PHP2Shell – kritische Sicherheitslücken in PHP

PHP2Shell bezeichnet zwei schwerwiegende Sicherheitslücken in PHP, der Software, auf der WordPress auf deinem Server läuft. Ein Update von WordPress oder Plugins behebt das Problem nicht. Der Hosting-Anbieter muss PHP aktualisieren, und du solltest nachsehen, ob er das (bereits) gemacht hat.

WordPress-Websites laufen unter PHP, daher bist du, wenn du eine Website mit WordPress (oder Drupal, Joomla…) betreibst, betroffen. Stunden nachdem bekannt wurde, dass PHP kritische Sicherheitslücken aufweist, behob das PHP-Team die Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619), die beide mit 9,2 von 10 bewertet wurden.

Sie ermöglichen es einem Unbekannten, eine speziell gestaltete Anfrage an deine Website zu senden und eigenen Code auf dem Server auszuführen – ein Passwort ist dafür nicht erforderlich. Die Forscher, die diese Schwachstellen entdeckt hatten, demonstrierten, dass der Angriff auf einer Standard-WordPress-Installation funktionierte. Details dazu wurden gestern bekannt, und da ging es auch schon los mit Angriffsversuchen.

Da es kein WordPress-Problem ist, kannst du in WordPress auch nichts tun, um die Sicherheitslücke zu schließen. Das muss der Hoster machen. Selbst kann man nur den Zugang zur Website komplett sperren, über .htaccess, indem man die PHP-Ausführung komplett unterbindet, allerdings mit 403, komplettem Zugangsverbot.

<FilesMatch "\.(?i:php\d*|phtml|phar|pht|phps)$">
    Require all denied
</FilesMatch>

eleganter (503 – vorübergehende Sperre mit Maintenance-Hinweis – die HTML-Datei sollte dann auch geben)

RewriteEngine On
RewriteCond %{REQUEST_URI} !^/maintenance\.html$
RewriteRule ^ - [R=503,L]
ErrorDocument 503 /maintenance.html
Header always set Retry-After "86400"

für nginx

return 503;

Auch den Eintrag

define( 'WP_MAX_MEMORY_LIMIT', '-1' );

oder .user.ini / php.ini (PHP als CGI/FPM) mit

session.upload_progress.enabled = 0

oder (wenn PHP als Apache-Modul läuft (mod_php)

php_flag session.upload_progress.enabled off

hab‘ ich schon gesehen, doch der totale Shutdown ist sicherer. Die letzten beiden Maßnahmen sind nur eine Teilmaßnahme gegen die zweite Lücke (CVE-2026-109619),

Bin ich (noch) betroffen? – Schau am besten im Administrationsmenü unter Werkzeuge in den Website-Zustand und öffne das Tab „Bericht“. Unter „Server“ wird dir in der 3. Zeile die PHP-Version angezeigt. Weniger als 8.2 ist schlecht, denn dafür gibt es keinen Patch, also unbedingung auf eine aktuellere Version (8.3, 8.4 oder 8.5) umstellen. Die upgedatete Version von PHP 8.2 ist 8.2.35. Das heißt, das Sicherheitsupdate ist drin.

PHP 8.3.36 ist sicher, 8.4.27 und 8.5.12.

Wer noch PHP 8.1 aktiv hat sollte unbedingt auf eine höhere Version umstellen!

Seit ca. 15:30 stehen aktualisierte PHP-Versionen zum Download bereit. Viele Webhoster sind bereits dabei, ihre Server zu aktualisieren, doch es dauert seine Zeit, bis sie alle damit durch sein werden.