PHP2Shell: Kritische PHP-Lücke trifft tausende Websites in Österreich und der Schweiz

Am 21. Oktober 2026 wurden zwei kritische Schwachstellen im Kern von PHP öffentlich: CVE-2026-109618 und CVE-2026-109619, zusammen als „PHP2Shell" bekannt und mit CVSS 9.2 bewertet. Beide Lücken erlauben die Fernübernahme eines Servers ohne Zugangsdaten. Da PHP auf einem Großteil aller Websites läuft, ist potenziell jeder Webauftritt betroffen.

Was ist PHP2Shell?

PHP2Shell bezeichnet zwei kritische Lücken im PHP-Kern, die Angreifern die vollständige Fernübernahme eines Servers ermöglichen — ganz ohne Zugangsdaten. Sicher sind die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Alles darunter sowie die End-of-Life-Zweige 8.1 und älter gelten als betroffen.

Kostenlos prüfen: Ist Ihre Website betroffen?

Ob Ihre eigene Website verwundbar ist, können Sie ab sofort kostenlos auf unserer neuen Plattform prüfen: php.risikomonitor.com. Aus Datenschutzgründen wird der Status einer Domain nur dem Inhaber angezeigt — bestätigt wird per E-Mail an derselben Domain.

Die Plattform zeigt zusätzlich ein live aktualisiertes Lagebild zur Verbreitung der Lücke in Österreich und der Schweiz, aufgeschlüsselt nach Bundesland und Kanton, sowie Lageberichte als PDF zum Download. Gemessen wird rein passiv: Es werden ausschließlich öffentlich mitgesendete Server-Kopfzeilen gelesen — kein Pentest, kein Exploit, keine Einzelveröffentlichung.

Betroffen? Was tun?

• PHP aktualisieren auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 (oder vom Hoster aktualisieren lassen).
• Kein sofortiges Update möglich: WAF- beziehungsweise Cloudflare-Schutz aktivieren und die Logs prüfen.
• `expose_php = Off` setzen, damit der Server seine Version nicht mehr öffentlich verrät.

Jetzt prüfen: php.risikomonitor.com — kostenlos, ohne Registrierung, Ergebnis nur für den Domain-Inhaber.