PHP2Shell: PHP-Sicherheitslücke 2026 – Website gesperrt oder Update fehlgeschlagen?

Am 20. Oktober 2026 kündigte das PHP-Projekt dringende Sicherheitsupdates an. Am 21. Oktober wurden die Korrekturen für zwei kritische Schwachstellen veröffentlicht.

Die Sicherheitslücken tragen die Kennungen:

• CVE-2026-109618
• CVE-2026-109619

Gemeinsam sind sie als PHP2Shell bekannt. Beide wurden mit einem CVSS-v4.0-Wert von 9,2 als kritisch bewertet.

Die Fehler betreffen die interne Verarbeitung von Speicher und Zuständen innerhalb der PHP-Laufzeitumgebung.

Vereinfacht gesagt: Unter bestimmten Bedingungen kann PHP beim Bearbeiten einer Webanfrage auf ungültige oder bereits freigegebene Speicherbereiche zugreifen.

Das ist mehr als ein gewöhnlicher Programmfehler. Angreifer könnten die Schwachstellen unter geeigneten Voraussetzungen ausnutzen, um eigenen Programmcode auf dem betroffenen Server auszuführen – gegebenenfalls ohne vorherige Anmeldung.

Besonders kritisch ist, dass die Ursache nicht in einer einzelnen Website oder einer bestimmten Erweiterung liegt, sondern in PHP selbst.

Ein aktuelles CMS, ein modernes Theme oder ein installiertes Sicherheits-Plugin ersetzen deshalb nicht das notwendige Update der PHP-Laufzeitumgebung.

Welche PHP-Versionen enthalten die Sicherheitskorrekturen?

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt folgende korrigierte Versionen:

Die Tabelle bezieht sich auf die Sicherheitsveröffentlichung vom 21. Oktober 2026. Bei der praktischen Aktualisierung sollten jeweils die neuesten verfügbaren, vom Anbieter unterstützten und entsprechend abgesicherten Versionen verwendet werden.

PHP 8.2 erhält außerdem nur noch bis zum 31. Dezember 2026 offiziellen Sicherheitssupport.

Bei älteren, bereits abgekündigten PHP-Versionen ist die Situation komplizierter. Teilweise bieten Linux-Distributionen, Hosting-Anbieter oder kommerzielle Wartungsdienste eigene zurückportierte Sicherheitskorrekturen an.

Bei Hersteller-Backports kann die PHP-Versionsnummer unverändert bleiben. Deshalb prüfen wir zusätzlich Paketstand, Builddatum und Herstellerhinweise; die Versionsnummer allein belegt die Absicherung nicht.

Ein solcher Patch kann kurzfristig helfen. Er bedeutet jedoch nicht automatisch, dass die gesamte Anwendung langfristig auf einer zeitgemäßen technischen Grundlage läuft.

Wichtig: Eine vorhandene Sicherheitslücke bedeutet nicht, dass eine Website bereits gehackt wurde. Ebenso wenig beweist die Sperrung durch einen Hosting-Anbieter einen erfolgreichen Angriff. Oft handelt es sich um eine vorsorgliche Maßnahme.

Die Nachricht des Hosters ist häufig recht eindeutig: Eine PHP-Version kann aus Sicherheitsgründen nicht weiterbetrieben werden, ein Update ist erforderlich oder die Website wurde vorübergehend deaktiviert.

Die technische Ursache dahinter kann allerdings unterschiedlich sein.

Fall 1: Die bisherige PHP-Version ist nicht mehr ausreichend abgesichert.

Hier prüfen wir, welche Version tatsächlich auf dem Server läuft, welche Sicherheitsupdates verfügbar sind und ob der Hosting-Anbieter bereits geeignete Korrekturen bereitgestellt hat.

Fall 2: PHP wurde aktualisiert, aber die Website funktioniert nicht mehr.

Das Sicherheitsupdate kann bereits erfolgreich installiert sein. Die Anwendung selbst ist jedoch möglicherweise mit der neuen PHP-Version nicht kompatibel.

Dann müssen der vorhandene Programmcode, Erweiterungen, Abhängigkeiten und Fehlermeldungen untersucht werden.

Fall 3: Es besteht der Verdacht auf einen tatsächlichen Sicherheitsvorfall.

In diesem Fall reicht ein Versionsupdate allein nicht aus. Mögliche Manipulationen, ungewöhnliche Dateien, verdächtige Zugriffe und betroffene Zugangsdaten müssen entsprechend dem konkreten Risiko untersucht werden.

Denn ein Sicherheitsupdate schließt eine Schwachstelle. Es macht aber nicht automatisch rückgängig, was ein Angreifer möglicherweise bereits verändert hat.

Was Sie zunächst vermeiden sollten

Ändern Sie nicht wahllos PHP-Versionen, Erweiterungen oder Datenbankeinstellungen auf der produktiven Website.

Sichern Sie, soweit möglich, den vorhandenen Zustand und die relevanten Fehlermeldungen. Informieren Sie sich über die Sicherheitsmaßnahmen Ihres Hosters.

Wenn der Verdacht auf eine Kompromittierung besteht, sollte die Untersuchung mit geeigneten Sicherungs- und Dokumentationsmaßnahmen erfolgen.

Und vor allem: Aktivieren Sie eine nachweislich verwundbare PHP-Version nicht einfach dauerhaft wieder, nur damit die Startseite erneut erscheint.

Eine funktionierende Website ist schließlich nur dann eine gute Nachricht, wenn sie nicht gleichzeitig ein unnötiges Sicherheitsrisiko darstellt.

PHP hat sich über die vergangenen Jahre erheblich weiterentwickelt.

Funktionen wurden entfernt, Sprachverhalten verändert, Sicherheitsmechanismen verbessert und technische Anforderungen angepasst.

Eine Anwendung, die ursprünglich für PHP 5.6 oder PHP 7.4 geschrieben wurde, läuft deshalb nicht automatisch fehlerfrei mit PHP 8.3, 8.4 oder 8.5.

Hinzu kommen Abhängigkeiten von alten Bibliotheken, Datenbankzugriffen, CMS-Erweiterungen und individuell entwickelten Modulen.

Typische Fehlerbilder sind:

• Eine weiße Seite ohne sichtbaren Inhalt.
• HTTP-500-Fehler nach der PHP-Umstellung.
• Ein nicht mehr erreichbarer Administrationsbereich.
• Defekte Formulare, Buchungsfunktionen oder Warenkörbe.
• Fehlermeldungen durch nicht mehr unterstützte PHP-Funktionen.
• Probleme beim Zugriff auf Datenbanken.
• Erweiterungen, die unter der aktuellen PHP-Version nicht mehr funktionieren.

Manche dieser Probleme lassen sich mit gezielten Codeanpassungen beheben.

Andere erfordern größere Versionssprünge, den Austausch veralteter Abhängigkeiten oder eine strukturelle Modernisierung.

Deshalb hilft es wenig, nur die neueste PHP-Version im Hosting-Panel auszuwählen und auf das Beste zu hoffen.

Entscheidend ist nicht allein, dass PHP aktuell ist. Die gesamte Anwendung muss mit dieser Version zuverlässig funktionieren.

Gerade bei älteren Contao-Installationen kann ein notwendiges PHP-Update weitere technische Anpassungen erforderlich machen.

Contao ist ein etabliertes Content-Management-System für Unternehmenswebsites, Portale und individuelle Webanwendungen.

Über Jahre gewachsene Installationen besitzen allerdings häufig eine Vielzahl zusätzlicher Erweiterungen, individueller Templates und projektspezifischer Anpassungen.

Wurde das System längere Zeit nicht umfassend aktualisiert, kann der direkte Wechsel auf eine aktuelle PHP-Version scheitern.

ProWebSolutions übernimmt auch Contao-Websites, die ursprünglich von anderen Dienstleistern entwickelt wurden.

Wir untersuchen die bestehende Contao-Version, prüfen Erweiterungen und Abhängigkeiten und entwickeln einen sinnvollen Aktualisierungsweg.

Dabei berücksichtigen wir unter anderem:

• vorhandene Seiten, Inhalte und Navigationsstrukturen,
• individuell angepasste Templates und Module,
• Formulare und Backend-Funktionen,
• Datenbankstrukturen,
• bestehende URLs und Weiterleitungen,
• die Kompatibilität mit einer unterstützten PHP-Version.

Soweit technisch möglich, führen wir größere Aktualisierungen zunächst in einer separaten Testumgebung durch.

Unser Ziel ist eine wartbare, zuverlässig betreibbare Contao-Installation, deren bestehende Gestaltung und Funktionen möglichst weitgehend erhalten bleiben.

Ein Sicherheitsupdate muss nicht automatisch zu einem vollständigen Website-Relaunch werden.

Nicht jede Website basiert auf einem gängigen Content-Management-System.

Viele Unternehmen betreiben selbst entwickelte Verwaltungsoberflächen, Kundenportale, Buchungssysteme oder andere individuelle PHP-Anwendungen.

Solche Systeme erfüllen oftmals seit vielen Jahren wichtige Aufgaben.

Problematisch wird es, wenn der ursprüngliche Entwickler nicht mehr erreichbar ist, technische Dokumentation fehlt oder niemand die Abhängigkeiten des Systems zuverlässig kennt.

Gerade dann kann ein notwendiges PHP-Update wie eine unlösbare Aufgabe erscheinen.

Wir sehen das anders.

Bestehender Programmcode ist zunächst eine technische Grundlage, die man verstehen und bewerten sollte – nicht automatisch ein Fall für den Papierkorb.

Bei ProWebSolutions beschäftigen wir uns mit der Übernahme, Weiterentwicklung und Modernisierung bestehender PHP-Systeme.

Wir analysieren vorhandene Programmstrukturen, Datenbankzugriffe, Bibliotheken und Schnittstellen. Anschließend können wir einschätzen, welche Teile übernommen werden können und wo Anpassungen erforderlich sind.

Das können einzelne veraltete Funktionen sein, umfangreichere Abhängigkeiten oder technische Bereiche, die kontrolliert ersetzt werden müssen.

Auch Anwendungen ohne vollständige Dokumentation lassen sich häufig schrittweise erschließen.

Entscheidend ist eine nachvollziehbare Vorgehensweise, die geschäftskritische Funktionen nicht unnötig gefährdet.

Eine Website kann technisch veraltet sein und trotzdem einen erheblichen geschäftlichen Wert besitzen.

Vielleicht funktioniert die Gestaltung hervorragend. Vielleicht sind Inhalte über Jahre gewachsen und in Suchmaschinen etabliert. Vielleicht bildet die Anwendung besondere Abläufe ab, die eine Standardsoftware gar nicht beherrscht.

All das sollte man nicht leichtfertig aufgeben.

Bei einem notwendigen PHP-Update prüfen wir deshalb zunächst, ob sich die vorhandene Anwendung wirtschaftlich sinnvoll modernisieren lässt.

Dazu können die Aktualisierung einzelner Komponenten, die Anpassung bestehender PHP-Funktionen oder die Modernisierung des zugrunde liegenden CMS gehören.

Ein kompletter Neubau ist dann sinnvoll, wenn die technische Struktur, der Zustand der Anwendung oder der notwendige Änderungsumfang dafür sprechen.

Aber diese Entscheidung sollte aus einer fundierten technischen Bewertung entstehen – nicht allein aus dem Alter einer PHP-Version.

Nicht jede Website braucht ein neues Gesicht. Manchmal reicht es, ihr technisches Fundament wieder auf einen verlässlichen Stand zu bringen.

Wir beginnen nicht mit einem pauschalen Relaunch-Angebot, sondern mit dem vorhandenen System und der konkreten Ausgangslage.

1. Technischen Zustand prüfen

Zunächst untersuchen wir, welche PHP-Version verwendet wird, welche Anwendung darauf läuft und welche Probleme vorliegen.

Wir berücksichtigen dabei den Hosting-Anbieter, die Serverumgebung, installierte Abhängigkeiten und verfügbare Fehlermeldungen.

2. Risiken und Maßnahmen priorisieren

Akute Sicherheits- und Betriebsrisiken haben Vorrang.

Wir unterscheiden notwendige Sofortmaßnahmen von späteren technischen Verbesserungen und klären, welche Schritte für einen stabilen Weiterbetrieb wirklich erforderlich sind.

3. Sicherungen und Testmöglichkeiten vorbereiten

Vor größeren Änderungen prüfen wir die vorhandenen Sicherungen und schaffen geeignete Möglichkeiten für eine kontrollierte Aktualisierung.

Wo es die technische Umgebung erlaubt, arbeiten wir zunächst mit einer separaten Testinstallation.

4. PHP und Anwendung aktualisieren

Wir führen die erforderlichen Updates durch und passen inkompatible Teile der Anwendung an.

Dabei berücksichtigen wir neben PHP auch CMS-Versionen, Bibliotheken, Erweiterungen und Datenbankzugriffe.

5. Funktionen prüfen und Betrieb stabilisieren

Eine erfolgreiche Aktualisierung ist mehr als eine wieder sichtbare Startseite.

Wir überprüfen die wesentlichen Funktionen, Schnittstellen und Geschäftsabläufe und achten auf kontrollierte Inbetriebnahme und geeignete Rückfallmöglichkeiten.

Bei Bedarf unterstützen wir anschließend auch bei Wartung und regelmäßigen Sicherheitsupdates.

Die Kosten hängen davon ab, wie die bestehende Anwendung aufgebaut ist und welche Anpassungen tatsächlich notwendig werden.

Eine kleinere Website mit wenigen technischen Abhängigkeiten kann vergleichsweise unkompliziert zu aktualisieren sein.

Ein umfangreiches CMS mit zahlreichen Erweiterungen oder eine über viele Jahre gewachsene Individualsoftware erfordert möglicherweise mehr Analyse und Entwicklungsarbeit.

Deshalb wäre es unseriös, ohne Kenntnis des Systems einen pauschalen Preis zu versprechen.

Unser Ansatz ist, den notwendigen Aufwand nachvollziehbar einzugrenzen und vorhandene Investitionen zu erhalten, wo dies sinnvoll möglich ist.

Wir prüfen zunächst die technische Ausgangslage, erläutern die notwendigen Maßnahmen und besprechen anschließend den voraussichtlichen Aufwand.

Wenn wenige gezielte Änderungen ausreichen, muss daraus kein großes Entwicklungsprojekt werden.

Und falls eine umfassendere Modernisierung sinnvoll ist, erfahren Sie das möglichst früh – bevor unnötige Kosten entstehen.

Spätestens wenn eine eingesetzte PHP-Version nicht mehr offiziell unterstützt wird, sollte die weitere technische Strategie geprüft werden.

PHP 7.4 und PHP 8.1 erhalten vom offiziellen PHP-Projekt keine regulären Sicherheitsupdates mehr. Einzelne Anbieter können allerdings eigene Sicherheitskorrekturen bereitstellen.

Auch PHP 8.2 nähert sich dem Ende seines offiziellen Supports: Am 31. Dezember 2026 endet die Sicherheitsunterstützung dieser Versionsreihe.

Bei der Modernisierung sollte daher nicht nur die unmittelbare Sicherheitslücke behoben werden.

Sinnvoll ist eine PHP-Version, die zur Anwendung passt, regulär unterstützt wird und auch für die weitere Wartung eine tragfähige Grundlage bietet.

So vermeiden Sie, dass das nächste notwendige Update unmittelbar wieder zum Problem wird.

Ein Sicherheitsvorfall, ein gesperrter Webauftritt oder ein fehlgeschlagenes PHP-Update ist bereits unangenehm genug.

Was Sie jetzt benötigen, ist eine klare technische Einschätzung – keine pauschale Forderung nach einer vollständigen Neuentwicklung.

Die ProWebSolutions GmbH aus Leipzig unterstützt Unternehmen deutschlandweit bei der Übernahme, Absicherung und Modernisierung bestehender PHP-Websites.

Ob Contao, eine individuell entwickelte PHP-Anwendung oder eine andere gewachsene Weblösung: Wir untersuchen die Ausgangslage, erklären die sinnvollen Möglichkeiten und entwickeln einen nachvollziehbaren Weg zu einem zuverlässig betreibbaren System.

Schildern Sie uns kurz, welches System Sie verwenden, was Ihr Hosting-Anbieter mitgeteilt hat und welche Probleme aktuell auftreten.

Zugangsdaten oder vertrauliche technische Informationen benötigen wir für die erste Kontaktaufnahme nicht.

ProWebSolutions GmbH – bestehende Software verstehen, gezielt modernisieren und langfristig zuverlässig betreiben.

Fachlicher Stand: 8. November 2026.