PHP2Shell: Ist deine TYPO3- oder WordPress-Website betroffen? Was du jetzt tun musst

Am 21. Oktober 2026 hat das BSI wegen einer Lücke in PHP die Warnstufe Orange ausgerufen. Die Lücke heißt PHP2Shell und betrifft fast jede klassische Website, die mit TYPO3, WordPress, Shopware, Joomla oder Drupal läuft. In diesem Ratgeber erklären wir dir ohne Fachchinesisch, was passiert ist, wie du in wenigen Minuten prüfst, ob deine Seite betroffen ist, und was du dann konkret tun musst. Dazu bekommst du zwei kostenlose Checklisten als PDF, eine für TYPO3 und eine für WordPress. Stand dieses Ratgebers: 21. Oktober 2026, abends.

Kurzfassung

• Was passiert ist: Im PHP-Kern stecken zwei kritische Lücken (CVE-2026-109618 und CVE-2026-109619, je 9,2 von 10 Punkten). Angreifer können darüber ohne Login eigenen Code auf deinem Server ausführen. Seit dem 21. Oktober gibt es Updates.
• Wer betroffen ist: Jede Website, deren Server Anfragen mit PHP verarbeitet. Also fast alle Seiten mit TYPO3, WordPress, Shopware, Joomla oder Drupal, egal ob beim Hoster, auf dem eigenen Server oder in Docker.
• Was du heute tun musst: PHP-Version prüfen, auf eine sichere Version bringen (8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer), dir den Patch schriftlich bestätigen lassen und prüfen, ob schon jemand drin war.

Was ist PHP2Shell?

PHP ist die Programmiersprache, auf der WordPress, TYPO3, Joomla, Drupal, Shopware und viele andere Systeme laufen. Stell dir PHP vor wie den Motor unter der Haube. Dein CMS ist das Auto obendrauf. Genau in diesem Motor wurden jetzt zwei Lücken gefunden.

Über die Lücken kann ein Angreifer eigenen Code auf deinem Server ausführen. Ohne Login, ohne Passwort und ohne dass du irgendetwas anklickst. Fachleute nennen das Remote Code Execution. Zusätzlich lässt sich Speicher aus PHP-Prozessen auslesen, und darin können Passwörter, Tokens oder API-Schlüssel aus anderen Anfragen stecken.

Die beiden Lücken einfach erklärt

• CVE-2026-109618: PHP läuft der Speicher aus (Out of Memory), während eine Anfrage erst halb vorbereitet ist. Diesen halbfertigen Zustand können Angreifer ausnutzen.
• CVE-2026-109619: Reste einer früheren Anfrage bleiben im Arbeitsprozess hängen und werden von einer späteren Anfrage weiterbenutzt. Fachleute sprechen von Use after free.

Das PHP-Sicherheitsteam bewertet beide Lücken mit 9,2 von 10 Punkten (CVSS 4.0), also kritisch. Der Name PHP2Shell ist eine Anspielung auf Log4Shell, eine der größten Sicherheitslücken des Jahres 2021.

Die Lücke steckt nicht in deinem CMS

Das ist der Punkt, den viele falsch verstehen: Der Fehler steckt nicht in WordPress, nicht in TYPO3 und nicht in Shopware, sondern in PHP selbst. Du kannst im Backend so viele Updates klicken, wie du willst. Das bringt hier nichts. Das Update muss auf dem Server passieren.

Wer die Lücke gefunden hat

Entdeckt haben die Fehler Wiz Research, Calif und OpenAI Codex Security. Behoben wurden sie gemeinsam mit dem PHP-Team und dem Google-Gemini-Team. Wiz konnte auf Testinstallationen von WordPress, Drupal und Joomla Code ausführen und Passwörter und API-Schlüssel aus dem Speicher lesen.

Warum es so dringend ist

BSI-Warnstufe Orange

Das BSI hat am 21. Oktober 2026 die Warnstufe 3 (Orange) ausgegeben. Das heißt: extrem hohe Bedrohung, Maßnahmen müssen unverzüglich ergriffen werden. BSI-Vizepräsident Thomas Caspers rechnet damit, dass die Lücke innerhalb weniger Stunden großflächig ausgenutzt wird. Teile von Ländern, Kommunen, Behörden, Universitäten und Kliniken haben ihre Websites vorsorglich vom Netz genommen. Auch das britische NCSC und CERT-EU raten, Systeme, die nicht sofort gepatcht werden können, vorübergehend vom Netz zu nehmen oder zu isolieren.

Durchgesickert und einen Tag früher veröffentlicht

Eigentlich sollten die Details erst am 22. Oktober veröffentlicht werden. Am 20. Oktober sind aber Informationen vorab durchgesickert. Deshalb hat das PHP-Team die Updates vorgezogen. Seit dem 21. Oktober, kurz vor 16 Uhr deutscher Zeit, sind sie verfügbar.

Erste Angriffsversuche

Cloudflare hat laut CTO Dane Knecht bereits erste Angriffsversuche gesehen. watchTowr meldete Ausnutzungsversuche über Honeypots, Patchstack Scans nach verwundbaren Servern. Offiziell bestätigte erfolgreiche Einbrüche gab es Stand 21. Oktober noch nicht. Darauf würden wir aber nicht warten.

KI macht Angriffe schneller

Die Fehler steckten laut den Forschern über ein Jahrzehnt in PHP. Sie auszunutzen war bisher extrem kompliziert. Erst moderne KI-Modelle haben die Hürde so weit gesenkt, dass daraus funktionierende Angriffe wurden: ein einzelner Forscher in etwa einer Woche statt ein ganzes Team in Monaten. Das BSI schreibt in seiner Warnung genau das: Angreifer können Updates mit KI-Tools in kurzer Zeit analysieren und daraus Angriffe bauen. Die Zeit zwischen Update und Angriff schrumpft damit auf wenige Stunden.

Wie viele Server betroffen sein könnten

Laut einer Zählung von Mallory über die Server-Suchmaschine Shodan (Stand 20. Oktober) melden rund 884.000 erreichbare Server eine PHP-Version, die keinen offiziellen Support mehr hat. Das sind 59 % von etwa 1,5 Millionen Servern mit sichtbarer Versionsnummer. Wichtig: Das ist eine Zählung nach Server-Kennung, keine Liste bestätigt verwundbarer Systeme. Laut WordPress.org laufen außerdem 36,4 % aller WordPress-Seiten auf PHP 8.1 oder älter.

Bin ich betroffen? Die 4 Fälle

Betroffen ist jede PHP-Installation, die Webanfragen verarbeitet: Apache mit mod_php (höchstes Risiko), PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Laut Wiz steckt mindestens eine der beiden Lücken in jeder PHP-Version seit 5.4. Was du konkret tun musst, hängt davon ab, wo deine Website läuft.

Fall 1: Webhosting-Paket bei IONOS, Strato, All-Inkl und Co.

Der Hoster spielt das PHP-Update auf seinen Servern ein. Deine Aufgabe: die PHP-Version prüfen, sie auf 8.3 stellen, falls sie älter ist, und dir den Patch schriftlich bestätigen lassen.

Fall 2: Eigener Server, vServer oder Docker

Dann bist du selbst dran. Und zwar heute, nicht nächste Woche. Spiel die aktualisierten Pakete deiner Linux-Distribution ein oder bau deine Images neu und roll sie aus. Danach Apache, PHP-FPM und alle Worker neu starten, nicht nur neu laden.

Fall 3: Eine Agentur betreut deine Seite

Ruf dort an oder schreib eine Mail. Frag nach der genauen PHP-Version und lass dir den Patch schriftlich bestätigen. Eine fertige Vorlage findest du weiter unten.

Fall 4: Webflow und andere Systeme ohne eigenen PHP-Server

Läuft deine Seite auf Webflow, gibt es keinen PHP-Server, den du selbst pflegen musst. Hosting, Server-Updates und Sicherheit übernimmt der Anbieter. Dazu mehr am Ende dieses Ratgebers.

Welche PHP-Versionen sind sicher?

Sicher sind diese Versionen oder neuer:

Entscheidend ist die ganze Versionsnummer, nicht nur die erste Zahl. PHP 8.3.6 ist nicht sicher, 8.3.36 schon. Linux-Distributionen bauen den Fix teilweise in Pakete mit älterer Versionsnummer ein. Dann hilft ein Blick ins Changelog: Werden CVE-2026-109618 und CVE-2026-109619 erwähnt, ist der Fix drin. Bei Shared Hosting siehst du im Kundenkonto oft nur „8.3“ ohne die genaue Nummer dahinter. Dann solltest du dir den Patch schriftlich bestätigen lassen.

Weil der Sicherheitssupport für PHP 8.2 am 31. Dezember 2026 endet, empfehlen wir als Ziel PHP 8.3 oder 8.4.

So prüfst du deine PHP-Version

TYPO3

Log dich als Admin ins Backend ein und klick oben rechts auf das Symbol für die System-Information. Dort steht direkt die PHP-Version. Alternativ findest du sie unter Admin-Tools → Umgebung (Environment) → Environment Status. Als Redakteur siehst du diese Angaben nicht. Dann frag deine Agentur.

Achtung: Darunter steht oft „Dein System ist voll funktionsfähig“. Das bezieht sich nicht auf diese Lücke. Ein System mit PHP 8.3.6 wird dort als voll funktionsfähig angezeigt, ist aber nicht sicher. Genau das ist das Gefährliche.

WordPress

Im Dashboard unter Werkzeuge → Website-Zustand → Bericht und dort im Bereich Server.

Shopware 6

In der Administration unter Einstellungen → System → Systeminformationen. Findest du dort keine PHP-Version, frag deinen Hoster.

Beim Hoster, Beispiel IONOS

Im IONOS-Kundenkonto gehst du auf Menü → Hosting und klickst in der Kachel PHP auf Öffnen. Dort siehst du pro Domain, welche Version eingestellt ist. Bei Managed WordPress von IONOS steht die PHP-Version unter Einstellungen, ganz unten bei den erweiterten Einstellungen. Mit dem Stift daneben kannst du sie wechseln. PHP 8.3 ist dort als empfohlen markiert, der Wechsel kostet nichts und lässt sich zurückstellen.

Du hast weder Zugang zum Backend noch zum Hoster? Dann frag deine Agentur oder deinen Hoster direkt.

Schritt für Schritt absichern

Schritt 1: PHP-Version prüfen

Wie oben beschrieben, im Backend oder im Kundenkonto deines Hosters. Notier dir die vollständige Nummer und vergleich sie mit der Tabelle.

Schritt 2: Auf PHP 8.3 umstellen, wenn du auf 8.1 oder älter bist

Bitte nicht blind klicken. Mach zuerst ein vollständiges Backup von Dateien und Datenbank. Dann stellst du um, am besten zuerst auf einer Subdomain oder einer Staging-Umgebung. Das empfiehlt übrigens auch IONOS selbst. Danach testest du:

• die Startseite und mehrere Unterseiten,
• das Kontaktformular mit einer Testanfrage,
• den Login ins Backend,
• bei einem Shop den kompletten Bestellvorgang.

Läuft etwas nicht, kannst du die Version bei den meisten Hostern wieder zurückstellen. Auf dem eigenen Server gilt: Pakete oder Images aktualisieren und danach Apache, PHP-FPM und Worker neu starten.

Schritt 3: Patch schriftlich bestätigen lassen

Bei Shared Hosting siehst du oft nur „8.3“. Schreib deinem Hoster deshalb kurz: Ist das Update auf 8.3.36 bei mir eingespielt? Und lass dir das schriftlich geben. Die passende Vorlage findest du im nächsten Abschnitt.

Schritt 4: Prüfen, ob schon jemand drin war

Das Update schließt die Tür. Wenn vorher aber schon jemand eingestiegen ist und eine Hintertür hinterlassen hat, bleibt die offen. Was du konkret prüfen solltest, steht weiter unten im Abschnitt zur Spurensuche.

Schritt 5: Altes TYPO3? Upgrade oder Relaunch planen

Läuft deine Seite auf TYPO3 10 oder älter, kannst du PHP nicht einfach hochstellen. Plane dann ein Upgrade oder einen Relaunch. Mehr dazu in der TYPO3-Falle unten. Wenn du dir Updates und Kontrolle künftig nicht selbst ans Bein binden willst, schau dir unsere Website-Wartung an.

Mail-Vorlage an Hoster oder Agentur

Kopier dir diese Vorlage, setz deinen Namen und deine Domain ein und schick sie an deinen Hoster oder deine Agentur:

Die TYPO3-Falle: alte Versionen

Jede TYPO3-Version läuft nur mit bestimmten PHP-Versionen. Genau hier sitzt die Falle, in die gerade viele ältere TYPO3-Seiten laufen:

• TYPO3 12 und 13 laufen auf PHP 8.2 und 8.3. TYPO3 13 braucht mindestens PHP 8.2.
• TYPO3 11 läuft ebenfalls auf 8.2 und 8.3. Prüf vorher aber deine Erweiterungen.
• TYPO3 10, 9 und älter laufen nur bis PHP 7.4.

Das heißt: Mit TYPO3 10 oder älter kannst du PHP gar nicht auf eine sichere, offiziell gepatchte Version hochstellen, sonst geht deine Website kaputt. Und für PHP 7.4 gibt es vom PHP-Projekt kein offizielles Release, nur Quellcode-Backports. Du bist dann komplett davon abhängig, ob dein Hoster selbst einen Patch nachbaut.

Ganz ehrlich: In diesem Fall hilft kein schneller Klick mehr. Du brauchst ein TYPO3-Upgrade oder einen Relaunch. Und das solltest du angehen, bevor etwas passiert, nicht danach. Wie ein Umstieg aussehen kann, zeigen wir auf unserer Seite zur Migration von TYPO3 zu Webflow. Wenn du bei TYPO3 bleiben willst, unterstützen wir dich über unsere Webentwicklung beim Upgrade.

WordPress: was hilft und was nicht

WordPress bekommt für PHP2Shell kein eigenes Update, weil die Lücke in PHP steckt. Laut WordPress.org laufen 36,4 % der WordPress-Seiten auf PHP 8.1 oder älter, also auf Versionen ohne offizielles Sicherheitsupdate. Für selbst verwaltete Server mit PHP unter 8.2 empfiehlt WordPress.org, die Seite notfalls offline zu nehmen.

• Hilft: PHP auf 8.3 oder 8.4 stellen. Aktuelles WordPress läuft darauf. Alte Themes und Plugins können Probleme machen, deshalb vorher Backup und am besten erst auf Staging testen.
• Hilft nicht: Sicherheits-Plugins. Der Angriff passiert, bevor WordPress überhaupt lädt.
• Hilft nicht: „Fix-Plugins“, die jetzt auftauchen. Installier so etwas nicht.
• Hilft nicht: der Wartungsmodus eines Plugins. PHP läuft trotzdem weiter. Wenn du die Seite offline nehmen musst, dann auf Server-Ebene, zum Beispiel per .htaccess mit Statuscode 503 oder mit einem Passwortschutz beim Hoster.

Du willst bei WordPress bleiben und das sauber aufsetzen lassen? Dann schau bei unserer WordPress-Agentur vorbei.

Prüfen, ob schon jemand drin war

Das Update schließt die Lücke, entfernt aber keine Hintertür, die vorher schon platziert wurde. Prüf deshalb nach dem Update:

• Gibt es Admin-Benutzer, die du nicht kennst?
• Liegen fremde oder neue PHP-Dateien auf dem Server, besonders in Upload-Ordnern wie wp-content/uploads bei WordPress oder fileadmin und typo3temp bei TYPO3?
• Wurden Theme- oder Template-Dateien kürzlich geändert, ohne dass du davon weißt?
• Gibt es neue Cronjobs auf dem Server?
• Leitet deine Seite seltsam weiter oder tauchen Spam-Seiten auf?

Laut Wiz und PHP-Team gibt es außerdem technische Warnzeichen: gehäufte HTTP-500- oder Memory-Limit-Fehler nach ungewöhnlichen Uploads, auffällig große PHPSESSID-Cookies und PHP-Prozesse, die ohne Grund neu starten.

Bei Verdacht

Lass die Seite offline, sichere die Logs, spiel ein sauberes Backup von vor dem Angriff ein und ändere alle Passwörter und API-Schlüssel. Sind personenbezogene Daten betroffen, muss eine Datenpanne nach Art. 33 DSGVO in der Regel binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden. Das ist keine Rechtsberatung, im Zweifel hol dir juristischen Rat.

Was nicht hilft

In Foren kursieren gerade viele Tipps. Diese hier machen dich nicht sicher:

• Updates im CMS-Backend: Die Lücke steckt in PHP, nicht im CMS.
• Konfig-Tricks: Einstellungen wie memory_limit=-1, session.upload_progress.enabled=0 oder das Blocken von Upload- und Multipart-Anfragen am Proxy blockieren laut PHP-Team nur einzelne Angriffswege. Sicher wird die Seite dadurch nicht.
• Sicherheits- oder „Fix-Plugins“: Sie greifen erst, wenn das CMS lädt. Da ist es zu spät.

Das Einzige, was wirklich hilft, ist das PHP-Update.

Zwischenlösung: Cloudflare

Läuft deine Seite hinter Cloudflare, hast du einen Puffer: Cloudflare hat für bekannte Angriffswege bereits Schutzregeln in der Web Application Firewall aktiviert, für alle Kunden, auch im kostenlosen Tarif. Das ersetzt das Update nicht und wirkt nur für Anfragen, die tatsächlich über Cloudflare laufen. Aber es verschafft dir Zeit.

Warum wir für viele Unternehmen Webflow empfehlen

Wir sind eine Branding- und Webdesign-Agentur, einer von 7 Webflow Premium Partnern in Deutschland, und bauen nicht nur mit Webflow, sondern auch mit WordPress und TYPO3. Deshalb sagen wir es ehrlich: TYPO3 und WordPress sind nicht schlecht. Aber wer selbst hostet, ist auch selbst verantwortlich.

PHP2Shell zeigt, was das heißt. Wer seine Website selbst hostet, muss schneller patchen, als Angreifer mit KI angreifen. Das schafft kaum ein Unternehmen nebenbei. Genau deshalb empfehlen wir für die meisten Unternehmenswebsites Webflow. Dort gibt es keinen PHP-Server, den du selbst pflegen musst. Hosting, Server-Updates und Sicherheit übernimmt Webflow.

Du musst also nicht nachts ein Update einspielen und hoffen, dass deine Seite danach noch läuft. Kein Plugin, das nach einem Update kaputtgeht. Kein Server, den du im Blick behalten musst. Wenn du über einen Wechsel nachdenkst, findest du alles zum Umzug von WordPress zu Webflow und von TYPO3 zu Webflow sowie einen Überblick über alle Plattformen, mit denen wir arbeiten.

Downloads: Checklisten für TYPO3 und WordPress

Alles Wichtige aus diesem Ratgeber gibt es auch als kompakte Checkliste zum Abhaken, mit Klickpfaden, Testliste, Mail-Vorlage und Spurensuche:

• PHP2Shell-Checkliste für TYPO3 (PDF, 4 Seiten)
• PHP2Shell-Checkliste für WordPress (PDF, 4 Seiten)

Das Video zum Ratgeber

Im Video erklären wir dir kurz und verständlich, was hinter PHP2Shell steckt, ob deine Website betroffen ist und was du jetzt tun solltest.

7:51

FAQ

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Sicherheitslücken im PHP-Kern (CVE-2026-109618 und CVE-2026-109619), die das PHP-Sicherheitsteam mit 9,2 von 10 Punkten bewertet. Angreifer können darüber ohne Login eigenen Code auf dem Server ausführen und Speicher auslesen. Das BSI hat am 21.10.2026 die Warnstufe Orange ausgerufen.

Reicht ein Update im WordPress- oder TYPO3-Backend?

Nein. Die Lücke steckt in PHP selbst, nicht im CMS. WordPress und TYPO3 bekommen dafür kein eigenes Update. Helfen kann nur ein PHP-Update auf dem Server, danach müssen Apache bzw. PHP-FPM neu gestartet werden.

Welche PHP-Version ist sicher?

Sicher sind PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer. Entscheidend ist die ganze Versionsnummer: 8.3.6 ist nicht sicher, 8.3.36 schon. Für PHP 8.1 und älter gibt es kein offizielles Release mehr.

Mein Hoster zeigt nur „8.3“ an. Bin ich sicher?

Das lässt sich daran nicht erkennen. Bei Shared Hosting siehst du oft nur den Versionszweig. Lass dir vom Hoster schriftlich bestätigen, dass das Update auf 8.3.36 (oder ein Paket mit dem Fix für beide CVEs) eingespielt ist.

Hilft ein Sicherheits-Plugin oder der Wartungsmodus?

Nein. Der Angriff passiert, bevor WordPress oder TYPO3 überhaupt geladen werden. Auch ein Wartungsmodus per Plugin schützt nicht, weil PHP weiterläuft. Offline nehmen musst du die Seite auf Server-Ebene, zum Beispiel per .htaccess-503 oder Passwortschutz beim Hoster.

Was mache ich mit TYPO3 10 oder älter?

TYPO3 10, 9 und älter laufen nur bis PHP 7.4. Für 7.4 gibt es vom PHP-Projekt kein offizielles Release, nur Quellcode-Backports. Du bist dann davon abhängig, ob dein Hoster einen Patch nachbaut. Langfristig hilft nur ein TYPO3-Upgrade oder ein Relaunch.

Ist meine Webflow-Website betroffen?

Webflow-Websites laufen nicht auf einem eigenen PHP-Server, den du pflegen musst. Hosting, Server-Updates und Sicherheit übernimmt Webflow. Für dich gibt es bei PHP2Shell deshalb nichts zu patchen.

Muss ich einen Angriff melden?

Wenn personenbezogene Daten betroffen sind, ist eine Datenpanne nach Art. 33 DSGVO in der Regel binnen 72 Stunden an die zuständige Aufsichtsbehörde zu melden. Das ist keine Rechtsberatung, im Zweifel hol dir juristischen Rat.

Quellen

• BSI, Cyber-Sicherheitswarnung zu PHP2Shell vom 21.10.2026
• php.net, offizielle Release-Hinweise zu PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12
• Help Net Security, 21.10.2026
• The Hacker News
• Greenbone
• Dr. Web
• IT-Business/dpa

Wir helfen dir

Du hast gemerkt, dass deine Seite betroffen ist, und brauchst Hilfe? Egal ob beim PHP-Update, beim TYPO3-Upgrade, beim Relaunch oder beim Umzug zu Webflow: Wir kümmern uns kurzfristig darum. Buch dir ein kostenloses Erstgespräch, frag dein Projekt direkt an oder schreib uns über die Kontaktseite.