PHP2Shell (CVE-2026-109618 und CVE-2026-109619): Was das für WordPress- und HubSpot-Websites bedeutet
Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht, die zusammen PHP2Shell heißen. PHP betreibt einen großen Teil des Webs, darunter WordPress, Drupal, Joomla und Magento. Das Thema betrifft also fast jeden, der eine Website betreibt.
Dieser Beitrag erklärt, was hinter den beiden Lücken steckt und wer handeln muss. Er zeigt auch, warum Websites auf zentral verwalteten Plattformen wie HubSpot CMS und Vercel nichts patchen müssen, und warum wir solche Meldungen künftig häufiger sehen werden, weil KI verändert, wie Fehler gefunden werden.
Kurz gesagt: Wenn Ihre Website auf PHP läuft, das Sie oder Ihre Agentur selbst verwalten, aktualisieren Sie PHP jetzt auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder fragen Sie Ihren Hoster, ob er das schon getan hat. Läuft Ihre Website auf HubSpot CMS oder auf Vercel mit einer der offiziellen Runtimes, führt sie kein PHP aus, das Sie verwalten, und Sie müssen nichts patchen.
Was sind CVE-2026-109618 und CVE-2026-109619?
Beide sind Fehler in PHP selbst, nicht in einem Plugin oder Theme. Laut der PHP-Sicherheitsmeldung kann jede der beiden einem nicht angemeldeten Angreifer erlauben, mit präparierten HTTP-Anfragen Code auf dem Webserver auszuführen.
| CVE-2026-109618 | CVE-2026-109619 | |
|---|---|---|
| Art | Speicherfehler nach einem Out-of-Memory-Fehler | Nutzung veralteten Zustands nach freigegebenem Speicher |
| Was passiert | Geht PHP der Speicher aus, während Anfragedaten erst teilweise angelegt sind, kann die Bereinigung ungültige Daten als gültig behandeln | Interner Zustand einer Anfrage kann überleben, und die nächste Anfrage im selben Worker kann ihn nutzen |
| Schweregrad | Kritisch, CVSS-4.0-Wert 9,2 | Kritisch, CVSS-4.0-Wert 9,2 |
| Behoben in | PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 | PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
Manche Berichte nannten vor der Veröffentlichung einen Wert von 10,0. Diese Zahl stammt nicht von PHP; das PHP-Sicherheitsteam bewertet beide Lücken mit 9,2.
Wer gefährdet ist: Laut PHP jede Installation, die Web-Anfragen beantwortet, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht PHP bei mod_php.
Ältere Versionen: Der betroffene Code reicht bis PHP 5.4 zurück. PHP 8.1 und älter bekommen vom PHP-Projekt keine offiziellen Releases mehr. Das PHP-Sicherheitsteam hat minimale Quellcode-Fixes für 7.4, 8.0 und 8.1 veröffentlicht, und manche Linux-Distributionen und Anbieter mit Langzeit-Support liefern eigene Fixes.
Wird die Lücke ausgenutzt? Die Berichte gehen auseinander. Laut Tenable hat Amazon vier Tage vor der Veröffentlichung einen Versuch auf einem Honeypot beobachtet, und Sicherheitsfirmen melden seitdem Angriffe. Andere sagen, der öffentliche Exploit-Code funktioniere bei einer Standardinstallation nicht. So oder so ist PHPs eigener Rat eindeutig: Nur ein Update behebt das Problem vollständig.
Wer etwas tun muss
Handeln müssen Sie, wenn Ihre Website auf PHP läuft, das jemand speziell für Sie verwaltet:
- Ihr eigener Server, VPS oder Cloud-Rechner mit installiertem PHP
- ein Hosting-Panel wie Plesk oder cPanel, in dem Sie die PHP-Version wählen
- ein Docker-Image mit fester PHP-Version
- eine WordPress-, Drupal-, Joomla-, Magento- oder andere PHP-Website auf einer dieser Umgebungen
Was zu tun ist:
- Prüfen Sie Ihre PHP-Version. Ihr Hosting-Panel zeigt sie an, oder Sie fragen Ihren Hoster.
- Aktualisieren Sie auf eine behobene Version: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder das gepatchte Paket Ihres Anbieters.
- Starten Sie nach dem Update jeden PHP-Worker neu, damit kein alter Prozess weiterläuft.
- Unter PHP 8.1 oder älter wechseln Sie auf eine unterstützte Version, oder Sie holen sich einen zurückportierten Fix von Ihrer Distribution oder Ihrem Support-Anbieter.
- Wenn Sie nicht sofort aktualisieren können, setzen Sie die Übergangseinstellungen aus PHPs Sicherheitsmeldung. PHP sagt ausdrücklich, dass sie das Risiko senken, eine Installation aber nicht sicher machen.
Bei Managed Hosting passiert vieles davon für Sie: Viele Hoster patchen PHP einmal für alle Websites auf ihren Servern. Wenn Sie unsicher sind, fragen Sie Ihren Hoster.
Warum HubSpot-CMS- und Vercel-Websites nicht betroffen sind
PHP2Shell ist ein Fehler in PHP. Eine Website, die kein PHP ausführt, kann davon nicht betroffen sein.
HubSpot CMS: Eine HubSpot-Website führt kein PHP aus, das Sie verwalten. Seiten werden mit HubL, HubSpots eigener Template-Sprache, auf HubSpots Servern gerendert, und Serverless Functions werden in JavaScript geschrieben und laufen auf Node.js. Es gibt keine PHP-Version, die Sie prüfen müssten, und nichts, was Sie aktualisieren müssten.
Vercel: Die offiziellen Runtimes von Vercel sind Node.js, Bun, Python, Rust, Go, Ruby, Wasm und Edge, dazu eine Container-Runtime für eigenen Code. PHP gehört nicht dazu. Eine Next.js-, React- oder statische Website auf Vercel führt kein PHP aus. Haben Sie dort selbst PHP bereitgestellt, über einen Container oder eine Community-Runtime, aktualisieren Sie dieses PHP wie auf jedem anderen Server.
Dieselbe Logik gilt für andere verwaltete Plattformen, die kein PHP für Sie ausführen. Entscheidend ist nicht die Marke, sondern wer die Software unter Ihrer Website betreibt und ob dazu PHP gehört.
Solche Fehler können überall auftreten
Es wäre leicht, aus PHP2Shell eine Geschichte über eine schlechte Technologie zu machen. Das ist aber nicht die Lehre daraus. PHP ist ausgereift, weit verbreitet und wird von einem fähigen Sicherheitsteam gepflegt, das in einem koordinierten Release Fixes für vier Versionslinien und Quellcode-Fixes für ältere Versionen geliefert hat.
Jede große Codebasis hat solche Fehler: Webserver, JavaScript-Runtimes, Datenbanken, Browser und Betriebssysteme genauso. Diese beiden blieben über ein Jahrzehnt unentdeckt. Die Frage ist nicht, ob eine Plattform jemals eine kritische Lücke hat, sondern wie schnell der Fix jede Website erreicht, die ihn braucht.
Im Zeitalter der KI werden wir mehr davon sehen
Neu an PHP2Shell ist, wie die Lücken gefunden wurden. Laut The Hacker News haben Forschende von Wiz, Calif und OpenAI die Fehler gefunden und gemeldet. KI-Modelle halfen dabei, aus lange bestehenden Fehlern funktionierende Exploits zu machen, sodass ein einzelner Forscher in etwa einer Woche schaffte, wofür sonst ein Team Monate gebraucht hätte.
Das wirkt in beide Richtungen. Verteidiger können alte Fehler jetzt viel schneller finden und beheben, und davon profitieren alle. Dieselben Werkzeuge stehen aber auch Angreifern zur Verfügung, und die Zeit zwischen einem Fix und dem ersten Angriff wird immer kürzer.
Rechnen Sie also mit mehr Sicherheitsmeldungen wie dieser, für jede Technologie, nicht nur für PHP. Weniger Menschen werden fragen, ob es Fehler gibt, und mehr, wie schnell ein Fix ihre Website erreicht.
Warum zentral verwaltete Plattformen helfen
Genau hier spielen zentral verwaltete Plattformen ihre Stärke aus. Vergleichen Sie die beiden Wege, auf denen ein Fix ankommen kann:
- Eigene Instanzen: Jeder Server, jeder Hosting-Account und jeder Container hat seine eigene PHP-Version. Jede muss von jemandem geprüft, aktualisiert und neu gestartet werden: von der Betreiberin, der Agentur oder dem Hoster. Die meisten werden innerhalb weniger Tage gepatcht. Manche werden monatelang vergessen.
- Zentral verwaltete Plattformen: Der Anbieter betreibt einen Stack für alle Kunden. Wird ein Fix nötig, spielt er ihn einmal ein, und jede Website auf der Plattform hat ihn. Kunden müssen keine Versionen prüfen, keine Wartung planen und an keinen alten Staging-Server denken.
Das gilt für HubSpot CMS und Vercel, und es gilt auch für gutes Managed WordPress Hosting, das PHP für alle Kunden auf einmal patcht. Das CMS zählt weniger als die Frage, wer die Patch-Arbeit trägt und an wie viele getrennte Orte ein Fix gelangen muss.
Für ein Marketing-Team ist das ein echter Gewinn. Die Zeit, die sonst in Notfall-Patch-Tage fließt, geht stattdessen in die Website.
Was das bedeutet, wenn Sie einen Relaunch planen
Wenn Sie wegen PHP2Shell diese Woche Server geprüft haben, lohnt sich die Frage, wie viel Patch-Aufwand Ihre Website überhaupt brauchen sollte.
- Umzug zu HubSpot CMS: Unser Migrations-Assistent scannt Ihre aktuelle Website, ob WordPress, Drupal, Joomla, TYPO3 oder ein anderes CMS, und baut sie als natives HubSpot-Theme neu. Lesen Sie, wie eine Migration zu HubSpot in drei Schritten abläuft.
- Bei WordPress bleiben: transjt baut auch native WordPress-Themes ohne Page Builder, aus Figma oder einem KI-Build. Weniger bewegliche Teile machen Updates einfacher, und ein Managed Hoster hält PHP für Sie aktuell.
- Etwas Neues bauen: Ob Ihr Design aus Figma oder einem KI-Builder kommt, transjt macht daraus ein Theme auf einer zentral verwalteten Plattform.
Wofür Sie sich auch entscheiden: Aktualisieren Sie PHP heute überall, wo Sie es selbst betreiben.
Häufige Fragen
PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP, CVE-2026-109618 und CVE-2026-109619, behoben am 21. Oktober 2026. Jede der beiden kann einem nicht angemeldeten Angreifer erlauben, Code auf einem Webserver mit ungepatchter PHP-Version auszuführen.
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter bekommen kein offizielles Release; wechseln Sie auf eine unterstützte Version oder nutzen Sie einen zurückportierten Fix Ihrer Distribution oder Ihres Support-Anbieters.
Die Lücken stecken in PHP, nicht in WordPress, aber WordPress läuft auf PHP. Eine WordPress-Website ist betroffen, wenn ihr Server eine ungepatchte PHP-Version ausführt. Ein PHP-Update, oder die Bestätigung, dass Ihr Hoster es eingespielt hat, behebt das.
Eine Website auf HubSpot CMS führt kein PHP aus, das Sie verwalten: Seiten werden mit HubSpots eigener Sprache HubL gerendert, und Serverless Functions laufen auf Node.js. Es gibt keine PHP-Version, die Sie aktualisieren müssten.
Die offiziellen Runtimes von Vercel enthalten kein PHP, eine Next.js-, React- oder statische Website dort führt also kein PHP aus. Nur wenn Sie selbst PHP bereitstellen, etwa in einem Container, müssen Sie es aktualisieren.
Nur teilweise. PHP nennt Übergangseinstellungen, die das Risiko für bekannte Angriffswege senken, sagt aber, dass sie eine Installation nicht sicher machen. Nur ein Update behebt das Problem vollständig.
Sehr wahrscheinlich. KI-Werkzeuge helfen Forschenden, alte Fehler viel schneller zu finden und auszunutzen, in jeder Technologie. Am besten schützt eine Website, wie schnell Fixes sie erreichen, und genau dabei helfen zentral verwaltete Plattformen.