PHP2Shell nutzt kritische PHP-Lücken aus, Länder warnen: kostenlose WordPress-Alternative für Firmenwebsites

Am 21. Oktober 2026 veröffentlichte PHP ein Notfall-Sicherheitsupdate gegen zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619. Ohne Anmeldung genügt Angreifern eine einzige Anfrage, um beliebigen Code auf dem Server auszuführen.

Wiz Research, das die Lücken entdeckt hat, verkettete beide zu einem Exploit-Skript namens PHP2Shell und demonstrierte damit Remote Code Execution ohne Anmeldung auf den neuesten Versionen von WordPress, Drupal und Joomla (Wiz).

WordPress läuft auf PHP. Diesmal steckt der Fehler in PHP selbst, deshalb hilft es nicht, WordPress und Plugins auf den neuesten Stand zu bringen. Jede WordPress-Firmenwebsite muss handeln.

Kritische PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 und das Exploit-Tool PHP2Shell, CVSS 9.2

PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 im Überblick

Laut offizieller PHP-Sicherheitsmeldung:

Punkt	Inhalt
Kennungen	CVE-2026-109618, CVE-2026-109619
Offizielle Bezeichnung	RCE via OOM corruption, RCE via stale global state
Bewertung	CVSS 4.0, 9.2 Punkte
Folge	Remote Code Execution (RCE) ohne Anmeldung
Betroffen	Jedes PHP, das Webanfragen verarbeitet: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed
Höchstes Risiko	Apache mod_php, der Angriff greift, bevor Website-Code läuft
Behoben in	PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35
Kein offizieller Fix	PHP 8.1 und älter

CVE-2026-109618: Geht PHP der Speicher aus (OOM), kann die Verarbeitung an einer Stelle abbrechen, an der die Anfragedaten erst halb initialisiert sind. Beim späteren Aufräumen der Anfrage werden die ungültigen Daten dann als gültig verwendet.
CVE-2026-109619: Nach Ende einer Anfrage und Freigabe des Speichers bleibt ein Teil des internen Zustands erhalten. Derselbe Worker-Prozess kann diesen veralteten Zustand bei der nächsten Anfrage verwenden.

Mehrere Länder warnen, Websites gehen vom Netz

Alle Zeitangaben beziehen sich auf den 21. Oktober 2026.

CERT-EU (NL Times), das britische NCSC (Patchstack), das niederländische NCSC (Sansec) sowie Japans National Cybersecurity Office und die IPA (Impress Watch) gaben nacheinander Warnungen heraus und forderten, so schnell wie möglich zu patchen. Die EU, Großbritannien und Japan empfahlen zudem, Websites vom Netz zu nehmen, wenn sich der Patch nicht rechtzeitig einspielen lässt.

Die Angriffe haben bereits begonnen

Aus dem Live-Protokoll des WordPress-Sicherheitsunternehmens Patchstack:

07:34 UTC: Mehrere Hoster melden Angriffe auf Websites.
07:43 UTC: Der CTO von Cloudflare meldet erste beobachtete Angriffe und neu ausgerollte Firewall-Regeln.
13:52 UTC: PHP veröffentlicht die korrigierten Versionen.
13:57 UTC: Patchstack sieht weiterhin nur sondierende Angriffe und erwartet mehr, sobald Details zum Fix öffentlich sind.

Das PHP2Shell-Exploit-Tool von Wiz Research greift WordPress an, erkennt das Ziel automatisch und führt Befehle aus

Das niederländische Nationale Cyber Security Centrum (NCSC) erklärte zu diesem Zeitpunkt, noch keine tatsächlichen Angriffe bestätigt zu haben. Zum Vergleich: Nach der Veröffentlichung der PHP-Lücke CVE-2024-4577 im Juni 2024 beobachtete Akamai innerhalb von 24 Stunden Angriffsversuche (The Hacker News).

Regierungswebsites in den Niederlanden und Finnland offline

Die Website des niederländischen Parlaments (Tweede Kamer) ging vorübergehend vom Netz. Auch die Websites des Fußballclubs Fortuna Sittard, der Polizeigewerkschaft ACP, des Königlich Niederländischen Apothekerverbands KNMP und des Verkehrsunternehmens EBS sowie Teile des IT-Netzes, das niederländische Hochschulen und Forschungseinrichtungen gemeinsam nutzen, wurden abgeschaltet (NL Times).
Die Website des niederländischen NCSC selbst, die Techseite Tweakers und die Security-Nachrichtenseite Security.NL gingen offline (Sansec).
Das Identifizierungssystem DigiD und das Behördenportal MijnOverheid der niederländischen Regierung wurden ausgesetzt (Patchstack).
Valtori, das IT-Zentrum der finnischen Regierung, schaltete öffentliche Websites mehrerer Behörden ab, darunter die des finnischen Landesvermessungsamts und des Helsinki Expo and Convention Centre (Pasquale Pillitteri).

Japan: Appell von Premierministerin Takaichi am späten Abend, Notfallwartung bei pixiv, DMM und anderen

Um 21:55 Uhr japanischer Zeit schrieb Premierministerin Sanae Takaichi auf X (zitiert von Impress Watch):

皆様に、今夜に対応して頂きたい大至急のお願いです。（中略）公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

Sinngemäß: Prüfen Sie heute Abend, ob Ihre Website PHP nutzt, und spielen Sie den Patch nach seiner Veröffentlichung um 23 Uhr japanischer Zeit so schnell wie möglich ein; wer nicht rechtzeitig patchen kann, kann die Website vorübergehend abschalten.

Auch Japans National Cybersecurity Office und die IPA gaben Warnungen heraus, einige Kommunen kündigten vorübergehende Systemabschaltungen an. Im selben Bericht genannte Dienste:

Die Shop-Plattform BASE und der Kita-Dienst CoDMON gingen ab dem Nachmittag in Wartung;
pixiv, DMM.com, niconico und Sakura Internet versetzten Teile ihrer Dienste in Notfallwartung, nach 20 Uhr wurden zahlreiche Dienste ausgesetzt;
Spiele wie Granblue Fantasy und Umamusume: Pretty Derby wurden ausgesetzt.

Der WordPress-Wartungsmodus hilft nicht

Sansec weist darauf hin, dass der eingebaute Wartungsmodus von WordPress und Magento wirkungslos ist: PHP hat die Anfrage bereits geparst, bevor die Anwendung den Wartungsschalter prüft. Wirksam ist, PHP-FPM zu stoppen und den Webserver direkt eine statische Wartungsseite ausliefern zu lassen.

Für eine WordPress-Website gab es an diesem Abend also nur zwei Wege: Jemand meldet sich am Server an und aktualisiert PHP, oder die ganze Website wird abgeschaltet. Websites, um die sich niemand kümmert, blieben einfach online und warteten.

Warum WordPress-Firmenwebsites am stärksten gefährdet sind

Gegen eine Lücke auf PHP-Ebene sind WordPress-Plugins machtlos. Unter mod_php erfolgt der Angriff, bevor Website-Code läuft; Sicherheits-Plugins, CAPTCHAs und versteckte Admin-Bereiche bringen nichts. Auch Sansec sagt: Es hilft nur, PHP auf dem Server zu aktualisieren. Wer den Server nicht selbst betreibt, kann nur beim Hoster Druck machen.

Viele Server laufen noch mit PHP ohne Support. Das Sicherheitsunternehmen Mallory zählte am 20. Oktober per Shodan rund 884.000 öffentliche Hosts, deren Response-Header PHP 8.1 oder älter anzeigen, 59 % der Hosts mit sichtbarer Versionsnummer (rund 1,5 Millionen). Gezählt wurde nach Response-Header, betroffen sind also nicht zwingend alle (The Hacker News). Für diese Versionen gibt es keinen offiziellen Patch; man kann nur beim Hoster einen zurückportierten Patch anfragen oder PHP aktualisieren, und alte Themes und Plugins brechen beim Update oft.

Es kostet jedes Jahr Geld. Hosting-Verlängerung, Wartungsgebühren, Jahreslizenzen für Premium-Plugins und im Ernstfall noch die Kosten für die Bereinigung. Eine Website, die nur das Unternehmen, Leistungen, Referenzen, News und Stellenangebote zeigt, muss dauerhaft PHP + MySQL betreiben, und in Nächten wie dem 21. Oktober muss jemand den Server bewachen.

Mein Ansatz: Astro + Cloudflare / GitHub / Vercel / Netlify

Schon vor zwei Jahren habe ich aufgehört, Kunden WordPress und PHP zu empfehlen, und alle Kundenwebsites auf Astro in Kombination mit Cloudflare, GitHub, Vercel und Netlify umgezogen. Die kostenlosen Tarife dieser Plattformen reichen für eine Firmenwebsite völlig aus, das Hosting kostet keinen Cent, und das Ergebnis ist schneller, sicherer und sorgenfreier als die alte WordPress-Website.

Bei dieser PHP-Lücke mussten diese Kunden nichts unternehmen, ihre Websites waren an dem Abend ganz normal erreichbar. Mein Blog zhaojian.net ist genauso aufgebaut und in 12 Sprachen verfügbar.

So einfach geht es:

Astro erzeugt beim Build alle Seiten, online gehen nur HTML, CSS, JS und Bilder;
Der Quellcode liegt auf GitHub; Text ändern oder News hinzufügen, dann committen;
Cloudflare Pages / Vercel / Netlify bauen und veröffentlichen nach jedem Commit automatisch, nach wenigen Minuten ist alles live, die Seiten kommen über ein weltweites CDN.

Sicherer: Auf dem Server gibt es kein PHP, keine Datenbank und keine Admin-Anmeldeseite, Exploit-Tools wie PHP2Shell finden keinen Angriffspunkt. Künftige Lücken in PHP, WordPress oder Plugins betreffen die Website nicht.

Schneller: Die Seiten sind fertige Dateien und werden direkt vom CDN-Knoten ausgeliefert, der dem Besucher am nächsten liegt, schnell in Japan, China, Europa und Amerika.

Kostenlos und wartungsfrei: Kein Hosting und kein Server zu verlängern, nur die Domaingebühr bleibt. Kein Server zum Anmelden, keine Software zum Aktualisieren.

WordPress und statische Astro-Website im Vergleich

	WordPress-Website	Statische Astro-Website
Laufende Software	PHP + MySQL + Theme + Plugins	Keine, nur statische Dateien
Diese PHP-Lücke	Betroffen, nachts aktualisieren oder abschalten	Nicht betroffen
Hosting-Kosten	Jährliche Verlängerung von Hosting / Server	Kostenlos
Laufende Wartung	Regelmäßige Updates von WordPress, Plugins, PHP	Nicht nötig
Geschwindigkeit	Abhängig von Serverleistung und Caching	Direkt vom CDN
Inhalte aktualisieren	Im Admin-Bereich anmelden und bearbeiten	Automatischer Build und Deploy nach Commit
Mehrsprachigkeit	Über Mehrsprachigkeits-Plugin	Seiten je Sprache beim Build erzeugt

Funktionen, die Daten in Echtzeit lesen und schreiben, etwa Onlineshops, Mitglieder-Logins und Buchungssysteme, müssen separat geplant werden. Kontaktformulare, News, Referenzen, Stellenangebote und Mehrsprachigkeit, die typischen Funktionen einer Firmenwebsite, lassen sich mit einer statischen Website und einem externen Formulardienst umsetzen.

Schritte für die Migration von WordPress zu Astro

Bestand aufnehmen: Alle Seiten, Beiträge, Bilder und Formulare auflisten.
Inhalte exportieren: Beiträge und Seiten als Markdown exportieren, Bilder mit herunterladen.
URLs beibehalten: Die bisherigen URLs möglichst weiterverwenden, geänderte per 301-Weiterleitung umleiten, damit das Suchmaschinen-Ranking nicht fällt.
Design neu umsetzen: Das bisherige Aussehen nachbauen oder ein neues Design wählen, in beiden Fällen mobilfreundlich.
Funktionen ersetzen: Formulare auf einen externen Formulardienst umstellen, Statistiken auf eine Lösung ohne eigenen Server.
Domain umstellen: Nach erfolgreicher Prüfung die Domain auf die neue Plattform zeigen lassen und den alten Server auslaufen lassen.

Häufige Fragen

Kann PHP2Shell WordPress-Websites angreifen?

Ja. Die Lücken stecken in PHP selbst. Solange PHP auf dem Server nicht 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder eine vom Hoster gepatchte Version ist, ist der Server betroffen, unabhängig von der WordPress-Version.

Schützt der WordPress-Wartungsmodus?

Nein. PHP verarbeitet die Anfrage, bevor der Wartungsmodus greift. Entweder PHP aktualisieren oder PHP-FPM stoppen und stattdessen eine statische Wartungsseite ausliefern.

Was tun mit PHP 8.1 oder älter?

PHP liefert dafür keine Updates mehr. Fragen Sie beim Hoster nach einem zurückportierten Patch oder aktualisieren Sie auf PHP 8.2 oder neuer; sind Theme und Plugins nicht kompatibel, kommt ein direkter Umzug auf eine statische Website infrage.

Ist eine statische Website wirklich kostenlos?

Die kostenlosen Tarife von Cloudflare Pages, Vercel, Netlify und GitHub Pages reichen für eine Firmenwebsite aus. Sie zahlen nur die Domaingebühr.

Sie möchten Ihre WordPress-Website ablösen? Kontaktieren Sie mich

Melden Sie sich, wenn:

Ihre Firmenwebsite auf WordPress läuft und Sie am Abend des 21. Oktober nicht wussten, ob Sie abschalten sollen oder wer den Patch einspielt;
Ihr Server noch PHP 8.1 oder älter nutzt;
Sie jedes Jahr für Hosting, Server und Wartung zahlen;
die Person, die die Website gebaut hat, nicht mehr erreichbar ist und sich niemand darum kümmert;
Sie den japanischen oder andere Auslandsmärkte ansprechen und eine mehrsprachige Website auf Japanisch, Englisch und weiteren Sprachen brauchen.

Ich ziehe Ihre WordPress-Firmenwebsite auf eine statische Astro-Website um: schneller und sicherer, ohne jährliche Verlängerung von Hosting und Server, mit automatischem Build und Deploy nach jedem Commit und ohne dass Sie jemanden für die Wartung brauchen.

Kontaktieren Sie mich über WeChat (757118) oder X (@zhaoJianNet), beides auf meiner Über-mich-Seite. Schicken Sie mir die Adresse Ihrer Website und Ihre Anforderungen, und ich mache Ihnen einen konkreten Migrationsvorschlag.