# PHP-Sicherheitslücke 2026: Ist Ihre Website betroffen?

Quelle: https://formellavision.de/wissen/php-sicherheitsluecke-2026-php2shell

Verfasst am 23. Oktober 2026.

Redaktion: Formella Vision.

## Was muss ich bei der PHP-Sicherheitslücke 2026 tun?

Lassen Sie Ihren Hoster den aktiven PHP-Patchstand bestätigen. Ein WordPress-Update allein schließt PHP2Shell nicht. Prüfen Sie danach Kontaktformular und Buchung. Bei Verdacht auf einen Einbruch braucht es zusätzlich eine Untersuchung. Formella Vision unterstützt Sie bei der Einordnung und Website-Betreuung.

Die Website läuft. Der Buchungskalender öffnet sich. Trotzdem fehlt die eine Antwort: Hat der Hoster die PHP-Sicherheitslücke bereits geschlossen?

Seit dem 21. Oktober 2026 gibt es Updates gegen zwei PHP-Fehler. Unter dem Namen **PHP2Shell** sorgen sie für Fragen bei Website-Betreibern. Am selben Tag erschienen Sicherheitsupdates für Node.js. Der Brotli-Fehler darin heißt häufig **Node2Shell**.

Hier erfahren Sie, was Sie prüfen können und welche Antwort Ihr Hoster liefern muss. Die Hersteller können weitere Hinweise veröffentlichen.

## PHP2Shell: Was ist passiert?

Die Fehler betreffen die Verarbeitung von Speicher und internen Zuständen in PHP. Unter bestimmten Voraussetzungen können Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen. Das umfasst die Kennungen **CVE-2026-109618** und **CVE-2026-109619**.

Der erste Fehler kann bei Speichererschöpfung entstehen. Der zweite betrifft Worker-Zustand, der noch auf bereits freigegebenen Speicher verweist. Die PHP-Advisories erklären beide Ursachen: [OOM-Speicherfehler](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) und [veralteter Worker-Zustand](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp).

Für Sie als Betreiber zählt zunächst etwas anderes: **Wer betreibt die Laufzeit, und welcher korrigierte Stand läuft dort tatsächlich?** Das Design Ihrer Website beantwortet diese Frage nicht.

## Ist meine WordPress-Website betroffen?

WordPress nutzt PHP. Trotzdem beweist eine WordPress-Website allein keine offene Sicherheitslücke. Entscheidend sind Laufzeit, Anbieter-Korrekturen und der aktuelle Betrieb.

Ein aktuelles WordPress ersetzt keinen PHP-Patch. Dasselbe gilt für Themes und Plugins. Die [offizielle WordPress-Meldung](https://de.wordpress.org/2026/10/kritisches-php-sicherheitsupdate/) nennt deshalb den Hoster als wichtigen Ansprechpartner.

So finden Sie die Versionsangabe in WordPress:

1. Melden Sie sich im WordPress-Verwaltungsbereich an.
2. Öffnen Sie **Werkzeuge > Website-Zustand > Info > Server**.
3. Notieren Sie die vollständige PHP-Version.
4. Lassen Sie den Hoster den wirksamen Sicherheitsstand bestätigen.

Die Angabe „PHP 8.3“ genügt nicht. Auch die vollständige Nummer kann bei einem Anbieter-Backport älter aussehen. Fragen Sie dann nach Paket-Build und zugehöriger Sicherheitsmeldung.

Bei TYPO3, Joomla, Shopware oder einer anderen PHP-Anwendung gilt dieselbe Grundfrage. Auch zusätzliche Domains, Subdomains und alte Installationen gehören zum Bestand.

## Was Sie jetzt in fünf Schritten tun sollten

### 1. Den zuständigen Betreiber erreichen

Wenden Sie sich an Hoster, Serverbetreuer oder betreuende Agentur. Nennen Sie Ihre Domain und die beiden CVE-Kennungen. Fragen Sie nach einer schriftlichen Rückmeldung zum aktiven Stand.

### 2. Die passende Korrektur bestätigen lassen

Für die beiden Fehler vom 21. Oktober veröffentlichte PHP diese Stände:

- PHP **8.2.35** im Zweig 8.2
- PHP **8.3.36** im Zweig 8.3
- PHP **8.4.27** im Zweig 8.4
- PHP **8.5.12** im Zweig 8.5

Die Zahlen sind Mindeststände für genau diese Meldung, kein allgemeines Sicherheitssiegel. Anbieter können belegte Backports einsetzen. Bei älteren PHP-Zweigen klären Sie zusätzlich den weiteren Support. Quelle: [PHP-Sicherheitsmeldung](https://www.php.net/archive/2026.php#2026-10-21-5).

### 3. Den tatsächlichen Betrieb prüfen

„Update installiert“ und „korrigierter Prozess aktiv“ sind zwei verschiedene Nachweise. Lassen Sie bestätigen, dass alle betroffenen Worker oder Container den korrigierten Stand verwenden. Fragen Sie auch nach weiteren Installationen auf demselben Hosting.

### 4. Kontakt und Buchung ausprobieren

Öffnen Sie die Website nach der Änderung auch auf dem Smartphone. Prüfen Sie Kontaktformular, Terminbuchung und gegebenenfalls Anmeldung oder Shop. Ein Update, nach dem niemand mehr anfragen kann, ist noch keine fertige Übergabe.

Verwenden Sie eigene Testdaten. Prüfen Sie auch, ob die Nachricht tatsächlich ankommt. Ein grüner Hinweis im Formular allein beweist keine Zustellung.

### 5. Auffälligkeiten gesondert untersuchen

Unbekannte Weiterleitungen, neue Konten oder unerklärliche Dateiänderungen gehören in eine Untersuchung. Informieren Sie den Betreuer und erhalten Sie Protokolle. Ein Patch entfernt keine bereits eingerichtete Hintertür.

## Neu am 23. Oktober: Reicht das PHP-Update aus?

PHP veröffentlichte einen weiteren Hinweis zu **CVE-2026-115560**. Er betrifft eine ungewöhnliche Kombination aus Session-Konfiguration und Anwendungscode. Die Korrekturstände vom 21. Oktober erledigen diesen zusätzlichen Pfad nicht.

Der Hersteller empfiehlt vorläufig `session.upload_progress.enabled=0`. Ihr Betreuer muss prüfen, ob der Pfad vorkommt und die Einstellung vor der Request-Verarbeitung wirkt. Die Meldung bedeutet nicht, dass jede Website erneut eine unmittelbar ausnutzbare Lücke hat. Quelle: [PHP-Hinweis vom 23. Oktober](https://www.php.net/archive/2026.php#2026-10-23-1).

## Node2Shell: Was gilt für Node.js und moderne Websites?

**CVE-2026-111497** betrifft den Brotli-Decoder in Node.js. Eine Anwendung kann beim Entpacken manipulierter Daten Speicher korrumpieren. Daraus können Absturz, Datenoffenlegung oder Codeausführung entstehen. Node.js stuft den Fehler als „high“ ein.

Die veröffentlichten Korrekturstände lauten **22.23.4, 24.22.1 und 26.12.1**. Prüfen Sie den passenden Versionszweig. Berücksichtigen Sie auch ausgehende HTTP-Abrufe, APIs, Builds und Hintergrunddienste. Quelle: [Node.js Security Release](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases).

„Unsere Website nutzt kein WordPress“ ist deshalb noch kein vollständiger Nachweis. Eine statische Seite braucht für ihre Auslieferung keinen PHP-Prozess. Ein Formular, ein Buchungsdienst oder die Build-Umgebung kann trotzdem eigene Laufzeiten nutzen.

## Diese vier Fehler helfen jetzt nicht weiter

**Nur den sichtbaren Versions-Header prüfen.** Ein Header kann fehlen, veraltet sein oder hinter einem Cache liegen. Er ist ein Hinweis, kein verlässlicher Patchnachweis.

**Auf eine Firewall allein vertrauen.** Eine vorgeschaltete Regel kann bestimmte Angriffswege begrenzen. Sie ersetzt den korrigierten Serverstand nicht. Konfiguration und Reichweite bleiben wichtig.

**Ungepatcht mit gehackt gleichsetzen.** Erreichbarkeit in einem riskanten Zeitraum begründet Prüfbedarf. Sie beweist keinen Einbruch. Das niederländische NCSC meldete am 22. Oktober keine Hinweise auf erfolgreiche Ausnutzung. Das ist eine datierte Lageaussage, keine Entwarnung für Ihren Server. [NCSC-Update](https://www.ncsc.nl/alerts/update-php-kwetsbaarheden-nog-steeds-reden-om-direct-te-patchen).

**Ein fremdes Exploit-Skript hochladen.** Damit können Sie Ihre Website stören oder sich zusätzliche Schadsoftware einhandeln. Nutzen Sie bestätigte Herstellerinformationen und den zuständigen Betreuer.

## Diese Nachricht können Sie Ihrem Hoster senden

Sie müssen dafür kein Sicherheitsforscher werden. Eine konkrete Anfrage schafft Klarheit:

> Bitte bestätigen Sie für unsere Domain den aktiven PHP- beziehungsweise Node.js-Patchstand. Welche Version oder welcher korrigierte Anbieter-Build läuft tatsächlich? Sind alle betroffenen Prozesse aktualisiert? Haben Sie den zusätzlichen PHP-Hinweis vom 23. Oktober berücksichtigt? Bitte nennen Sie den Abschlusszeitpunkt und noch offene Maßnahmen.

Schicken Sie dabei keine Passwörter mit. Wenn Zugänge nötig sind, vereinbaren Sie einen geeigneten Übergabeweg.

## Update, laufende Betreuung oder neue Website?

Eine Sicherheitsmeldung ist kein Grund, eine funktionierende Website vorschnell zu ersetzen. Häufig genügen Laufzeit-Update und Funktionsprüfung.

Ein Relaunch kann sich lohnen, wenn andere Probleme dazukommen: nicht mehr gepflegte Erweiterungen, schwierige Versionswechsel oder ein unklarer Betreuungsvertrag. Auch ein stockender Anfrageweg gehört dann auf den Tisch.

Wir trennen bei Formella Vision drei Fragen: Was muss jetzt passieren? Wer verantwortet den laufenden Betrieb? Und welche Änderung lohnt sich für Ihr Unternehmen?

Für eine überwiegend informative Unternehmensseite kann eine statische Architektur passen. Sie reduziert bestimmte öffentlich erreichbare Komponenten. Konten, Formulare und angebundene Dienste brauchen weiterhin Schutz und Pflege.

## Hilfe bei PHP2Shell und Website-Betreuung aus Hamburg

Sie haben eine Hoster-Rückmeldung, verstehen aber nicht, was noch offen ist? Oder es fehlt ein Ansprechpartner für Ihre Website?

Wir unterstützen Unternehmen in Hamburg und darüber hinaus bei der Einordnung und Betreuung. Sie erhalten eine begründete Empfehlung für den nächsten Schritt. Notwendige Arbeiten und einen verbindlichen Festpreis klären wir vor dem Auftrag.

Bei einem bestätigten Einbruch kann spezialisierte Vorfallhilfe nötig sein. Unsere Kurzanalyse ist kein Penetrationstest und keine Notfallbereitschaft. Wenn Ihre Website auffällig reagiert oder ausfällt, wenden Sie sich zuerst an Ihren Hoster.

Mehr zum laufenden Betrieb finden Sie unter [Website-Pflege und Hosting](/leistungen/website-pflege). Wenn ein Neubau tatsächlich sinnvoll ist, erläutern wir den Ablauf unter [Webdesign und Branding](/leistungen/webdesign-branding).

## Häufige Rückfragen

### Ist jede WordPress-Website von PHP2Shell betroffen?

Entscheidend ist die PHP-Laufzeit beim Hoster. Eine Website mit korrigiertem PHP oder belegtem Anbieter-Backport ist für die beiden Fehler vom 21. Oktober anders zu bewerten als ein ungepatchtes System. WordPress allein verrät den Patchstand nicht.

### Wo sehe ich meine PHP-Version in WordPress?

Öffnen Sie Werkzeuge, Website-Zustand, Info und dort Server. Notieren Sie die vollständige PHP-Version. Bitten Sie den Hoster zusätzlich um den aktiven Paketstand und einen möglichen Backport-Nachweis.

### Reicht ein WordPress- oder Plugin-Update?

Nein. Die beiden PHP2Shell-Fehler sitzen in PHP auf dem Server. Ihr Hoster oder Serverbetreuer muss die Laufzeit korrigieren. WordPress und Plugins brauchen daneben weiterhin ihre eigenen Updates.

### Welche PHP-Versionen schließen die Lücken vom 21. Oktober?

Die veröffentlichten Korrekturstände lauten PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Anbieter können die Korrektur auch zurückportieren. Der zusätzliche Session-Hinweis vom 23. Oktober braucht eine eigene Prüfung.

### Kann ein Online-Checker sicher sagen, ob meine Website betroffen ist?

Ein öffentlicher Header liefert höchstens ein Indiz. Caches, Proxys, ausgeblendete Versionen und Anbieter-Backports begrenzen die Aussage. Ein belastbarer Nachweis kommt vom laufenden Dienst oder Hoster.

### Betrifft Node2Shell auch moderne Websites?

Node2Shell betrifft bestimmte Node.js-Laufzeiten, wenn Anwendungen nicht vertrauenswürdige Brotli-Daten entpacken. Build-Prozesse, APIs und Hintergrunddienste brauchen eine eigene Prüfung. Eine statische Auslieferung allein beschreibt nicht alle zugehörigen Dienste.

### Brauche ich wegen PHP2Shell eine neue Website?

Nicht automatisch. Häufig genügt eine korrigierte Laufzeit mit anschließender Funktionsprüfung. Ein Neubau kann bei nicht mehr gepflegten Erweiterungen, fehlender Betreuung oder anderen belegten Problemen sinnvoll sein.

### Wie hilft Formella Vision bei einer PHP-Sicherheitslücke?

Wir unterstützen Sie bei der Einordnung des Website-Zustands und der Rückmeldung Ihres Hosters. Wir klären den Betreuungsbedarf und besprechen notwendige Arbeiten vor dem Auftrag. Bei einem bestätigten Einbruch kann zusätzlich spezialisierte Vorfallhilfe nötig sein.

## Quellen

- [PHP: Sicherheitsmeldungen vom 21. und 23. Oktober 2026](https://www.php.net/archive/2026.php#2026-10-23-1)

- [WordPress: Kritisches PHP-Sicherheitsupdate](https://de.wordpress.org/2026/10/kritisches-php-sicherheitsupdate/)

- [Node.js: Security Releases vom 21. Oktober 2026](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)

- [NCSC: Lage-Update zu PHP vom 22. Oktober 2026](https://www.ncsc.nl/alerts/update-php-kwetsbaarheden-nog-steeds-reden-om-direct-te-patchen)

## Sie brauchen eine klare Antwort für Ihre Website?

Wir ordnen den technischen Stand mit Ihnen ein und klären, was Ihr Hoster übernehmen muss. Danach besprechen wir die passende Betreuung.

[Kostenlose Kurzanalyse anfordern](https://formellavision.de/audit)

Kurzanalyse in 48 Stunden. Keine Notfallbereitschaft und kein automatischer Sicherheitsscan. Bei akuten Auffälligkeiten zuerst den Hoster kontaktieren.

[Website-Pflege und Hosting](https://formellavision.de/leistungen/website-pflege)