php2shell: Die sicherste PHP-Zeile ist die, die gar nicht läuft

Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Patches für zwei kritische Sicherheitslücken veröffentlicht, die ihre Entdecker «php2shell» getauft haben (CVE-2026-109618 und CVE-2026-109619). Sie sind mit 9.2 von 10 Punkten bewertet (CVSS v4.0) und lassen sich aus der Ferne und ohne Login ausnutzen. In einer bereits demonstrierten Variante genügt dafür eine einzige Anfrage, noch bevor überhaupt eine Zeile WordPress-, Joomla- oder Drupal-Code läuft.

Sicherheitsforscher Kevin Beaumont spricht von «einer der grössten Schwachstellen seit Jahren». Das britische NCSC rät, Systeme, die nicht sofort aktualisiert werden können, vom Netz zu nehmen.

Was passiert ist

• Der Fehler steckt im PHP-Kern selbst und nicht in einem Plugin oder Theme. Laut Wiz Research ist jede PHP-Version der letzten zehn Jahre von mindestens einer der beiden Lücken betroffen, zurück bis PHP 5.4.
• Wiz hat Remote Code Execution ohne Login gegen aktuelle WordPress-, Drupal- und Joomla-Installationen demonstriert. Zusätzlich lässt sich Server-Speicher auslesen, in dem Passwörter, Tokens und API-Schlüssel liegen können.
• Die Details sind vor dem Patch geleakt. Amazon hat bereits am 17. Oktober einen Ausnutzungsversuch registriert, vier Tage vor der offiziellen Veröffentlichung.

Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter wird vom PHP-Projekt offiziell nicht mehr unterstützt. Hier helfen nur ein Upgrade oder ein Backport des Hosting-Anbieters.

Das eigentliche Problem: die Website, um die sich niemand kümmert

Wer mit KMU-Websites zu tun hat, kennt das Bild: Die Seite wurde vor sieben Jahren von einer Agentur aufgesetzt. Sie läuft auf einem günstigen Shared-Hosting-Paket. Das WordPress-Theme wurde seither nicht mehr angefasst, und auf die Frage «Welche PHP-Version läuft bei euch eigentlich?» folgt ein Schulterzucken.

Genau diese Websites werden jetzt zum Risiko. Meist sind ihre Betreiber nicht nachlässig, es fühlt sich schlicht niemand zuständig. Sicherheitsexperte Hal Pomeranz verweist auf unzählige Installationen, «die nie gepatcht werden».

Ein Angriff trifft dabei mehr als die Website. Wer Code auf dem Server ausführen kann, kann Besucher auf Phishing-Seiten umleiten, Schadsoftware verteilen, Formulardaten abgreifen oder im Namen des Unternehmens Spam versenden. Für ein KMU heisst das schnell: Warnhinweis bei Google, gesperrtes Hosting, Datenschutzvorfall.

Braucht meine Website überhaupt PHP?

Die allermeisten KMU-Websites brauchen es nicht.

Die Website einer Schreinerei, einer Physiotherapie-Praxis oder eines Treuhandbüros zeigt Leistungen, Referenzen, Öffnungszeiten und ein Kontaktformular. Sie muss bei einem Besuch nichts berechnen. Trotzdem startet bei jedem Seitenaufruf ein PHP-Prozess, fragt eine Datenbank ab und baut daraus HTML zusammen. Dazu gehört die ganze Angriffsfläche: PHP selbst, das CMS, Dutzende Plugins, die Datenbank und das Admin-Login.

Das ist, als würde man für jeden Interessenten die Visitenkarte frisch drucken lassen und dafür die Druckerei rund um die Uhr unverschlossen lassen.

Natürlich gibt es Fälle, in denen serverseitiger Code nötig ist: ein Online-Shop, ein Kundenportal, komplexe Buchungslogik. Dann gehört er professionell betrieben und laufend gepflegt. Für die Mehrheit der KMU-Websites ist PHP aber ein Risiko ohne Gegenwert.

Wie Revivra das Problem an der Wurzel löst

Mit Revivra modernisieren wir genau solche Websites. Sie geben die bestehende URL ein und beantworten ein paar Fragen zum gewünschten Design. Wenige Minuten später steht ein neu gestalteter Auftritt auf Basis Ihrer bestehenden Inhalte. Mit Blick auf php2shell zählen vor allem diese Punkte:

1. Revivra erzeugt statische Websites aus reinem HTML, CSS und JavaScript, die einmal gebaut werden. Es gibt kein PHP, keine Datenbank und keine Plugins. Beim Seitenaufruf läuft kein Server-Code, den man ausnutzen könnte, deshalb betrifft eine Lücke wie php2shell eine Revivra-Website nicht.
2. Die Seiten kommen direkt aus der Infrastruktur von Cloudflare (Object Storage und Edge-Netzwerk). Sie müssen keinen Webserver verwalten. Es gibt keinen Shared-Hosting-Server mit mod_php oder PHP-FPM, kein cPanel und kein Admin-Login auf Ihrer Website, das rund um die Uhr Brute-Force-Angriffe abbekommt. Statische Seiten vom Edge laden ausserdem schnell, was Besuchern und Google gleichermassen gefällt.
3. Kontaktformulare laufen über einen separaten, von uns betriebenen Dienst. Neben Ihren Seiten liegt also kein kontakt.php, wie man es auf unzähligen alten Websites findet.
4. Um Updates kümmern wir uns. Revivra ist Managed Hosting: Sie bekommen keine «Bitte aktualisieren Sie Ihre PHP-Version»-Mail vom Hoster, spielen kein Plugin-Update-Roulette und bezahlen keine Agenturstunden für Sicherheits-Patches.
5. Bearbeiten bleibt trotzdem einfach. Inhalte passen Sie im Revivra-Editor an, danach wird die Website neu gebaut und veröffentlicht. Code brauchen Sie dafür nicht.
6. Für Agenturen gibt es White Label. Wer Dutzende Kundenwebsites auf PHP betreut, muss diese Woche ohnehin jede einzelne anfassen. Mit Revivra lassen sie sich unter eigener Marke auf eine wartungsarme, statische Basis bringen, statt beim nächsten kritischen CVE wieder von vorne zu beginnen.

Was Sie jetzt konkret tun sollten

Läuft Ihre Website heute auf PHP, also etwa auf WordPress, Joomla, Drupal, TYPO3 oder einer Eigenentwicklung?

1. Fragen Sie heute noch nach. Lassen Sie sich von Ihrem Hoster oder Ihrer Agentur bestätigen, dass PHP auf 8.5.12, 8.4.27, 8.3.36 bzw. 8.2.35 (oder einen gepatchten Build Ihrer Distribution) aktualisiert wurde.
2. Läuft noch PHP 8.1 oder älter, ist das ein Notfall, denn dafür gibt es keinen offiziellen Support mehr. Upgraden Sie, oder stellen Sie die Seite bis dahin hinter eine Web Application Firewall bzw. nehmen Sie sie vom Netz.
3. Prüfen Sie die Schutzregeln. Cloudflare hat WAF-Regeln gegen bekannte Angriffsmuster ausgerollt, laut eigenen Angaben für alle Kunden, auch im Gratis-Plan. Viele Hoster haben serverseitig nachgezogen. Fragen Sie nach.
4. Danach lohnt sich die strategische Frage: Muss das beim nächsten Mal wieder so laufen?

Quellen

• Wiz Research: «PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet»
• Help Net Security: «PHP2Shell: Critical PHP vulnerabilities patched, update now!»
• Huntress: «Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities»