PHP2Shell: Erste Hilfe für Ihre PHP-Website

Kostenlose Anleitung

1Bin ich betroffen?

Betroffen ist jede PHP-Version vor den unten genannten Ständen, nach bisherigen Analysen zurück bis PHP 5.4. Es spielt keine Rolle, ob PHP über PHP-FPM, mod_php, CGI oder LiteSpeed läuft.

Auf Shared Hosting sehen Sie die Version im Kundenmenü Ihres Hosters unter den PHP-Einstellungen. Auf einem eigenen Server zeigt php -v nur die Kommandozeile. Entscheidend ist die Version, mit der der Webserver PHP ausführt.

Zählen Sie alles mit, was PHP ausführt: Website, Shop und Kundenportal, aber auch vergessene Dateien wie die Platzhalterseite des Hosters, alte Kopien der Website und Admin-Werkzeuge. Auf Shared Hosting laufen oft alle Domains eines Kontos unter demselben Benutzer.

2Sofortmaßnahme bis zum Update

Nach bisherigem Stand laufen alle bekannten Angriffswege über Anfragen vom Typ multipart/form-data. PHP verarbeitet sie, bevor Ihre Anwendung startet. Wartungsmodus und Sicherheits-Plugins greifen deshalb nicht. Braucht Ihre Website keine Datei-Uploads, kann der Webserver solche Anfragen abweisen:

Apache und LiteSpeed (.htaccess im Webordner, ganz oben)

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
  RewriteRule ^ - [F,L]
</IfModule>

nginx (in jedem server-Block, der an PHP weitergibt)

if ($http_content_type ~* "multipart/form-data") {
    return 403;
}

3Nach dem Update

• Version prüfen, und zwar über den Webserver, nicht über die Kommandozeile.
• Geheimnisse wechseln, die PHP lädt: Datenbank-Passwort, API-Schlüssel von Zahlungsanbieter und Mailversand, Session- und Token-Secrets. CVE-2026-109618 kann Arbeitsspeicher nach außen geben, auch ohne dass Code ausgeführt wird.
• Nach fremden PHP-Dateien suchen, vor allem in Upload-Ordnern, dazu nach geänderten .htaccess-Dateien, neuen Cronjobs und neuen Admin-Konten.
• Die Sperre aus Schritt 2 nur entfernen, wenn Sie Uploads brauchen.

4Meldepflichten prüfen

• DSGVO: Konnten personenbezogene Daten abfließen, ist eine Meldung an die Datenschutzbehörde binnen 72 Stunden zu prüfen (Art. 33).
• NIS2: Fällt Ihr Unternehmen darunter und gab es einen erheblichen Vorfall, ist eine Frühwarnung binnen 24 Stunden fällig.
• Cyber Resilience Act: Hersteller, die PHP in Geräten oder Software ausliefern, müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden (Art. 14).

Auftrag und Freigabe

Die Angaben werden nicht auf unserem Server gespeichert. Das Formular erstellt eine E-Mail, die Sie von Ihrer Firmenadresse an uns senden. Sie gilt als schriftliche Freigabe. Wer lieber unterschreibt, nutzt die Druckfassung.

Auftragsbedingungen und Auftragsverarbeitung

Stand 22. Oktober 2026