Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Die Lücken haben in der Community den Namen „php2shell" bekommen – dahinter stecken die CVE-Nummern CVE-2026-109618 und CVE-2026-109619. Beide zählen zu den sogenannten Remote-Code-Execution-Lücken: Ein Angreifer kann damit ohne Anmeldung Ihre Website übernehmen und vollständigen Zugriff auf Ihren Server erlangen.

Welche PHP-Versionen sind betroffen?

Grundsätzlich ist praktisch jede PHP-Version (ab PHP 5) betroffen, auch alte, nicht mehr unterstützte Versionen.

Für die noch unterstützten Versionen gibt es offizielle Updates:

8.5.12

8.4.27

8.3.36

8.2.35

Für PHP 8.1, 8.0 und 7.4 gibt es keine offiziellen Updates mehr. Hier kann Ihr Hoster Backport-Patches installieren, das sollte mindestens bei Hostern mit Extended-Service passieren. Bei den Hostern ohne Extended-Support sollten Sie unbedingt nachfragen.

Viele Hoster haben bereits reagiert

Die gute Nachricht: Viele Shared-Hosting-Anbieter haben das Sicherheitsupdate bereits auf ihren Servern installiert, bei manchen dauert es noch.

Das Problem für Sie als Website-Betreiber: Sie können nicht zuverlässig erkennen, ob das Sicherheitsupdate bereits installiert ist. Manche Hoster spielen die neue Version ein, dann steigt die angezeigte Versionsnummer (z.B. von 8.3.35 auf 8.3.36). Andere Hoster patchen die vorhandene Version direkt, ohne die Versionsnummer zu ändern – Ihre Website zeigt dann weiterhin die alte Nummer an, obwohl das Sicherheitsupdate längst aktiv ist.

Wenn Sie keine Änderung sehen, fragen Sie Ihren Hoster direkt, ob die „php2shell"-Lücke (CVE-2026-109618 und CVE-2026-109619) auf Ihrem Server behoben ist.

Was mache ich, wenn ich noch eine alte PHP-Version verwende?

Dann sollten Sie schnellstmöglich auf eine aktuelle PHP-Version updaten oder sicherstellen, dass die Sicherheitslücken in Ihrer alten PHP-Version geschlossen wurden. Auch dann sollten Sie eine Umstellung auf eine neue PHP-Version nicht mehr lange hinausschieben.

Welche PHP-Version können Sie nutzen?

Prüfen, welche PHP-Version tatsächlich läuft

Loggen Sie sich in Ihr Contao-Backend ein und klicken Sie oben rechts auf „Debug-Modus". Anschließend erscheint am unteren Bildschirmrand eine schmale Leiste – die sogenannte Symfony-Toolbar. Fahren Sie mit der Maus über das Symfony-Symbol rechts (Contao 5x); dort steht die PHP-Version, die Ihre Website aktuell wirklich verwendet. Daneben sehen Sie auch Ihre aktuelle Contao-Version. Den Debug-Modus danach einfach wieder ausschalten – er betrifft nur Ihren eigenen Browser und hat keine Auswirkung auf Ihre Besucher.

Alternativ: Rufen Sie den Contao Manager auf. Nach dem einloggen sehen Sie ganz oben bereits bei der Systemprüfung die verwendete PHP-Version. Sie können auch unter „Tools → PHP-Informationen“ nachsehen. Auch hier wird ganz oben die aktuelle Version angezeigt.

Hinweis: Wenn sich die Versionsnummer nicht geändert hat und Sie keinen Hinweis auf der Website des Hosters dazu finden, sollten Sie direkt beim Hoster nachfragen

Fragen Sie Ihren Hosting-Support konkret: „Ist die php2shell-Lücke (CVE-2026-109618 und CVE-2026-109619) auf meinem Server behoben?" Nennen Sie dabei Ihre PHP-Version.

Auf eine sichere PHP-Version umstellen – falls nötig

Die Umstellung sollten Sie durchführen wenn Sie eine veraltete PHP-Version z. B. PHP 8.1 oder älter verwenden oder wenn die o.g. Sicherheitslücken bei den alten PHP-Versionen nicht geschlossen werden. Stellen Sie in Ihrem Hosting-Panel auf eine aktuelle Version um. Empfohlen wird PHP 8.3 oder höher, da PHP 8.2 nur noch bis Ende 2026 mit Sicherheitsupdates versorgt wird.

Beachten Sie dabei aber unbedingt die Kompatibilität mit Ihrer Contao Installation, den Erweiterungen und dem Theme:

• Ihre Contao-Version: Jede Contao-Version unterstützt nur bestimmte PHP-Versionen. Ältere Installationen wie Contao 3 oder Contao 4.4 sind mit den aktuellen PHP-Versionen nicht kompatibel – hier hilft nur ein Upgrade des Systems selbst.
• Ihre Erweiterungen und Themes: Auch Drittanbieter-Erweiterungen und Themes müssen mit der neuen PHP-Version kompatibel sein. Es kann vorkommen, dass eine Erweiterung noch nicht für die neueste PHP-Version freigegeben ist. Prüfen Sie das vorab, sonst droht der Ausfall Ihrer Website.

Funktionstest

Wenn sich Ihre Contao-Installation für eine aktuelle PHP-Version eignet und Sie bei Ihrem Hoster eine aktuelle PHP-Version ausgewählt haben, prüfen Sie folgendes:

• Rufen Sie Ihre Website auf und prüfen Sie, ob alles wie gewohnt funktioniert: Startseite, Kontaktformular, Login-Bereich und natürlich das Backend.

Fazit

Die Sicherheitslücke „php2shell" ist ernst - Sie müssen schnell handeln: Prüfen Sie Ihre PHP-Version, fragen Sie Ihren Hoster, ob gepatcht wurde und stellen Sie wenn nötig auf eine aktuelle Version um – immer mit Blick auf die Kompatibilität zu Ihrem Contao. So ist Ihre Website wieder auf dem akutellen Stand.

Weitere Informationen:

PHP-Supported Versions - ein Überblick über die Laufzeit der aktuellen PHP-Versionen

Das ist bei der Aktualisierung der PHP-Version zu beachten

Contao und PHP 8

PHP Extended-Support - Wissenswertes zum Service für alte PHP-Versionen