest sich wie ein Querschnitt des Internets:

• Wikipedia und Wikimedia-Supportsysteme (vorsorglich abgeschaltet, tausende Störungsmeldungen)
• Internet Archive (archive.org komplett offline)
• Steam-Store (zeitweise nicht erreichbar)
• BBC-Seiten (u. a. Doctor Who, The Traitors), Metropolitan Police, Edinburgh City Council
• Niederlande: nationales Cyber-Sicherheitszentrum, Identitätsdienst DigiD, Parlaments-Website, Hafen Rotterdam
• Frankreich: Präfektur-Websites, Pariser Polizei; Belgien: Außenministerium; dazu Finnland, Dänemark, Tschechien
• Deutschland: hessen.de und Ministeriums-Websites, Thüringer Landesbehörden, Online-Dienste der Polizei NRW, „Internetwache“ der Berliner Polizei, die Charité, dazu Städte wie München, Flensburg, Saarbrücken, Mainz, Dresden, Gera und Dessau-Roßlau sowie das Harzklinikum

Das BSI gab eine offizielle Cybersicherheitswarnung heraus und stuft die Lage mit „3 / Orange“ als außerordentlich hoch ein – im Zweifel rät die Behörde, Server komplett vom Netz zu nehmen (ZDFheute zur BSI-Warnung). Auch die Politik reagierte: Marc Henrichmann (CDU), Vorsitzender des Parlamentarischen Kontrollgremiums für die Geheimdienste, warnte im „Handelsblatt“ vor einer neuen Dimension der Cyberbedrohung; Baden-Württembergs Innenminister Manuel Hagel (CDU) sprach von einer sich weiter verschärfenden Sicherheitslage.

Noch am Morgen des 22. Oktober meldete die dpa, dass zahlreiche Websites im Osten Deutschlands weiterhin offline seien – während andere, etwa in Thüringen, nach dem Einspielen der Updates wieder erreichbar sind (dpa-Übersicht).

Was Website-Betreiber jetzt tun müssen

Das PHP-Team schreibt: Es gibt keine vollständige Abhilfe außer dem Update. Konkret:

1. Zuständigkeit klären: Wer betreut Website, Shop oder Kundenportal – Hoster, Agentur, IT-Dienstleister oder jemand im Haus? Bei Shared Hosting spielt meist der Hoster das Update ein, nicht die Agentur.
2. Update einspielen (lassen): PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 – je nach Zweig. Linux-Distributionen liefern die Korrekturen über eigene Pakete aus, dort kann die Versionsnummer anders lauten.
3. Schriftlich bestätigen lassen: Welche PHP-Version läuft jetzt? Das BSI empfiehlt, den Stand mit dem Advisory abzugleichen.
4. Alte Versionen migrieren: PHP 8.1 und älter erhalten vom PHP-Projekt keinen Patch mehr; PHP 8.2 wird nur noch bis zum 31. Dezember 2026 mit Sicherheitsupdates versorgt. Wer dort festhängt, muss umstellen oder isolieren – für diese Systeme gibt es einen öffentlich bekannten Angriffsweg und keinen offiziellen Fix.
5. Wenn kein Update möglich ist: Webserver vorübergehend vom Internet trennen – die ausdrückliche Empfehlung von BSI, britischem NCSC und US-Behörden.
6. Auffälligkeiten beobachten: Ungewöhnliche Inhalte auf der Website, neue Benutzerkonten oder Warnungen des Hosters in den nächsten Tagen ernst nehmen und melden.

Laut Sansec meldete Cloudflare bereits am Morgen des 21. Oktober erste Angriffsversuche – sechs Stunden vor dem Patch. Von heise und BSI als unbestätigt eingestuft, zeigt es doch: Das Zeitfenster für Betreiber ist extrem klein.

Was bedeutet das für dich als Nutzer?

Für dein Smartphone oder deinen PC besteht kein direkter Handlungsbedarf: Die Lücke sitzt auf den Servern im Hintergrund, nicht auf deinem Gerät. Indirekt kannst du aber betroffen sein – durch vorübergehende Ausfälle von Onlinediensten (wie gestern bei Wikipedia und Steam) oder im schlimmsten Fall durch Datenabflüsse auf nicht rechtzeitig geschützten Websites. Halte stattdessen deine eigenen Geräte aktuell – etwa mit den Sicherheitsupdates von Windows 11.

Ein Rat noch: Wer in diesen Tagen Mails erhält, die „dringend“ eine kostenpflichtige Sicherheitsprüfung der eigenen Website anbieten, sollte skeptisch bleiben – die Masche ist immer dieselbe, nur der Aufhänger ist neu. Bei einem ordentlichen Hoster war das Update in den meisten Fällen nach wenigen Stunden eingespielt, ohne dass du einen Finger rühren musstest.

Häufige Fragen

Stand: 22. Oktober 2026