# Die PHP-Sicherheitslücke einfach erklärt

> Die PHP-Lücke einfach erklärt: was PHP ist, was bei PHP2Shell schiefläuft, was die Fachbegriffe bedeuten und was Website-Betreiber jetzt tun sollten.

Quelle: https://phpsos.de/blog/php-luecke-einfach-erklaert/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Die PHP-Lücke einfach erklärt: PHP ist die Software auf dem Webserver, die Websites in dem Moment zusammenbaut, in dem jemand sie aufruft. Bei PHP2Shell räumt PHP in bestimmten Ausnahmefällen nicht sauber auf, und genau das können Angreifer ausnutzen, um ohne Passwort eigene Befehle auf dem Server auszuführen. Abhilfe schafft ein Update von PHP mit anschließendem Neustart, das in der Regel Ihr Hoster oder Dienstleister einspielt.

## Warum gerade alle über PHP reden

In den Nachrichten war von einer „kritischen Sicherheitslücke“ die Rede, Behörden nahmen Websites vom Netz, das BSI warnte mit Stufe Orange. Für viele Inhaber und Mitarbeitende klingt das bedrohlich und zugleich unverständlich. Was ist PHP, und warum betrifft das ausgerechnet die eigene Firmenwebsite?

Dieser Beitrag erklärt die Lage ohne Fachchinesisch. Wer danach tiefer einsteigen möchte, findet die technische Einordnung unter [Was ist PHP2Shell?](https://phpsos.de/php2shell/was-ist-php2shell/).

## Was PHP eigentlich macht: ein Bild aus dem Alltag

Stellen Sie sich Ihre Website wie ein Restaurant vor. Der Gast ist der Besucher, die Bestellung ist der Seitenaufruf. PHP ist die Küche: Sie nimmt jede Bestellung entgegen, holt die Zutaten aus dem Lager, also der Datenbank, und richtet den Teller an, also die fertige Seite.

Damit es schnell geht, hat die Küche mehrere Köche, die nacheinander viele Bestellungen abarbeiten. Fachleute nennen sie „Worker“. Nach jeder Bestellung soll der Arbeitsplatz vollständig aufgeräumt werden, bevor die nächste kommt.

Auf PHP laufen sehr viele bekannte Systeme: WordPress, Shopware, TYPO3, Joomla, Nextcloud und unzählige Eigenentwicklungen. Wie PHP grundsätzlich funktioniert, erklärt der Beitrag [Was ist PHP?](https://phpsos.de/php/was-ist-php/).

## Die PHP-Lücke einfach erklärt: was bei PHP2Shell schiefläuft

PHP2Shell besteht aus zwei Fehlern. Beide haben mit dem Aufräumen zu tun, und beide treten nur in Ausnahmesituationen auf.

**Der erste Fehler (CVE-2026-109618):** Manchmal geht der Küche mitten in der Zubereitung der Platz aus. Fachleute sagen „Out of Memory“, der Speicher ist voll. Dann wird die Arbeit abgebrochen, während die Bestellung erst halb vorbereitet ist. Beim anschließenden Aufräumen hält PHP unfertige Dinge irrtümlich für fertig.

**Der zweite Fehler (CVE-2026-109619):** Nach einer Bestellung bleibt etwas auf dem Arbeitsplatz liegen, das eigentlich schon weggeräumt sein sollte. Die nächste Bestellung beim selben Koch kann darauf zugreifen, bevor es entfernt wird.

In beiden Fällen gilt: Wer genau weiß, wie er diese Ausnahmesituation herbeiführt, kann die Küche dazu bringen, Dinge zu tun, die nie bestellt wurden. Im schlimmsten Fall übernimmt er die Kontrolle über den Server. Ein Passwort braucht er dafür nicht. Wie eine Anfrage in PHP Schritt für Schritt verarbeitet wird, beschreibt der Beitrag zum [Request-Lebenszyklus](https://phpsos.de/php/request-lebenszyklus/).

> **Tipp:**
> Sie müssen die Technik nicht verstehen, um richtig zu handeln. Entscheidend ist eine einzige Frage an Ihren Hoster oder Dienstleister: Ist PHP auf unserem Server aktualisiert und neu gestartet, und können Sie das schriftlich bestätigen?

### Die wichtigsten Begriffe auf einen Blick

| Begriff | Einfach erklärt |
|---|---|
| PHP | Software auf dem Server, die Webseiten beim Aufruf zusammenbaut |
| Sicherheitslücke | ein Fehler, den Fremde ausnutzen können |
| CVE-Nummer | weltweit eindeutige Kennnummer einer Sicherheitslücke |
| CVSS 9.2 | Schweregrad auf einer Skala bis 10; 9.2 gilt als kritisch |
| Remote Code Execution | Fremde können aus der Ferne eigene Befehle auf dem Server ausführen |
| Shell | Befehlszeile, mit der sich ein Server steuern lässt |
| Patch | Update, das den Fehler behebt |
| Backport | Korrektur, die in eine ältere Version eingebaut wird, ohne die Versionsnummer zu ändern |
| Neustart | alte PHP-Prozesse beenden, damit die korrigierte Version tatsächlich arbeitet |

## Warum Update, Neustart und Prüfung zusammengehören

Bleiben wir beim Restaurant. Das Update ist eine neue Arbeitsanweisung für die Küche: So wird künftig aufgeräumt. Nur arbeiten die Köche, die gerade in der Schicht sind, noch nach der alten Anweisung weiter. Erst wenn die Schicht wechselt, gilt die neue. Genau das ist der Neustart: Alle alten PHP-Prozesse werden beendet, neue starten mit der korrigierten Version. Ohne Neustart liegt das Update zwar auf dem Server, wirkt aber nicht.

Und noch etwas zeigt das Bild. Eine neue Arbeitsanweisung verhindert künftige Pannen, sagt aber nichts darüber, ob in den Tagen davor jemand unbemerkt in der Küche war und etwas versteckt hat. Deshalb gehört nach dem Update eine Prüfung auf Spuren dazu, besonders wenn der Server in der Zeit zwischen dem 17. Oktober und dem Update erreichbar war.

## Was Sie jetzt tun sollten: drei typische Ausgangslagen

Was zu tun ist, hängt davon ab, wo Ihre Website liegt.

1. **Ihre Website liegt bei einem Hoster (Shared Hosting).** Der Hoster spielt das PHP-Update in der Regel ein. Ihre Aufgabe: eine schriftliche Bestätigung einholen und im Kundenmenü prüfen, ob eine aktuelle PHP-Version eingestellt ist. Was sonst noch Ihre Aufgabe ist, steht unter [Shared Hosting: Was der Hoster macht und was Sie tun müssen](https://phpsos.de/server/shared-hosting/).
2. **Eine Agentur oder ein IT-Dienstleister betreut Ihre Website.** Fragen Sie dort nach, ob das Update eingespielt und PHP neu gestartet wurde, und bitten Sie um eine kurze Prüfung auf Auffälligkeiten.
3. **Sie haben einen eigenen Server.** Dann sind Sie selbst oder Ihre IT zuständig: PHP aktualisieren, alle PHP-Prozesse neu starten, Logs ab dem 20. Oktober sichern und auf Spuren prüfen.

In allen drei Fällen gilt: Ein Update von WordPress oder einem anderen System auf der Website schließt die Lücke nicht. Und ein Update beweist nicht, dass vorher nichts passiert ist.

## Wie hilft PHP SOS konkret?

- **Verständlich erklären:** Wir sagen Ihnen in klaren Worten, ob und wie Ihre Systeme betroffen sind.
- **Mit dem Hoster sprechen:** Auf Wunsch klären wir den Patchstand direkt mit Ihrem Hoster oder Dienstleister.
- **Aktualisieren und prüfen:** Bei eigenen Servern spielen wir das Update ein, starten PHP neu und prüfen auf Spuren.
- **Schriftlich festhalten:** Sie bekommen eine kurze Dokumentation des Stands.

Mehr dazu unter [PHP2Shell-Soforthilfe](https://phpsos.de/leistungen/php2shell-soforthilfe/).

## Fazit

PHP2Shell klingt kompliziert, die Lage ist es im Kern nicht: Die Küche Ihrer Website räumt in Ausnahmefällen nicht richtig auf, und das lässt sich ausnutzen. Das Update repariert das. Ihre Aufgabe ist, sicherzustellen, dass es eingespielt, aktiviert und belegt ist, und im Zweifel nachsehen zu lassen, ob vorher jemand in der Küche war.


## Häufige Fragen

**Was ist PHP in einfachen Worten?**  
PHP ist eine Programmiersprache, die auf dem Webserver arbeitet. Wenn Sie eine Seite aufrufen, baut PHP sie in diesem Moment zusammen, etwa mit aktuellen Produkten, Preisen oder Ihrem Warenkorb, und schickt sie an Ihren Browser.

**Ist meine Website betroffen, wenn ich WordPress nutze?**  
WordPress läuft mit PHP, deshalb ist der Server darunter möglicherweise betroffen. Ob Ihre Website gefährdet ist, hängt vom PHP-Stand auf dem Server ab, nicht von der WordPress-Version. Fragen Sie Ihren Hoster oder Dienstleister nach dem PHP-Update.

**Kann ich als Besucher einer Website gefährdet sein?**  
Die Lücke betrifft Server, nicht die Computer der Besucher. Wird ein Server übernommen, könnten Angreifer aber zum Beispiel Inhalte verändern oder Besucher auf fremde Seiten umleiten. Deshalb ist das Update für Betreiber wichtig.

**Was bedeutet der Name PHP2Shell?**  
Er beschreibt die mögliche Folge: Über PHP kann ein Angreifer im schlimmsten Fall eine Shell bekommen, also eine Art Fernsteuerung für den Server. Die offiziellen Bezeichnungen sind CVE-2026-109618 und CVE-2026-109619.

## Quellen

- [php.net: Sicherheitsmeldungen](https://www.php.net/)
- [BSI: Bundesamt für Sicherheit in der Informationstechnik](https://www.bsi.bund.de/)
- [ZDFheute: Sicherheitslücke bei PHP](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)