PHP2Shell in Niedersachsen. Was die Lücke für Deine Website heißt und was nicht.

Was passiert ist

Am 21. Oktober 2026 hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619, die nach dem Bewertungssystem CVSS 4.0 jeweils mit 9,2 von 10 eingestuft sind. Über beide kann ein Fremder auf einem Webserver eigenen Code ausführen, ohne sich irgendwo anzumelden. Einen Namen hat die Sache auch schon, was bei Sicherheitslücken inzwischen fast so verlässlich dazugehört wie das Update: PHP2Shell, angelehnt an Log4Shell, die große Java-Lücke von 2021.

PHP ist die Programmiersprache, in der WordPress geschrieben ist, dazu TYPO3, Joomla, Drupal, Contao und viele andere Systeme, mit denen kleine und große Websites betrieben werden. Das BSI hat noch am selben Tag eine Warnung herausgegeben, Stufe 3 von 4, Orange: Maßnahmen müssen unverzüglich ergriffen werden. Einige Betreiber haben ihre Server vorsorglich vom Netz genommen, weshalb verschiedene Websites in Deutschland zeitweise nur eingeschränkt erreichbar waren.

Was in Niedersachsen und Celle passiert ist

In Niedersachsen war das am Mittwochnachmittag deutlich zu sehen. Laut NDR hat das Land sämtliche Landesseiten vorsorglich in den Wartungsmodus genommen, auch die der Polizei. Offline waren außerdem unter anderem die Medizinische Hochschule Hannover, die Universität Göttingen, die Üstra, der Landkreis Hildesheim und die Städte Goslar, Wolfenbüttel und Celle. Das ist kein Zeichen dafür, dass dort etwas passiert ist, sondern dafür, dass dort jemand die Warnung ernst genommen hat. Für die vielen kleinen Websites von Praxen, Büros und Betrieben in Celle und im Landkreis gibt es diese IT-Abteilung meistens nicht, dort muss sich jemand anderes darum kümmern.

Was das für Deine Website heißt

Die Lücke steckt nicht in WordPress, sondern eine Ebene tiefer, in PHP selbst, also in dem Programm auf dem Server, das WordPress überhaupt erst zum Laufen bringt. Das BSI schreibt ausdrücklich, dass ein Update der Anwendung nicht genügt. Wer also heute im WordPress-Dashboard nachsieht und überall den grünen Haken findet, weiß damit über diese Lücke noch gar nichts.

Das Update muss auf dem Server eingespielt werden. Bei einem gemieteten Hosting-Paket macht das der Anbieter, bei einem eigenen Server derjenige, der ihn betreut. Schwieriger wird es bei älteren PHP-Versionen. Neue Versionen gibt es nur für die Linien 8.2 bis 8.5. Für 8.1 und älter veröffentlicht das PHP-Projekt keine Updates mehr; das Sicherheitsteam hat für 7.4, 8.0 und 8.1 lediglich Korrekturen im Quellcode bereitgestellt, für Leute, die PHP selbst übersetzen. Einige Linux-Distributionen und Anbieter von Langzeitpflege liefern eigene Korrekturen nach. Ob Dein Hoster dazugehört, erfährst Du nur, wenn Du ihn fragst. Zur Einordnung: PHP 7.4 bekommt seit dem 28. November 2022 keine Pflege mehr, PHP 8.1 seit dem 31. Dezember 2025.

Was es nicht heißt

Eine offene Tür ist noch kein Einbruch. Bestätigte Angriffe über diese Lücken kannte das BSI am 21. Oktober nicht. Ein Beispielangriff ist allerdings öffentlich, und das BSI geht davon aus, dass verwundbare Systeme kurzfristig angegriffen werden. Laut heise braucht ein Angriff mehrere tausend bis zehntausende Anfragen, bevor er zuverlässig gelingt. Das macht ihn nicht harmlos, aber es ist auch nichts, das im Vorbeigehen geschieht. Dass Deine Seite gehackt ist, folgt aus der Meldung jedenfalls nicht. Die eigentliche Frage ist, wie lange die Tür noch offen steht.

Eine Website, auf deren Server kein PHP läuft, ist von dieser Lücke nicht betroffen. Das gilt für statisch gebaute Seiten wie diese hier. Wer seine Seite bei einem Baukasten wie Wix oder Jimdo hat, betreibt keinen eigenen Server; dort ist der Anbieter zuständig.

Was Du jetzt tun kannst

Drei Schritte, in dieser Reihenfolge: herausfinden, ob Deine Seite auf PHP läuft, die PHP-Version feststellen und beim Hoster oder der Agentur nachfragen, ob das Update eingespielt ist. Wie das ohne Fachwissen in fünf Minuten geht, steht im zweiten Beitrag dieser Serie: Ist meine Website betroffen?

Und wenn niemand antwortet? Für Server, die sich nicht sofort aktualisieren lassen, empfiehlt das BSI, eine vorübergehende Trennung vom Internet zu erwägen. Für eine Praxis oder einen Betrieb ist das unbequem. Eine Seite, die zwei Tage lang nicht erreichbar ist, halte ich trotzdem für den kleineren Schaden als eine, auf der jemand anderes bestimmt, was sie tut.

Und danach

Auf den meisten Servern wird die Lücke in den nächsten Tagen geschlossen sein. Was bleibt, ist die Bauweise. Eine Website mit PHP, Datenbank und Plugins braucht laufend Updates auf mehreren Ebenen, und an jeder davon kann die nächste Meldung dieser Art ansetzen. Ich baue Websites deshalb inzwischen mit Kenala. Die Seiten liegen als fertige Dateien im Netz und werden über Cloudflare ausgeliefert, ohne PHP, ohne Datenbank, ohne Plugins. Wo auf dem Server kein Programm läuft, gibt es für eine Lücke wie diese nichts anzugreifen. Änderungen sagst Du in einem Satz, siehst sie vorher und gibst sie frei.

Für jede Website ist das nicht der richtige Weg, ein großer Shop oder eine Redaktion mit vielen Beteiligten braucht etwas anderes. Für die meisten Seiten, die vor allem zeigen und informieren, ist es der ruhigere. Wie das aussieht, steht auf der Seite Websites mit Kenala, für Betriebe hier in der Region unter Webdesign in Celle, und kurz zusammengefasst auf kenala.de: Website ohne PHP, ohne Datenbank, ohne Plugins.

Quellen

BSI, IT-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“, BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21. Oktober 2026. PHP-Projekt, Security advisory vom 21. Oktober 2026 auf php.net. heise online, „php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP“, 21. Oktober 2026. NDR Niedersachsen, „Sicherheitslücke: Behörden nehmen vorsorglich Seiten vom Netz“, 21. Oktober 2026, 19:43 Uhr.