PHP2Shell: Was Onlineshop-Betreiber jetzt tun sollten

Was Sie heute tun sollten#

1. 1

   PHP-Version des Shops herausfinden

   Sehen Sie im Kundenmenü Ihres Hosters nach oder in WordPress unter Werkzeuge, Website-Zustand, Bericht, Server. Notieren Sie die Version und ob der Hoster PHP für Sie verwaltet.

2. 2

   PHP aktualisieren oder den Patch beim Hoster bestätigen lassen

   Wechseln Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder fragen Sie Ihren Hoster schriftlich, ob der Server die Korrekturen vom 21. Oktober 2026 für CVE-2026-109618 und CVE-2026-109619 enthält.

3. 3

   Vorher und nachher sichern

   Laden Sie eine vollständige Sicherung der Dateien und der Datenbank herunter und bewahren Sie eine Kopie außerhalb des Servers auf, damit Sie bei Problemen einen sauberen Stand wiederherstellen können.

4. 4

   Shopsoftware und alle Plugins aktualisieren

   Spielen Sie ausstehende Updates für WordPress, WooCommerce oder Ihr Shopsystem, das Theme und jedes Plugin oder Modul ein, und entfernen Sie, was Sie nicht mehr nutzen.

5. 5

   Administratoren prüfen und Passwörter ändern

   Löschen Sie Administratorkonten, die Sie nicht kennen, und ändern Sie danach die Passwörter für Shop, Hosting und Datenbank sowie die im Shop gespeicherten Zugangsdaten und API-Schlüssel für E-Mail-Dienste.

Was passiert ist, verständlich erklärt#

PHP ist die Programmiersprache, auf der viele selbst gehostete Onlineshops laufen. Am 21. Oktober 2026 hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, um zwei kritische Schwachstellen zu beheben: CVE-2026-109618 und CVE-2026-109619 ^S1. Sicherheitsforscher nennen das Paar PHP2Shell ^S5S6. Beide sind mit 9,2 von 10 bewertet ^S5.

Die Fehler stecken in PHP selbst, nicht in einem bestimmten Plugin. Laut PHP-Projekt sind alle PHP-Installationen betroffen, die Webanfragen verarbeiten, und bei manchen Serverkonfigurationen kann eine Anfrage ohne Anmeldung den Angriff auslösen, bevor überhaupt Shopcode läuft ^S1. Ein Admin-Login, ein Sicherheits-Plugin oder ein starkes Passwort hält ihn deshalb allein nicht auf. Das PHP-Projekt schreibt, dass es keine vollständigen Umgehungen gibt und ein Update die einzige sichere Wahl ist ^S1.

Angriffsversuche begannen früh. Datadog berichtet, dass AWS bereits am 17. Oktober 2026, vor der Veröffentlichung der Korrektur, Ausnutzungsversuche beobachtet hat ^S6. Am 26. Oktober 2026 hat die US-Behörde für Cyber- und Infrastruktursicherheit (CISA) beide CVEs in ihren Katalog Known Exploited Vulnerabilities aufgenommen, der Lücken mit Belegen für aktive Ausnutzung auflistet ^S3S4.

Eine separate Lücke, CVE-2026-115560, hat das PHP-Projekt am 23. Oktober 2026 bekannt gegeben. Sie gehört nicht zu PHP2Shell und wird durch die Versionen vom 21. Oktober nicht behoben. Sie betrifft nur Anwendungen mit einer ungewöhnlichen Kombination von Session-Einstellungen; die Korrektur ist für das nächste reguläre Release geplant, und bis dahin wird die Einstellung session.upload_progress.enabled = 0 empfohlen ^S2. Dieser Artikel gibt den Stand vom 30. Oktober 2026 wieder.

Bin ich betroffen?#

Wenn Sie Ihren Shop selbst hosten, läuft er sehr wahrscheinlich auf PHP. WordPress ist eine PHP-Anwendung ^S7, also laufen WooCommerce-Shops auf PHP, ebenso Shopware, Magento (Adobe Commerce), PrestaShop und OpenCart. Auch ein Blog, eine Landingpage oder ein Kundenbereich auf WordPress zählt, selbst wenn der Shop woanders liegt.

Ihre PHP-Version finden Sie im Kundenmenü des Hosters, meist unter einem Menüpunkt wie PHP-Einstellungen oder PHP-Version. In WordPress gehen Sie zu Werkzeuge, dann Website-Zustand, dann zum Reiter Bericht, und öffnen Server. Behoben ist die Lücke ab 8.5.12, 8.4.27, 8.3.36 und 8.2.35 im jeweiligen Zweig ^S1.

Die Versionsnummer sagt nicht immer alles. Linux-Distributionen und Hoster haben die Patches vorab erhalten und können Korrekturen in eigene Pakete übernehmen, ohne die Versionsnummer zu ändern ^S1S6. Wenn Sie unsicher sind, fragen Sie Ihren Hoster direkt, ob der Server die Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthält.

Shops auf PHP 8.1 oder älter sind in einer schwierigeren Lage. Das PHP-Projekt aktualisiert diese Versionen nicht mehr; einige Anbieter liefern zurückportierte Korrekturen, und das PHP-Projekt verweist auf diese oder auf ein Upgrade ^S1. Beachten Sie außerdem, dass PHP 8.2 am 31. Dezember 2026 sein Supportende erreicht ^S1.

Was Sie heute tun sollten#

Die nummerierte Liste oben ist die Kurzfassung. Einige Details machen jeden Schritt sicherer.

Wenn Sie den Server selbst betreiben

Aktualisieren Sie PHP über die Systempakete oder das Hosting-Panel und starten Sie danach PHP und den Webserver neu, damit jeder Worker die korrigierte Version nutzt. Die CISA empfiehlt, aus dem Internet erreichbare Systeme sofort zu patchen und ein System, das sich nicht schnell patchen lässt, vorübergehend vom Netz zu nehmen oder eine Web Application Firewall vorzuschalten ^S3. Das PHP-Projekt nennt einige Übergangseinstellungen, warnt aber, dass sie eine Installation nicht sicher machen ^S1.

Wenn ein Hoster oder eine Agentur ihn betreut

Schicken Sie eine kurze schriftliche Anfrage: „Bitte bestätigen Sie, dass unser Server die am 21. Oktober 2026 veröffentlichten PHP-Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthält, und nennen Sie uns die PHP-Version oder das Paket, das wir nutzen.“ Bewahren Sie die Antwort auf.

Sichern, bevor Sie etwas ändern

Erstellen Sie eine vollständige Sicherung der Dateien und der Datenbank und speichern Sie sie außerhalb des Servers. Falls der Shop schon vor dem Patch kompromittiert wurde, brauchen Sie unter Umständen eine ältere, saubere Sicherung, also überschreiben Sie ältere Sicherungen noch nicht.

Plugins aktualisieren und Administratoren prüfen

Das PHP-Update schließt diese Lücke, aber der restliche Shop braucht ebenfalls Pflege. Aktualisieren Sie WordPress, WooCommerce oder Ihr Shopsystem, das Theme und jedes Plugin. Suchen Sie in der Benutzerliste nach Administratorkonten, die Sie nicht angelegt haben. Ändern Sie dann die Passwörter und erzeugen Sie die im Shop gespeicherten API-Schlüssel und SMTP-Passwörter neu, etwa für Zahlungs-, Versand- und E-Mail-Dienste, denn wer Zugriff auf den Server hatte, konnte sie lesen.

Kundenliste und E-Mail-Reputation schützen#

Eine Shop-Datenbank enthält mehr als Bestellungen. Meist liegen dort Name, E-Mail-Adresse, Lieferadresse und Kaufhistorie jedes Kunden, dazu die Abonnentenliste Ihres Newsletters. Wer Code auf dem Server ausführen kann, kann diese Datenbank oft auslesen und den Server auch nutzen, um E-Mails in Ihrem Namen zu verschicken.

Anzeichen, dass etwas nicht stimmt

• Unzustellbarkeitsmeldungen oder Antworten auf E-Mails, die Sie nie verschickt haben.
• Eine Warnung Ihres Hosters wegen ausgehendem Spam oder ungewöhnlicher Serverlast.
• Administratorkonten, Plugins oder Dateien, die Sie nicht angelegt haben, oder Änderungen an der Kasse.
• DMARC-Berichte, in denen Server auftauchen, die Sie nicht nutzen, aber mit Ihrer Domain senden.
• Ein plötzlicher Anstieg von Spam-Beschwerden oder Ihre Domain oder Server-IP-Adresse auf einer Sperrliste.

Die Absenderreputation Ihrer Domain baut sich langsam auf und kann schnell sinken, wenn Spam in Ihrem Namen verschickt wird. SPF-, DKIM- und DMARC-Einträge teilen Postfächern mit, welche Server für Ihre Domain senden dürfen, und DMARC-Berichte zeigen, wer es sonst versucht. Die Erklärung zu SPF, DKIM und DMARC beschreibt jeden Eintrag, die Anleitung zur DMARC-Einrichtung zeigt, wie man Berichte liest. Wenn Ihr Shopserver gar keine Marketing-E-Mails versenden soll, nehmen Sie ihn nicht in Ihren SPF-Eintrag auf; das begrenzt, was ein kompromittierter Server mit Ihrer Domain anrichten kann.

Wenn Kundendaten betroffen sein könnten

Die rechtlichen Pflichten nach einer Datenpanne unterscheiden sich von Land zu Land. Viele Datenschutzgesetze verlangen, innerhalb einer bestimmten Frist die Aufsichtsbehörde, die betroffenen Kunden oder beide zu informieren. Prüfen Sie die Regeln in jedem Markt, in dem Sie verkaufen, oder fragen Sie eine Anwältin oder einen Anwalt, bevor Sie Kunden anschreiben. Unser Ratgeber zu Gesetzen im E-Mail-Marketing behandelt Einwilligungsregeln nach Markt; Meldepflichten bei Datenpannen sind ein eigenes Thema und hängen vom jeweiligen Recht ab.

Wenn Sie Kunden informieren, bleiben Sie sachlich: was passiert ist, welche Daten betroffen sind, was Sie unternommen haben und worauf Kunden achten sollten. Phishing-Mails, die sich als Ihr Shop ausgeben, folgen häufig, also sagen Sie klar, dass Sie nie per E-Mail nach Passwörtern oder Kartennummern fragen. Bei einer Modemarke wie Ninefold käme diese Nachricht von der üblichen Absenderadresse und ohne Rabattangebot, damit sie nicht wie Werbung aussieht.

Die Angriffsfläche dauerhaft verkleinern#

PHP2Shell wird nicht das letzte dringende Update sein. Ein Shop, der sich leicht aktuell halten lässt, ist leichter zu schützen.

• Weniger Plugins. Jedes Plugin oder Modul ist Code, der auf Ihrem Server läuft und Updates braucht. Entfernen Sie, was Sie nicht mehr nutzen, und ersetzen Sie mehrere kleine Plugins wo möglich durch ein gut gepflegtes.
• Ein unterstützter PHP-Zweig. Planen Sie den Umstieg von PHP 8.2 vor dem Supportende am 31. Dezember 2026, und von älteren Versionen sofort ^S1.
• Managed Hosting oder gehostete Dienste. Managed Hosting oder gehostete Dienste für Zahlungen, Suche oder E-Mail verlagern das Patchen zu einem Anbieter, dessen Aufgabe das ist. Fragen Sie, wie schnell er diesmal gepatcht hat.
• Automatische Updates und Sicherungen außerhalb des Servers. Aktivieren Sie automatische Unterversions-Updates, wo Ihre Plattform das unterstützt, und speichern Sie regelmäßige Sicherungen außerhalb des Servers.
• Eine zuständige Person. Legen Sie fest, wer Sicherheitshinweise für den Shop verfolgt, ob Sie selbst, ein Entwickler oder der Hoster.

Wo Tellnod ins Bild passt#

Tellnod ist ein MCP-Connector, mit dem Sie Marketing-E-Mails in Claude oder ChatGPT schreiben, als Vorschau ansehen und versenden. Tellnod läuft als gehosteter Dienst auf eigener Infrastruktur, nicht auf dem Server Ihres Shops. Wenn Sie es statt eines E-Mail-Marketing-Plugins nutzen, müssen Sie auf dem Server ein Plugin weniger aktualisieren, und in der Shop-Datenbank liegt ein Satz Versand-Zugangsdaten weniger.

Das verringert, was auf Ihrem Server liegt; sicher wird Ihr Shop dadurch nicht. PHP und die Shopsoftware müssen Sie weiterhin aktualisieren, und Ihre Kundenliste liegt dann auch bei Tellnod, also ist es berechtigt, jeden Anbieter zu fragen, wie er sie schützt. Die Seite zur Sicherheit erklärt, wie Tellnod mit Versand und Daten umgeht. Zum Ausprobieren verbinden Sie Tellnod mit Claude oder ChatGPT; es wird nichts versendet, bevor Sie auf der Freigabekarte Confirm drücken.

Häufige Fragen#