Du betreibst eine WordPress-Webseite, installierst ein Plugin oder schaust in die Einstellungen deines Webhosters. Früher oder später begegnet dir dabei PHP. Die Programmiersprache sorgt dafür, dass Webseiten nicht nur statische Dateien anzeigen, sondern Formulare verarbeiten, Datenbanken abfragen und individuelle Inhalte ausgeben können. Gleichzeitig ist PHP ein sicherheitsrelevanter Bestandteil des Webservers. Das zeigen auch die im Oktober 2026 bekannt gewordenen Sicherheitslücken unter dem Namen php2shell.
Definition: Was ist PHP?
PHP ist eine frei verfügbare, vor allem serverseitig eingesetzte Skriptsprache für die Entwicklung dynamischer Webseiten und Webanwendungen. Die heutige Bezeichnung steht für „PHP: Hypertext Preprocessor“.
PHP-Code wird normalerweise auf dem Server ausgeführt. Der Server verarbeitet die Programmanweisungen und schickt anschließend beispielsweise eine fertige HTML-Seite an den Browser. Der Besucher muss den PHP-Quellcode dafür weder kennen noch selbst ausführen.
Wie arbeitet PHP mit einem Webserver zusammen?
Bei einem Seitenaufruf findet die eigentliche Verarbeitung im Hintergrund statt.
- Du öffnest eine Webseite im Browser.
- Der Browser sendet eine HTTP-Anfrage an den Server.
- Der Server leitet die Verarbeitung bei Bedarf an PHP weiter.
- PHP führt die vorgesehenen Programmschritte aus und kann auf Datenbanken zugreifen.
- Die Anwendung erzeugt eine Antwort, etwa HTML oder JSON-Daten.
- Der Server überträgt das Ergebnis an deinen Browser.
PHP kann mit verschiedenen Webserver- und Laufzeitkonfigurationen verwendet werden. Dazu gehören beispielsweise Apache, Nginx in Verbindung mit PHP-FPM und weitere geeignete Serverumgebungen.
Wie sieht ein einfaches PHP-Programm aus?
PHP-Dateien besitzen üblicherweise die Endung .php. Eine kleine Ausgabe kann so aussehen:
<?php
$name = "Alex";
echo "Hallo, " . $name . "!";
?>Die Variable $name enthält einen Text. Der Befehl echo gibt das Ergebnis aus. Im Browser erscheint:
Hallo, Alex!Damit das Beispiel funktioniert, muss die Datei durch eine geeignete PHP-Umgebung verarbeitet werden. Wird sie nur als Text geöffnet, läuft der Programmcode nicht automatisch.
Kann PHP in HTML eingebettet werden?
Ja. PHP wurde unter anderem dafür entwickelt, dynamische Informationen mit HTML zu verbinden.
<h2>Aktuelle Begrüßung</h2>
<p>
<?php
echo "Willkommen auf unserer Webseite.";
?>
</p>Der Server ersetzt den PHP-Abschnitt durch dessen Ausgabe. Der Browser erhält den erzeugten HTML-Inhalt.
Wofür wird PHP verwendet?
Die Sprache ist vielseitiger, als es ihr Ruf als klassische Webseiten-Technologie manchmal vermuten lässt.
- Content-Management-Systeme: WordPress, Drupal und weitere Systeme verwenden PHP.
- Onlineshops: Produkte, Kundenkonten und Bestellprozesse können serverseitig verarbeitet werden.
- Formulare: Eingaben werden geprüft, gespeichert oder weitergeleitet.
- Benutzeranmeldung: Sitzungen und Zugriffsrechte lassen sich verwalten.
- APIs: PHP kann strukturierte Daten für andere Anwendungen bereitstellen.
- Automatisierung: Skripte können regelmäßige Aufgaben auf dem Server übernehmen.
Was unterscheidet PHP von JavaScript?
PHP wird typischerweise auf einem Server ausgeführt. JavaScript läuft häufig direkt im Browser, kann aber mit geeigneten Laufzeitumgebungen ebenfalls serverseitig eingesetzt werden.
| Merkmal | PHP | JavaScript |
|---|---|---|
| Typischer Einsatz | Serverseitige Webentwicklung | Browser und Server |
| Ausführung | PHP-Laufzeitumgebung | JavaScript-Engine |
| Datenbankzugriff | Direkt über Serveranwendung möglich | Serverseitig oder über APIs |
| Häufige Aufgabe | Dynamische Webseiten erzeugen | Interaktive Oberflächen und Anwendungen |
In der Praxis ergänzen sich beide Sprachen häufig. PHP liefert beispielsweise Daten oder HTML, während JavaScript die Benutzeroberfläche ohne vollständiges Neuladen aktualisiert.
Welche Verbindung besteht zwischen PHP und WordPress?
WordPress basiert wesentlich auf PHP. Themes und Plugins enthalten häufig PHP-Code, der beispielsweise Seiteninhalte erzeugt oder zusätzliche Funktionen bereitstellt.
Die verwendete PHP-Version hat deshalb Einfluss auf Sicherheit, Kompatibilität und gegebenenfalls die Geschwindigkeit einer WordPress-Installation.
Kann ein PHP-Update WordPress beschädigen?
Das ist möglich, wenn ein altes Theme oder Plugin mit einer neueren PHP-Version nicht kompatibel ist. Deshalb solltest du vor einer größeren Umstellung ein Backup anfertigen und die Kompatibilität der eingesetzten Erweiterungen prüfen.
Umgekehrt ist es keine gute Dauerlösung, aus Kompatibilitätsgründen bei einer nicht mehr unterstützten PHP-Version zu bleiben. Dann fehlen irgendwann wichtige Sicherheitsupdates.
Welche PHP-Version sollte ich verwenden?
Für neue Projekte empfiehlt sich grundsätzlich eine aktuell unterstützte PHP-Version, mit der deine Anwendungen kompatibel sind.
Stand Oktober 2026 werden die Versionszweige PHP 8.2 bis 8.5 noch mit Sicherheitsupdates versorgt. PHP 8.2 befindet sich dabei kurz vor dem Ende seines regulären Sicherheits-Supports am 31. Dezember 2026.
Besonders wichtig ist, dass nicht nur der Versionszweig stimmt, sondern auch die erforderlichen Sicherheitskorrekturen installiert sind.
Was ist php2shell?
php2shell ist die Bezeichnung für zwei kritische Sicherheitslücken in PHP, die im Oktober 2026 öffentlich bekannt wurden. Betroffen sind Schwachstellen in der internen Speicherverarbeitung der PHP-Laufzeitumgebung.
Die beiden Sicherheitslücken werden unter folgenden Kennungen geführt:
- CVE-2026-109618: Fehler im Zusammenhang mit der Behandlung von Speicherknappheit beziehungsweise Out-of-Memory-Zuständen.
- CVE-2026-109619: Fehler durch problematische weiterverwendete interne Zustände nach der Freigabe von Speicher.
Beide Schwachstellen wurden mit einem kritischen Schweregrad eingestuft. Unter geeigneten Bedingungen können Angreifer dadurch aus der Ferne eigenen Code auf einem betroffenen Server ausführen.
Warum ist php2shell besonders gefährlich?
Die Schwachstellen liegen nicht in einem bestimmten WordPress-Plugin oder einer fehlerhaft programmierten Webseite, sondern in PHP selbst. Dadurch sind zahlreiche unterschiedliche Anwendungen und Serverkonfigurationen potenziell betroffen.
Bei erfolgreicher Ausnutzung kann eine Remote Code Execution (RCE) möglich werden. Das bedeutet, dass nicht autorisierter Programmcode auf dem betroffenen System ausgeführt wird.
Abhängig von den Berechtigungen und der Konfiguration können daraus Datenzugriffe, Manipulationen oder weitere Sicherheitsprobleme entstehen.
Welche PHP-Versionen sind von php2shell betroffen?
Für die regulären unterstützten PHP-Zweige wurden folgende Versionen mit den Sicherheitskorrekturen bereitgestellt:
| PHP-Zweig | Betroffene reguläre Releases | Korrigierte Version |
|---|---|---|
| PHP 8.5 | Bis einschließlich 8.5.11 | 8.5.12 |
| PHP 8.4 | Bis einschließlich 8.4.26 | 8.4.27 |
| PHP 8.3 | Bis einschließlich 8.3.35 | 8.3.36 |
| PHP 8.2 | Bis einschließlich 8.2.34 | 8.2.35 |
Bei Linux-Distributionen können Sicherheitskorrekturen durch sogenannte Backports in Pakete mit abweichenden Versionsnummern einfließen. Die Versionsnummer allein reicht deshalb nicht in jeder Umgebung aus, um den Patchstand zu beurteilen.
Für ältere, regulär nicht mehr unterstützte PHP-Zweige gelten besondere Bedingungen. Einige Anbieter haben eigene korrigierte Pakete veröffentlicht. Solche Ausnahmen ersetzen jedoch keine langfristig unterstützte PHP-Version.
Wie kann ich prüfen, ob mein Server gegen php2shell geschützt ist?
1. Die verwendete PHP-Version feststellen
Viele Webhoster zeigen die PHP-Version im Kundenbereich an. Auf einem selbst verwalteten Server kannst du die Kommandozeile verwenden:
php -vDieser Befehl zeigt allerdings die Version der Kommandozeilenumgebung an. Der Webserver kann eine andere PHP-Installation verwenden.
2. Den tatsächlich verwendeten PHP-Dienst kontrollieren
Prüfe, welche PHP-FPM-Installation oder welches Webserver-Modul deine Webseite verarbeitet. Bei Managed Hosting kann der Anbieter die Information zur Verfügung stellen.
3. Sicherheitsupdates installieren
Installiere die korrigierten PHP-Pakete deines jeweiligen Anbieters. Verwende dabei die Paketverwaltung beziehungsweise die vorgesehenen Hosting-Funktionen.
4. PHP-Prozesse neu starten
Nach einem Update müssen die betroffenen Dienste beziehungsweise Worker unter Umständen neu gestartet werden, damit die korrigierte Version tatsächlich verwendet wird.
5. Den Patchstand erneut prüfen
Kontrolliere nach der Aktualisierung, ob der Webserver die korrigierte Laufzeit verwendet. Dokumentiere die Version und den Zeitpunkt der Änderung.
6. Bei Verdacht auf einen Angriff weitere Schritte einleiten
Untersuche relevante Serverprotokolle und ungewöhnliche Aktivitäten. Ein installiertes Update beseitigt eine Schwachstelle, macht aber mögliche Folgen eines vorherigen Angriffs nicht automatisch rückgängig.
Wie kann man PHP-Anwendungen grundsätzlich absichern?
Neben aktuellen Sicherheitsupdates helfen bewährte Entwicklungs- und Administrationspraktiken.
- Aktuelle Software: PHP, Frameworks und Bibliotheken regelmäßig pflegen.
- Vorbereitete Datenbankabfragen: Prepared Statements statt ungeprüfter SQL-Zusammensetzung verwenden.
- Ausgaben maskieren: Dynamische HTML-Inhalte passend für den Ausgabekontext behandeln.
- Zugriff begrenzen: Webserver-Prozessen nur erforderliche Rechte geben.
- Uploads prüfen: Dateitypen, Speicherorte und erlaubte Größen kontrollieren.
- Geheimnisse schützen: Zugangsdaten nicht öffentlich im Quellcode bereitstellen.
- Backups testen: Wiederherstellung regelmäßig überprüfen.
Kann PHP JSON und XML verarbeiten?
Ja. PHP kann unterschiedliche Datenformate lesen und erzeugen. Besonders häufig wird es zur Bereitstellung von JSON in APIs eingesetzt.
Mit json_encode() kannst du PHP-Daten in das JSON-Format umwandeln:
<?php
$daten = [
"status" => "ok",
"anzahl" => 3
];
header('Content-Type: application/json');
echo json_encode($daten);
?>Für die Verarbeitung von XML-Dateien stellt PHP unter anderem DOM- und XMLReader-Funktionen bereit. Bei externen XML-Daten sind sichere Parser-Einstellungen wichtig.
Welche Rolle spielt PHP bei Landingpages und SEO?
PHP kann Inhalte einer Landingpage dynamisch ausgeben, Formulare verarbeiten und Datenbankinformationen einbinden.
Die Programmiersprache selbst ist kein Google-Rankingfaktor. Fehlerhafte PHP-Anwendungen können jedoch die Erreichbarkeit, Antwortzeit oder korrekte Ausgabe einer Webseite beeinträchtigen.
Auch für die Sichtbarkeit in KI-Antwortsystemen ist entscheidend, dass die fertigen Inhalte technisch erreichbar und verständlich sind – nicht, in welcher Programmiersprache sie erzeugt wurden.
Fazit: PHP bleibt wichtig – Sicherheit ist entscheidend
PHP wird weiterhin für zahlreiche Webseiten und Anwendungen verwendet. Die Sprache verbindet Webserver, Datenbanken und dynamische Inhalte und ermöglicht damit viele Funktionen, die bei modernen Webseiten selbstverständlich sind.
Die php2shell-Sicherheitslücken vom Oktober 2026 machen deutlich, dass nicht nur Anwendungscode, sondern auch die zugrunde liegende Laufzeitumgebung regelmäßig aktualisiert werden muss. Wer PHP einsetzt, sollte Versionsstand, Supportzeitraum und verfügbare Sicherheitsupdates im Blick behalten.