Kurz gesagt: Ein großer Teil der verbreiteten Content-Management-Systeme (CMS) und Shopsysteme ist in PHP geschrieben, darunter WordPress mit WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento beziehungsweise Adobe Commerce und PrestaShop. Hinzu kommen interne Anwendungen wie Nextcloud, Moodle, MediaWiki und Matomo. Wer eines dieser Systeme betreibt, ist von Lücken im PHP-Interpreter wie PHP2Shell betroffen, egal wie aktuell das CMS selbst ist.
Warum so viele Websites auf PHP laufen
PHP ist seit den 1990er-Jahren auf Webserver zugeschnitten und bei praktisch jedem Webhoster verfügbar. Ein CMS auf PHP-Basis lässt sich deshalb ohne eigene Serverinfrastruktur betreiben, was gerade für kleine und mittlere Unternehmen, Vereine und Behörden attraktiv war und ist.
Für Betreiber bedeutet das: Die Website ist nicht nur „WordPress“ oder „Shopware“, sondern ein Stapel aus mehreren Schichten. Unten läuft das Betriebssystem, darüber der Webserver, dann der PHP-Interpreter und ganz oben das CMS mit Erweiterungen. Jede Schicht braucht eigene Updates. Eine Lücke in PHP trifft alle Systeme, die darauf aufbauen.
Hinzu kommen Erweiterungen: Plugins, Themes, Module und Shop-Schnittstellen sind ebenfalls PHP-Code, oft von kleinen Anbietern. Sie laufen mit denselben Rechten wie das CMS und werden von derselben PHP-Laufzeit ausgeführt. Ein CMS mit vielen Erweiterungen hat deshalb eine größere Angriffsfläche als eine schlanke Installation, auch wenn der Kern aktuell ist.
Zahlen zur Verbreitung einzelner Systeme lassen wir hier weg. Es gibt dafür keine Quelle, die wir als verlässlich und vergleichbar einstufen.
Verbreitete CMS und Shopsysteme auf PHP-Basis
Die Tabelle nennt bekannte Systeme und das, was die Hersteller selbst über ihre technische Basis sagen. Versionsanforderungen nennen wir bewusst nicht, weil sie sich mit jedem Release ändern.
| System | Art | Hinweis zur technischen Basis |
|---|---|---|
| WordPress, WooCommerce | CMS, Shop-Erweiterung | PHP-Anwendung, MySQL oder MariaDB laut Anforderungen |
| TYPO3 | CMS | braucht laut Doku Webserver, PHP und SQL-Datenbank |
| Joomla | CMS | PHP mit MySQL, MariaDB oder PostgreSQL |
| Drupal | CMS | PHP; Erweiterungen des Kerns in core/composer.json |
| Contao | CMS | laut Hersteller auf dem Symfony-Full-Stack-Framework |
| Craft CMS | CMS | Hersteller nennt Yii unter den eingesetzten Werkzeugen |
| Shopware 6 | Shop | Entwicklerdoku behandelt Plugins als Symfony-Bundles |
| Magento Open Source, Adobe Commerce | Shop | PHP und Composer in den Systemanforderungen |
| PrestaShop | Shop | PHP mit eigener Kompatibilitätstabelle |
| Nextcloud | Dateiablage | Apache mit mod_php oder PHP-FPM, Nginx mit PHP-FPM |
| Moodle | Lernplattform | laut Doku in PHP entwickelt |
| MediaWiki, Matomo | Wiki, Statistik | PHP laut Installationsanforderungen |
Viele dieser Systeme nutzen intern Bausteine aus PHP-Frameworks und laden Bibliotheken über Composer. Für die meisten haben wir eigene Seiten mit Hinweisen zur Absicherung, zum Beispiel WordPress, Shopware 6 und TYPO3.
Wie finde ich heraus, ob meine Website auf PHP läuft?
Viele Unternehmen wissen nicht genau, welche Systeme bei ihnen laufen, vor allem wenn eine Agentur die Website gebaut hat. Diese Schritte schaffen Klarheit:
- Inventar anlegen: Alle Domains, Subdomains und internen Weboberflächen auflisten, auch Testsysteme und alte Kampagnenseiten.
- Hoster oder Agentur fragen: Welches System, welche PHP-Version, welche Betriebsart (PHP-FPM, mod_php, LiteSpeed)? Bitten Sie um eine schriftliche Antwort.
- Hosting-Panel ansehen: In Plesk, cPanel und ähnlichen Oberflächen steht die PHP-Version je Website. Beachten Sie, dass Backports der Distribution die angezeigte Nummer nicht ändern.
- Auf dem Server prüfen: Admins sehen an den Prozessen und an der Konfiguration des Webservers, welche PHP-Laufzeit tatsächlich ausliefert.
- Geräte nicht vergessen: NAS-Systeme, Router und Appliances haben oft eine Weboberfläche, die ebenfalls auf PHP laufen kann.
# Auf dem Server: Welche PHP-Prozesse laufen?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Systemanforderungen ernst nehmen
Jeder Hersteller veröffentlicht, mit welchen PHP-Versionen seine Software getestet ist. Diese Angaben sind die Grundlage für jede Update-Planung: Ein PHP-Update auf eine Version, die das CMS noch nicht unterstützt, kann die Website lahmlegen. Ein CMS, das nur mit einer PHP-Version ohne Sicherheitsupdates läuft, ist ein dauerhaftes Risiko.
Prüfen Sie deshalb laut Systemanforderungen des Herstellers für Ihre exakte Version, welche PHP-Versionen in Frage kommen, und gleichen Sie das mit den behobenen PHP-Versionen ab. Für Systeme, die nur mit PHP 8.1 oder älter laufen, gibt es vom PHP-Projekt keine offiziellen Updates mehr.
Was PHP2Shell für CMS- und Shopbetreiber bedeutet
PHP2Shell besteht aus den Lücken CVE-2026-109618 und CVE-2026-109619 im PHP-Interpreter, beide mit CVSS 9.2. Sie erlauben das Ausführen von Schadcode ohne Anmeldung. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ein CMS-Update schließt diese Lücken nicht; warum, erklärt unser Beitrag Warum ein WordPress-Update gegen PHP2Shell nicht hilft.
Für Shops wiegt das besonders schwer, weil dort Kundendaten, Bestellungen und Zugangsdaten zu Zahlungs- und Versanddiensten liegen. Ein Patch entfernt außerdem keine Schadsoftware, die vorher eingeschleust wurde, und beweist nicht, dass nichts passiert ist.
Wie hilft PHP SOS konkret?
- Wir erstellen ein Inventar Ihrer PHP-basierten Websites und internen Anwendungen mit System, PHP-Version und Betriebsart.
- Wir gleichen die Herstelleranforderungen mit den behobenen PHP-Versionen ab und planen das Update je System.
- Wir spielen die PHP-Updates ein, starten alle Prozesse neu und prüfen danach, ob CMS und Shop korrekt laufen.
- Bei Verdacht auf einen Vorfall untersuchen wir das System im Rahmen der PHP2Shell-Soforthilfe.
Häufige Fragen
Läuft WordPress auf PHP?
Ja. WordPress ist eine PHP-Anwendung und braucht laut den offiziellen Anforderungen PHP sowie eine MySQL- oder MariaDB-Datenbank. Damit betreffen Lücken im PHP-Interpreter auch jede WordPress-Installation, unabhängig vom Stand von WordPress selbst.
Hilft ein CMS-Update gegen PHP2Shell?
Nein. Die Lücke liegt in PHP, nicht im CMS. Laut drweb.de plant WordPress.org deshalb auch kein eigenes Update dagegen. Geschlossen wird sie nur durch eine behobene PHP-Version und den Neustart aller PHP-Prozesse.
Wie erfahre ich, welche PHP-Version mein Shop braucht?
Aus den Systemanforderungen des Herstellers für Ihre konkrete Version. Diese Angaben ändern sich mit jedem größeren Release, deshalb sollten Sie sie direkt beim Hersteller nachlesen und nicht aus älteren Anleitungen übernehmen.
Sind auch interne Anwendungen betroffen?
Ja, wenn sie auf PHP laufen. Dateiablagen wie Nextcloud, Lernplattformen wie Moodle, interne Wikis mit MediaWiki oder Matomo für Statistiken sind PHP-Anwendungen. Sie werden bei Bestandsaufnahmen oft vergessen.
Ist eine Website ohne .php in der Adresse kein PHP?
Nicht unbedingt. Moderne Systeme leiten alle Adressen über eine zentrale index.php, sodass in der URL nie .php auftaucht. Sicher ist nur ein Blick auf den Server oder eine Auskunft von Hoster oder Agentur.