Was ist PHP2Shell?
PHP ist die Programmiersprache, auf der ein sehr großer Teil des Webs läuft. Auch WordPress, das am weitesten verbreitete Redaktionssystem, ist in PHP geschrieben, und damit jede Maklerwebsite, die darauf aufbaut. Unter dem Namen PHP2Shell wurden nun zwei Schwachstellen bekannt (CVE-2026-109618 und CVE-2026-109619), die beide mit der Höchstwertung „kritisch“ bewertet sind (9,2 von 10).
Das Gefährliche daran: Die Lücken stecken im Kern von PHP selbst, nicht in einem einzelnen Plugin oder Theme. Ein Angreifer braucht keinen Zugang und kein Passwort. Nach bisherigen Berichten genügt eine einzelne präparierte Anfrage an den Server, um dort eigenen Code auszuführen, noch bevor Ihre Website überhaupt etwas davon mitbekommt. Wer den Server so übernimmt, kann Kundendaten abgreifen, Schadcode einschleusen, Besucher auf fremde Seiten umleiten oder den Server für weitere Angriffe missbrauchen.
Wie die Lücken funktionieren
Ohne in die Tiefe zu gehen: In beiden Fällen geht es um die Speicherverwaltung von PHP beim Bearbeiten einer Anfrage. Im einen Fall bricht PHP bei Speichermangel mitten in der Vorbereitung ab und räumt anschließend mit halb fertigen Daten auf, als wären sie in Ordnung. Im anderen Fall bleiben Reste einer früheren Anfrage im Speicher zurück, die die nächste Anfrage fälschlich weiterverwendet. Beides lässt sich von außen gezielt ausnutzen.
Wer ist betroffen und wie ist die Lage?
Betroffen ist grundsätzlich jede Installation, die über PHP Webseiten ausliefert, also auch WordPress, Joomla, Typo3, Shopsysteme und viele individuelle Lösungen. Korrigiert wurde in den PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Ältere, nicht mehr unterstützte Versionen bekommen offiziell keine Korrektur und sind trotzdem betroffen. Genau diese findet man auf vielen Maklerwebsites, die vor Jahren einmal eingerichtet und seither nicht mehr angefasst wurden.
Es ist keine theoretische Gefahr. Ein funktionierender Exploit ist im Umlauf, und Sicherheitsfirmen berichten von Angriffsversuchen, teils schon vor der offiziellen Bekanntgabe. Die PHP-Entwickler sagen ausdrücklich, dass keine Einstellung die Lücken vollständig entschärft. Nur das Update hilft. Und das muss jemand einspielen: der Hoster oder Ihr Webentwickler. Wer das nicht tut, bleibt angreifbar.
Warum die Highspeedpage davon nicht betroffen ist
Eine Highspeedpage nutzt kein PHP. Sie besteht aus vorab erzeugten Seiten (HTML, CSS und etwas JavaScript), die wie fertige Dokumente ausgeliefert werden. Auf dem Server, der Ihre Seite an Besucher schickt, wird bei einem Aufruf kein Code ausgeführt, und es läuft keine PHP-Installation, die man angreifen könnte. Kein PHP bedeutet: Es gibt nichts, was PHP2Shell ausnutzen könnte.
Das ist kein Zufall, sondern Prinzip. Wir haben uns bewusst gegen ein klassisches Redaktionssystem entschieden, siehe Vorgebaut statt WordPress. Das macht die Seite schnell, und es hat einen zweiten, oft unterschätzten Vorteil: Wo nichts läuft, kann nichts gehackt werden.
- Keine Admin-Oberfläche im Netz. Es gibt kein WordPress-Login und kein Backend, das jemand von außen ansteuern oder per Passwort-Raten knacken kann.
- Keine Plugins von Drittanbietern. Das häufigste Einfallstor bei WordPress, nämlich veraltete Erweiterungen, fällt weg.
- Kein Update-Wettlauf für Sie. Sie müssen weder Versionen verfolgen noch Patches einspielen lassen.
Fairerweise gehört dazu: Nutzen Sie Funktionen wie das Kontaktformular, wird die Anfrage an eine eigene Schnittstelle geschickt. Diese ist von der Website getrennt und nicht in PHP umgesetzt. Die Fläche, die ein Angreifer überhaupt anfassen kann, ist dadurch sehr klein. Das ist ein anderes Sicherheitsniveau als bei einem System, das jede Seite bei jedem Aufruf in PHP zusammenbaut.
Das war erst der Anfang
PHP2Shell wird nicht die letzte Lücke dieser Art sein. Schwachstellen in großer Software gab es schon immer. Neu ist das Tempo. Mit Hilfe von KI lassen sich Fehler im Quellcode heute deutlich schneller aufspüren als früher, und zwar von beiden Seiten: von denen, die Software absichern wollen, und von denen, die sie angreifen wollen. Der Weg von der Entdeckung bis zum fertigen Exploit wird kürzer. Dass bei PHP2Shell schon vor der Bekanntgabe ein Angriffsversuch beobachtet wurde, zeigt, wie knapp die Zeit für die Verteidiger wird.
Es ist ein Wettlauf zwischen Absicherung und Angriff. Mit regelmäßigen Angriffswellen ist deshalb zu rechnen, und ihn zu gewinnen heißt: sofort patchen, jede Woche, jedes Plugin, jeder Server. Bei einer einzelnen Maklerwebsite bleibt das oft liegen. Angreifer durchsuchen das Netz automatisiert nach genau solchen Seiten.
Sicherheit, über die Sie nicht nachdenken müssen
Genau hier zeigt sich der Wert eines Systems wie der Highspeedpage. Statt zu hoffen, dass jemand rechtzeitig aktualisiert, lassen wir die Angriffsfläche gar nicht erst entstehen. Wenn die nächste Lücke in einer Programmiersprache, einem Redaktionssystem oder einem Plugin bekannt wird, lesen Sie davon in den Nachrichten, und Ihre Website ist nicht gemeint.
Sie wollen wissen, wie es um Ihre aktuelle Website steht? Wir prüfen das kostenlos in unserer Website-Analyse. Und wenn Sie selbst noch eine PHP-Seite betreiben: Fragen Sie umgehend Ihren Hoster oder Webentwickler, ob PHP auf eine der oben genannten Versionen aktualisiert wurde.