PHP2Shell und wp2shell: So sichern wir Websites in Koblenz ab

Im Oktober 2026 hatten Website-Betreiber gleich zwei Sicherheitsprobleme mit fast gleichem Namen auf dem Tisch. PHP2Shell ist eine kritische Lücke in PHP selbst, der Sprache, in der WordPress und die meisten Websites laufen. wp2shell ist ein öffentlich verfügbares Angriffswerkzeug, das ältere WordPress-Versionen übernimmt.

Beide haben wir in den letzten Wochen bei Unternehmen in Koblenz und Umgebung erlebt. Bei mehreren Kunden haben wir PHP auf eine aktuelle Version gebracht, und wir haben Websites bereinigt, die bereits gehackt waren. Hier steht, was die beiden Lücken bedeuten, woran du einen Befall erkennst und was wirklich hilft.

PHP2Shell: Die Lücke sitzt unter WordPress

Die beiden Schwachstellen hinter PHP2Shell (CVE-2026-109618 und CVE-2026-109619) stecken in der Art, wie PHP eingehende Anfragen auseinandernimmt, zum Beispiel Formulardaten und Datei-Uploads. Das passiert, bevor WordPress, ein Shop oder irgendein Plugin überhaupt startet. Ein Sicherheits-Plugin kann deshalb nichts dagegen tun. Im schlimmsten Fall lässt sich über eine präparierte Anfrage Code auf dem Server ausführen.

Behoben ist das ab diesen Versionen:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP 8.1 und älter bekommen keinen Fix mehr. Wer noch auf PHP 7.4, 8.0 oder 8.1 läuft, kommt um ein Upgrade nicht herum.

Was wir gemacht haben

Sobald die Lücke bekannt war, haben wir zuerst unsere eigenen Server abgesichert. Bis das korrigierte PHP bereitstand, hat eine vorgeschaltete Sperre alle riskanten Anfragen abgewiesen. Gleichzeitig haben wir die PHP-Version der Kundenwebsites in unserer Betreuung stündlich gemessen, bis überall eine abgesicherte Version lief.

Schwieriger waren Websites mit alten PHP-Versionen. Ein Upgrade ist dort kein Klick im Hosting-Menü, denn alte Plugins und Themes laufen unter PHP 8 manchmal einfach nicht mehr. Wir testen deshalb vorher: Die Seiten werden mit der neuen PHP-Version gerendert, bevor wir umstellen. In einem Fall fanden wir so ein Webcam-Plugin, das eine Funktion nutzte, die es in PHP 8 nicht mehr gibt. Wir haben es durch eine schlanke eigene Lösung mit derselben Bedienung ersetzt, dann umgestellt. Für Besucher sah die Seite danach aus wie vorher, nur eben auf PHP 8.5.

wp2shell: Wenn die Website schon jemand anderem gehört

Die zweite Welle traf WordPress direkt. Das Werkzeug wp2shell nutzt Lücken, die WordPress mit den Versionen 6.9.5 und 6.9.9 geschlossen hat. Wer nicht aktualisiert hat, ist ohne Anmeldung angreifbar.

Was wir bei einer betroffenen Website vorgefunden haben, zeigt, wie das abläuft:

• Sieben fremde Administrator-Konten, angelegt in mehreren Wellen über fast drei Monate
• Zwei Plugins mit harmlos klingenden Namen, in Wahrheit versteckte Zugänge, über die Befehle auf dem Server ausgeführt werden konnten
• Ein Werkzeug zum Auslesen von Einstellungen und Benutzerdaten
• Die Admin-E-Mail auf eine Adresse des Angreifers umgestellt, damit der Betreiber sein Passwort nicht mehr zurücksetzen konnte
• Am Ende Seiten mit „Hacked by …“, die öffentlich zu sehen waren

Der erste Einbruch lag fast drei Monate zurück, als es auffiel. Die automatischen Updates waren zwar vorgesehen, griffen wegen der Einrichtung aber nie.

Zwei andere Fälle aus der Region zeigen, dass Angriffe nicht immer so laut sind. Auf einer Website steckte seit Januar Schadcode, vermutlich über einen veralteten Theme-Baustein eingeschleust, obwohl ein Sicherheits-Plugin aktiv war. Auf einer anderen bekamen Besucher eine gefälschte Captcha-Abfrage zu sehen, die sie zum Einfügen von Befehlen auf ihrem eigenen Rechner bringen sollte. Bemerkt hat das zuerst ein Besucher, nicht der Betreiber.

Woran du einen Befall erkennst

Prüf diese Punkte im WordPress-Backend und bei deinem Hosting:

1. Benutzer: Gibt es Administratoren, die du nicht kennst? Namen wie w2s_… oder zufällige Buchstabenfolgen sind ein klares Zeichen.
2. Plugins: Stehen dort Plugins, die du nie installiert hast, oft mit Namen wie „Content Tools“ oder „Optimizer“ und einer Zahlen-Buchstaben-Endung?
3. Admin-E-Mail: Steht unter Einstellungen → Allgemein noch deine Adresse?
4. Anmeldung: Funktioniert „Passwort vergessen“ nicht mehr, obwohl die Adresse stimmen müsste?
5. Versionen: Welche PHP-Version zeigt dein Hosting an? Und läuft WordPress mindestens auf 6.9.9 oder auf 7.x?

Ein einzelner Treffer reicht als Anlass, genauer hinzusehen.

Was im Ernstfall wirklich hilft

Der häufigste Fehler nach einem Hack ist hektisches Löschen. Dann fehlen später die Spuren, um zu verstehen, wie der Angreifer hereinkam und welche Daten er sehen konnte. Wir gehen deshalb immer in dieser Reihenfolge vor:

1. Beweise sichern: eine vollständige Kopie aller Dateien und der Datenbank, mit Prüfsummen, bevor irgendetwas verändert wird.
2. Hintertüren entfernen: fremde Konten, versteckte Plugins, eingeschleuste Dateien und manipulierte Einstellungen.
3. Gegen das Original prüfen: Jede WordPress-Kerndatei wird mit den offiziellen Prüfsummen verglichen. So ist klar, was sauber ist und was nicht.
4. Alle Zugangsdaten erneuern: Datenbank-Passwort, die internen Sicherheitsschlüssel von WordPress (damit fliegen alle alten Anmeldungen raus) und alle Admin-Passwörter.
5. Die Lücke schließen: WordPress und PHP auf aktuelle Versionen bringen und die automatischen Sicherheitsupdates so einrichten, dass sie auch wirklich greifen.
6. Dokumentieren: Der Betreiber bekommt einen verständlichen Bericht mit Zeitablauf und den möglicherweise betroffenen Daten. Damit kann sein Datenschutzbeauftragter entscheiden, ob eine Meldung nötig ist.

Danach: hinsehen statt hoffen

Alle drei Fälle haben eines gemeinsam: Lange hat es niemand bemerkt. Deshalb prüfen wir die Websites in unserer Betreuung täglich auf Updates, unbekannte Administratoren und verdächtige Dateien. Für besonders gefährdete Websites haben wir zusätzlich eine eigene Überwachung aufgebaut. Von außen prüft sie alle 15 Minuten, ob fremder Code ausgeliefert wird. Von innen prüft sie alle 30 Minuten, ob neue Administratoren, neue Plugins oder neue PHP-Dateien auftauchen. Taucht etwas auf, wissen wir es innerhalb einer halben Stunde, nicht erst nach drei Monaten.

Deine Website in Koblenz absichern

Du bist dir nicht sicher, welche PHP-Version deine Website nutzt, oder ob sich jemand Fremdes darin eingerichtet hat? Wir prüfen das, bringen PHP und WordPress sicher auf den aktuellen Stand und bereinigen bei Bedarf einen Befall. Danach behalten wir deine Website im Blick.

Mehr zu unserer Arbeit in der Region findest du auf unserer Seite für Koblenz. Oder schreib uns direkt, dann schauen wir uns deine Website an.