Am 21. Oktober 2026 wurden zwei kritische PHP-Sicherheitslücken, die zusammen als „PHP2Shell“ bekannt sind, öffentlich bekannt gegeben. Diese Sicherheitslücken könnten es Angreifern ermöglichen, ohne Authentifizierung bösartigen Code auf betroffenen Servern auszuführen. Das PHP-Entwicklungsteam hat noch am selben Tag dringende Sicherheitsupdates veröffentlicht, um diese Probleme zu beheben.

Wenn deine WordPress-Seite bei Kinsta gehostet wird, ist sie vor PHP2Shell geschützt. Unsere Technik- und Sicherheitsteams haben die erforderlichen PHP-Sicherheitsupdates auf unserer gesamten Hosting-Plattform bereitgestellt, einschließlich der Live- und Staging-Umgebungen. Wir haben keine Hinweise auf Sicherheitsverletzungen im Zusammenhang mit diesen Schwachstellen gefunden.

Hier erfährst du, was du über PHP2Shell wissen solltest, wie wir mit den Sicherheitslücken umgegangen sind und wie du die PHP-Einstellungen deiner Website überprüfen kannst.

Was ist PHP2Shell?

PHP2Shell bezieht sich auf zwei PHP-Sicherheitslücken, die als CVE-2026-109618 und CVE-2026-109619 identifiziert wurden. Beide erhielten nach CVSS 4.0 eine kritische Schweregradbewertung von 9,2.

Die Sicherheitslücken betreffen die Art und Weise, wie PHP bei der Verarbeitung von Anfragen mit dem Arbeitsspeicher umgeht. Bei Ausnutzung könnte ein Angreifer bösartigen Code auf einem Server ausführen und so möglicherweise die dort gehosteten Websites und Daten gefährden.

Da WordPress auf PHP läuft, stellten diese Sicherheitslücken auch ein Risiko für WordPress-Websites dar, die betroffene PHP-Versionen verwenden.

Im Gegensatz zu Schwachstellen, die in einem WordPress-Plugin, einem Theme oder im WordPress-Kern gefunden wurden, betrifft PHP2Shell die PHP-Laufzeitumgebung selbst. Das bedeutet, dass ein Update von WordPress oder seinen Plugins das Problem nicht beheben würde. Die PHP-Software des Servers musste gepatcht werden.

Das PHP-Team veröffentlichte am 21. Oktober Korrekturen für PHP 8.2, 8.3, 8.4 und 8.5. Ältere PHP-Versionen erhielten Sicherheitskorrekturen von externen Betreuern.

Für Kinsta-Kunden haben wir diese Updates auf Hosting-Ebene durchgeführt, anstatt Änderungen an einzelnen WordPress-Installationen zu verlangen.

Wie Kinsta auf PHP2Shell reagiert hat

Unsere Technik- und Sicherheitsteams begannen bereits mit den Vorbereitungen für PHP2Shell, noch bevor die offiziellen Sicherheitspatches verfügbar waren. Die Reaktion umfasste das Einrichten von Schutzmaßnahmen, um das Risiko einer Ausnutzung zu verringern, sowie die Bereitstellung der gepatchten PHP-Versionen, sobald diese veröffentlicht wurden.

Blockierung von Exploit-Versuchen mit Cloudflare

Eine unserer obersten Prioritäten war der Schutz der Websites, während wir die PHP-Korrekturen vorbereiteten. Kinsta nutzt die Web Application Firewall (WAF) von Cloudflare, um böswillige Anfragen zu identifizieren und zu blockieren, bevor sie die auf unserer Plattform gehosteten Websites erreichen.

Noch vor der Bekanntgabe von PHP2Shell hat Cloudflare neue Firewall-Schutzmaßnahmen eingeführt, die darauf ausgelegt sind, Versuche zur Ausnutzung dieser Schwachstellen zu erkennen. Unser Team hat die entsprechenden Schutzmaßnahmen in unserer gesamten Hosting-Infrastruktur aktiviert.

Dadurch blockierten unsere Firewalls auf Edge-Ebene bereits PHP2Shell-Ausnutzungsversuche, während wir auf die PHP-Patches warteten und diese bereitgestellt wurden.

Außerdem haben wir in unseren Hosting-Umgebungen zusätzliche Änderungen an der PHP-Konfiguration vorgenommen, um potenzielle Risiken zu verringern. Während des gesamten Vorfalls standen wir in engem Kontakt mit unserem Partner für Schwachstellenschutz, Patchstack, und tauschten Informationen über die von uns beobachteten Bedrohungen und Angriffsmuster aus.

Diese Maßnahmen trugen dazu bei, die Websites zu schützen, während wir die Updates vorbereiteten, waren jedoch kein Ersatz für die Installation der PHP-Patches selbst.

Anwendung der PHP-Sicherheitsupdates

Sobald das PHP-Team die Korrekturen veröffentlicht hatte, begann unser Entwicklerteam damit, die gepatchten PHP-Pakete zu prüfen und plattformweit bereitzustellen.

Wir haben Sicherheitsupdates für PHP 7.4 bis PHP 8.5 bereitgestellt, einschließlich Patches für ältere Versionen, die von Freexian, unserem PHP-Paketanbieter, bereitgestellt wurden.

Da wir PHP auf Plattformebene verwalten, mussten Kunden die Korrekturen nicht selbst installieren oder ihre PHP-Versionen manuell ändern. Unser Team kümmerte sich um die Updates in der gesamten Hosting-Infrastruktur und hielt dabei die zusätzlichen Cloudflare-Schutzmaßnahmen aufrecht.

Am 22. Oktober 2026 um 08:26 Uhr UTC haben wir den Vorfall auf unserer öffentlichen Statusseite als behoben markiert und damit bestätigt, dass alle Websites geschützt waren und die Sicherheitsupdates plattformweit ausgerollt worden waren.

Während des gesamten Vorfalls überwachte unser Team verdächtige Aktivitäten, überprüfte manuell Websites, die offenbar ins Visier genommen worden waren, und führte weiterhin Stichproben in den Hosting-Umgebungen durch, um Anzeichen für eine Kompromittierung zu erkennen. Wir fanden keine Hinweise auf erfolgreiche Angriffe im Zusammenhang mit PHP2Shell.

Die während der Reaktion veröffentlichten Updates kannst du auf unserer Statusseite zum PHP-Sicherheitsvorfall nachlesen.

Müssen Kinsta-Kunden irgendetwas unternehmen?

Nein. Wenn deine WordPress-Website bei Kinsta gehostet wird, haben wir die notwendigen Sicherheitsupdates bereits installiert.

Du musst wegen PHP2Shell weder deine PHP-Version ändern, noch einen separaten Patch installieren oder deine Website offline nehmen. Die Schutzmaßnahmen gelten auch für deine Staging-Umgebungen.

Falls du während der Behebung der Sicherheitslücken vorsorglich Umgebungen gesperrt hast, kannst du diese nun wieder aktivieren. Unser Team hat die entsprechenden Sicherheitsupdates auch auf den gesperrten Umgebungen durchgeführt.

Du solltest deine WordPress-Installation, Plugins und Themes im Rahmen deiner normalen Website-Wartung weiterhin auf dem neuesten Stand halten. Diese Updates sind jedoch unabhängig von den PHP2Shell-Korrekturen, die wir bereits auf Hosting-Ebene durchgeführt haben.

Wo du Updates findest und Hilfe bekommst

Wenn du WordPress-Websites für Kunden verwaltest, kannst du unseren offiziellen PHP-Sicherheitsvorfallbericht an sie weiterleiten. Er dokumentiert die Updates, die wir vorgenommen haben, sobald gepatchte PHP-Versionen verfügbar waren, und bestätigt die Behebung des Vorfalls.

Wenn du Fragen zu einer bestimmten Website hast oder deren Sicherheitsstatus überprüfen möchtest, kannst du dich direkt über MyKinsta an unser Support-Team wenden. Unser Team steht dir rund um die Uhr zur Verfügung.

Weitere Informationen findest du in unserer Anleitung zur Kontaktaufnahme mit dem Kinsta-Support.

Joel Olawanle Kinsta

Joel ist Frontend-Entwickler und arbeitet bei Kinsta als Technical Editor. Er ist ein leidenschaftlicher Lehrer mit einer Vorliebe für Open Source und hat über 200 technische Artikel geschrieben, die sich hauptsächlich um JavaScript und seine Frameworks drehen.