Kritische Sicherheitslücke CVE-2026-109618 · CVSS 9.2

Angreifer brauchen
kein Passwort mehr.

PHP2Shell (CVE-2026-109618 / CVE-2026-109619, CVSS 9.2) ermöglicht die vollständige Serverübernahme ohne Authentifizierung — und betrifft alle PHP-Versionen seit 2004. WordPress, WooCommerce, Shopware, Magento: alle potenziell betroffen. Ich helfe Ihnen noch heute.

Kostenlose Erstberatung anfragen Was bedeutet das für mich? ↓
Antwort noch heute
Kostenlose Erstberatung
Mittwald-Hosting (ISO 27001)
Keine Bindung

Was ist passiert?

· BSI Warnstufe Rot · Verifiziert durch php.net, Sansec, CERT-EU

Eine Lücke im Herz
des Internets

PHP ist die Programmiersprache hinter rund 78 % aller Websites weltweit — darunter WordPress, WooCommerce, Shopware, Magento, Joomla und TYPO3. Am 21. Oktober 2026 wurden zwei kritische PHP-Schwachstellen veröffentlicht, die zusammen als „PHP2Shell" (CVE-2026-109618 und CVE-2026-109619) bekannt sind.

Das Besondere an dieser PHP Sicherheitslücke 2026: Sie steckt nicht in einer bestimmten Shop-Software oder einem Plugin, sondern im PHP-Interpreter selbst — der Schicht, auf der alles aufbaut. Das bedeutet: Sie greift, bevor Ihr CMS, Ihre Sicherheits-Plugins oder Web Application Firewalls überhaupt reagieren können. Sansec-Forscher, die die Lücke entdeckten, nannten es eine der gefährlichsten PHP-Schwachstellen der letzten zehn Jahre.

Ein Angreifer kann damit beliebigen Code auf Ihrem Server ausführen — ohne Login, ohne Passwort, ohne jede Authentifizierung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die höchste Warnstufe ausgerufen. Die Sicherheitsforscher von Sansec erwarteten Massenangriffe innerhalb von 15 Minuten nach Veröffentlichung der technischen Details. PHP 8.1, 8.0, 7.x und 5.x erhalten keinen offiziellen Sicherheitspatch — betroffene Websites müssen auf PHP 8.2 oder neuer migriert werden.

9.2 / 10
CVSS v4.0 — Kritisch
CVEs CVE-2026-109618
CVE-2026-109619
Name PHP2Shell
Typ Remote Code Execution (RCE) — kein Login nötig
Betrifft PHP 5.4 und neuer (alle Versionen seit ~2004)
Patch PHP 8.2+ behoben · PHP 8.1 und älter: kein offizieller Patch
Quelle BSI, Sansec Research, php.net

30-Sekunden-Check

Bin ich betroffen?

Prüfen Sie in Sekunden, ob Ihre Website und Ihr Hosting-Setup zur Risikogruppe gehören.

Läuft Ihre Website auf einer dieser Plattformen?
WordPress
WooCommerce
Shopware 5 / 6
Magento 1 / 2
Joomla
TYPO3
Contao
Eigene PHP-App

Wenn Sie eine dieser Plattformen nutzen, läuft Ihre Website auf PHP — und damit ist sie potenziell von PHP2Shell betroffen. Kein CMS-Update schützt Sie vor dieser Lücke.

Welche PHP-Version nutzt Ihr Server?
PHP 5.x Kein Patch · Dringend updaten
PHP 7.0–7.4 Kein Patch · Dringend updaten
PHP 8.0 Kein Patch · Dringend updaten
PHP 8.1 Kein offizieller Patch · Upgrade nötig
PHP 8.2 Patch verfügbar — sofort einspielen
PHP 8.3 Patch verfügbar — sofort einspielen
PHP 8.4 Patch verfügbar — sofort einspielen
Wissen Sie nicht, welche PHP-Version Ihr Server nutzt? Viele Hoster zeigen es im Control Panel unter „PHP-Version" oder ähnlichem an. Falls Sie es nicht finden — schreiben Sie mir kurz, ich schaue es mir für Sie an. Kostenlos.

Ihre Situation

Was brauchen Sie jetzt?

Jede Situation ist anders. Sagen Sie mir, wo Sie stehen — ich zeige Ihnen den richtigen Weg.

Meine Website wurde gehackt
oder ich vermute einen Angriff
  • Unbekannte Dateien auf dem Server
  • Spam-Mails von meiner Domain
  • Google zeigt eine Sicherheitswarnung
  • Die Website sieht verändert aus
  • Unbekannte Benutzerkonten im CMS
Jetzt Notfall-Hilfe anfragen
Ich bin unsicher, ob ich betroffen bin
Prävention & Security-Audit
  • Website läuft noch normal
  • PHP-Version unbekannt oder alt
  • Hosting selbst oder über Agentur
  • Kein aktuelles Backup
  • Sicherheitslage noch nicht geprüft
Security-Check anfragen
Ich brauche eine neue Website
Neustart auf sicherem Fundament
  • Alte oder veraltete Website
  • PHP-Version nicht mehr pflegbar
  • Schlechtes SEO oder mobiles Design
  • Wunsch nach modernem Auftritt
  • Sicherheit von Grund auf neu denken
Neue Website anfragen

Meine Leistungen

Direkte Hilfe. Transparente Preise.

Ob Notfall, Prävention oder Neuanfang — ich begleite Sie sicher durch jeden Schritt.

Notfall-Bereinigung
Für gehackte oder kompromittierte Websites — schnellstmögliche Reaktion
  • Vollständiger Malware-Scan des Servers
  • Entfernung von Backdoors & Schadcode
  • Server-Härtung & Zugangsabsicherung
  • Forensik: Wie kam der Angreifer rein?
  • Schriftliches Protokoll aller Maßnahmen
  • PHP-Update auf 8.4 (wenn möglich)
Ab
Auf Anfrage
Je nach Umfang
Security-Audit
Präventive Prüfung — für alle, die wissen wollen, ob sie betroffen sind
  • PHP-Versions-Check & Schwachstellen-Scan
  • Schriftlicher Sicherheitsbericht
  • Konkreter Update- & Handlungsplan
  • Hoster-Kommunikation bei Bedarf
Ab
€ 149
Einmalig
PHP-Update Service
Sicheres Upgrade auf PHP 8.4 — mit Kompatibilitätstests & Live-Migration
  • Kompatibilitätscheck aller Plugins/Themes
  • Testumgebung vor dem Live-Go
  • Migration ohne Website-Ausfallzeit
  • 4 Wochen Nachbetreuung
Ab
€ 199
Einmalig
Neue Website
Individuelles Design & Entwicklung auf PHP 8.4+ — schnell, sicher, SEO-optimiert
  • Individuelles Design (kein Template)
  • Mobile-optimiert & schnell
  • On-Page SEO & Google-Basis
  • 1 Monat kostenloser Support
Ab
€ 499
Einmalig

Warum DAVIDAVINCI

Ein Ansprechpartner.
Kein Callcenter.

Ich bin David Bartel — Webdesigner und -entwickler aus Espelkamp. Kein Konzern, kein Ticket-System. Sie schreiben mir direkt, und ich antworte.

Vertrauen mir bereits
AllMerus Energy Winter Ehegatten MR Reisebüro PEQUS Mousti-Click
Klartext statt IT-Kauderwelsch
Ich erkläre Ihnen genau, was los ist — verständlich, ehrlich, ohne Fachsprache.
Antwort am selben Tag
Keine Warteschlangen. Ich melde mich noch heute — bei Notfällen so schnell wie möglich.
Kein Vendor Lock-in
Sie bekommen alles in die Hand: Zugänge, Code, Dokumentation. Keine Abhängigkeiten.
Mittwald-Hosting (ISO 27001)
Klimaneutraler, DSGVO-konformer Server in Deutschland — von Anfang an sicher aufgestellt.

So läuft es ab

Von der Anfrage zur Lösung

Nachricht schreiben
Sie schildern mir kurz Ihre Situation — per E-Mail, in wenigen Sätzen. Noch heute.
Erstgespräch
Ich melde mich am selben Tag. Wir klären 15 Minuten lang: Was ist passiert? Was brauchen Sie?
Umsetzung
Bereinigung, Update oder neue Website — ich setze um, was Ihre Situation wirklich braucht.
Nachbetreuung
1 Monat kostenloser Support nach Abschluss. Damit Sie wissen, dass wirklich alles stimmt.

Verfasst von

David Bartel

Webentwickler & Designer · DAVIDAVINCI · Espelkamp

Ich entwickle und betreue Websites für kleine und mittlere Unternehmen — mit Fokus auf Sicherheit, Geschwindigkeit und Auffindbarkeit in Google. Die PHP2Shell-Schwachstelle habe ich seit ihrer Veröffentlichung aktiv verfolgt und helfe Betroffenen dabei, ihre Infrastruktur schnell und sicher zu bereinigen.

Espelkamp, Deutschland · hello@davidavinci.de ·

Häufige Fragen

Was Sie wissen wollen

CVE-2026-109618 und CVE-2026-109619 sind zwei kritische Sicherheitslücken im PHP-Interpreter selbst, zusammen bekannt als „PHP2Shell". Sie ermöglichen einem Angreifer die vollständige Serverübernahme ohne Login (Remote Code Execution). Mit einem CVSS-Score von 9.2 gelten sie als eine der schwerwiegendsten PHP-Schwachstellen aller Zeiten — entdeckt und veröffentlicht am 21. Oktober 2026.
Ja. WordPress, WooCommerce, Shopware, Magento, Joomla und TYPO3 laufen alle auf PHP — und sind damit potenziell betroffen. Die Lücke liegt nicht in der CMS-Software selbst, sondern im darunterliegenden PHP-Interpreter. Selbst ein vollständig aktuelles WordPress schützt nicht, wenn PHP veraltet ist.
Angreifer können beliebigen Code auf Ihrem Server ausführen: Kundendaten stehlen, Ihre Website für Spam oder Phishing missbrauchen, unsichtbare Hintertüren einbauen, Ihren Server in ein Bot-Netz einbinden oder alle Daten löschen. Google kann Ihre Website als gefährlich markieren und dauerhaft aus dem Suchindex entfernen.
Wenn Ihr Server PHP 8.2 oder neuer verwendet, können Sie das Sicherheitsupdate über Ihren Hoster einspielen lassen — viele Hoster stellen es im Control Panel bereit. Bei PHP 8.1 und älter gibt es keinen offiziellen Patch: hier ist ein Upgrade auf PHP 8.2 oder neuer erforderlich, was technisches Wissen und sorgfältige Kompatibilitätsprüfungen voraussetzt.
Der Aufwand hängt vom Ausmaß des Angriffs ab. Ich mache keine Pauschalpreise auf gut Glück — nach einer kostenlosen Erstberatung bekomme ich ein genaues Bild Ihrer Situation und unterbreite Ihnen ein transparentes Angebot. Ein Security-Audit zur präventiven Prüfung beginnt ab 149 €.
Eine erste Einschätzung und Sofortabsicherung ist oft am selben Tag möglich. Eine vollständige Bereinigung inkl. Forensik, Härtung und Neuaufsetzen kritischer Bereiche dauert typischerweise 1–3 Arbeitstage, je nach Komplexität Ihrer Umgebung.
PHP 8.1 und alle älteren Versionen erhalten keinen offiziellen Sicherheitspatch für PHP2Shell. Der einzig wirksame Schutz ist ein Upgrade auf PHP 8.2 oder neuer mit dem aktuellen Patch — ich begleite dieses Upgrade sorgfältig: Kompatibilitätsprüfung, Testumgebung, und Live-Migration mit minimalen Ausfallzeiten.
Nein. Die Lücke liegt im PHP-Interpreter, nicht in WordPress. Ein WordPress- oder Plugin-Update schließt CVE-2026-109618 nicht. Sie benötigen ein PHP-Versionsupdate auf Server-Ebene — das führt typischerweise Ihr Hoster durch, oder ich unterstütze Sie dabei.
Mögliche Anzeichen: unbekannte Dateien im Website-Verzeichnis, Spam-E-Mails, die von Ihrer Domain verschickt werden, eine Google-Warnung „Diese Website könnte schädlich sein", eine veränderte oder defekte Website, unbekannte Benutzerkonten im CMS, oder stark erhöhter Servertraffic. Wenn Sie unsicher sind: schreiben Sie mir — ich helfe Ihnen bei der Einschätzung.
Nur begrenzt. PHP2Shell greift im PHP-Interpreter an — vor dem Anwendungscode und vor den meisten WAFs. Sicherheitsforscher von Sansec haben bestätigt, dass diese Lücke Firewalls umgeht. Der einzig sichere Schutz ist das PHP-Versionsupdate mit dem offiziellen Sicherheitspatch.

Warten kostet Zeit —
und Daten.

Schreiben Sie mir jetzt. Ich melde mich noch heute und sage Ihnen ehrlich, was Ihre Situation wirklich braucht.

E-Mail schreiben Alles über die Lücke ↑

hello@davidavinci.de · Espelkamp · Antwort heute noch