PHP2Shell: Studie zeigt veraltete PHP-Versionen auf Tausenden Websites
Eine kritische Sicherheitslücke in PHP hat Ende Oktober zahlreiche Website-Betreiber beschäftigt. Während viele Hosting-Anbieter schnell reagierten und Sicherheitsupdates bereitstellten, zeigt eine aktuelle Untersuchung ein anderes Problem: Auf zahlreichen Websites in Deutschland, Österreich und der Schweiz kommen weiterhin veraltete PHP-Versionen zum Einsatz.
Besonders auffällig sind dabei kommunale Websites, Bildungseinrichtungen und sogar reichweitenstarke Internetseiten.
Eine Studie von ShiftPress hat insgesamt 54.743 Websites untersucht und zeigt, wie unterschiedlich Betreiber auf die Sicherheitslücke PHP2Shell reagiert haben.
Die Ergebnisse sind durchaus bemerkenswert. Allerdings sollte man die Zahlen richtig einordnen. Denn eine alte PHP-Version bedeutet nicht automatisch, dass eine Website ungeschützt ist.
Was steckt hinter der Sicherheitslücke PHP2Shell?
PHP gehört zu den wichtigsten Programmiersprachen im Web. Viele Websites nutzen PHP im Hintergrund, beispielsweise für WordPress, Joomla oder individuell entwickelte Webanwendungen.
Am 21. Oktober 2026 wurden Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen PHP2Shell zusammengefasst werden.
Die Sicherheitslücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und erreichen jeweils einen CVSS-Wert von 9,2.
Unter bestimmten Voraussetzungen können Angreifer die Schwachstellen ausnutzen, um eigenen Code auf einem betroffenen Server auszuführen. Besonders problematisch ist, dass dafür keine vorherige Anmeldung notwendig sein muss.
Ein erfolgreicher Angriff könnte beispielsweise dazu führen, dass Dateien manipuliert, sensible Informationen abgegriffen oder weitere Schadprogramme auf dem Server installiert werden.
Die PHP-Entwickler reagierten mit Sicherheitsupdates für die unterstützten Versionszweige.
Die entsprechenden Korrekturen sind mindestens in folgenden Versionen enthalten:
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
Bei älteren PHP-Versionen ist die Situation komplizierter. Hier gibt es teilweise keine regulären Sicherheitsupdates mehr, sodass Betreiber auf individuelle Korrekturen ihrer Hosting-Anbieter angewiesen sind.
Fast 55.000 Websites in Deutschland, Österreich und der Schweiz untersucht
Um herauszufinden, wie schnell Websites auf die Sicherheitslücke reagieren, hat ShiftPress eine umfangreiche Untersuchung durchgeführt.
Dafür wurden am 23. und 29. Oktober 2026 insgesamt 54.743 Websites aus Deutschland, Österreich und der Schweiz überprüft.
Darunter befanden sich kommunale Internetauftritte, Schulen, Hochschulen sowie bekannte und besonders reichweitenstarke Websites.
Die Untersuchung konzentrierte sich auf öffentlich erreichbare Informationen der jeweiligen Startseiten.
Dabei wurde unter anderem ausgewertet, ob PHP erkennbar ist und welche Versionsnummer der Server möglicherweise übermittelt.
Das Ergebnis:
Auf 20.639 der untersuchten Websites konnte PHP nachgewiesen werden. Das entspricht ungefähr 37,7 Prozent der gesamten Stichprobe.
Bei den übrigen Websites bedeutet das allerdings nicht zwangsläufig, dass dort kein PHP verwendet wird. Viele Server geben diese Informationen aus Sicherheits- oder Konfigurationsgründen schlicht nicht preis.
Die tatsächliche Zahl der PHP-Websites könnte deshalb deutlich höher liegen.
Besonders bei Gemeinden bleibt der Sicherheitsstatus oft unklar
Ein auffälliger Teil der Untersuchung betrifft die Internetseiten von Städten und Gemeinden.
Von den insgesamt untersuchten kommunalen Websites waren 5.302 erkennbar mit PHP ausgestattet.
Doch nur 782 dieser Websites zeigten eine Versionsnummer, die eindeutig einer offiziell korrigierten PHP-Version zugeordnet werden konnte.
Das entspricht lediglich 14,7 Prozent.
Bei den übrigen rund 85 Prozent ließ sich von außen nicht bestätigen, ob die Sicherheitslücke geschlossen wurde.
Das klingt zunächst ziemlich beunruhigend.
Allerdings ist hier eine wichtige Unterscheidung notwendig: Die Studie sagt nicht, dass 85 Prozent der kommunalen PHP-Websites verwundbar sind.
Sie zeigt lediglich, dass sich der Patchstatus anhand der öffentlich sichtbaren Versionsinformationen nicht zuverlässig überprüfen lässt.
Und das ist ein entscheidender Unterschied.
Viele Hosting-Anbieter spielen Sicherheitskorrekturen nämlich direkt in ältere PHP-Versionen ein, ohne deren ursprüngliche Versionsnummer zu verändern.
Eine Website kann deshalb weiterhin PHP 7.4 oder PHP 8.1 melden und trotzdem bereits gegen PHP2Shell abgesichert sein.
Viele Websites verwenden noch PHP 8.1 oder älter
Ein weiteres Ergebnis der Studie ist deutlich aussagekräftiger.
Unter den Websites, deren genaue PHP-Version sichtbar war, verwenden weiterhin zahlreiche Betreiber nicht mehr offiziell unterstützte PHP-Reihen.
Besonders auffällig ist das bei bekannten und reichweitenstarken Websites.
<text preserveWhitespace>{""}</text>
| Website-Kategorie | Anteil mit PHP 8.1 oder älter |
|---|---|
| Reichweitenstarke Websites | 24,8 % |
| Weitere bekannte Websites | 24,4 % |
| Städte und Gemeinden | 21,1 % |
| Schulen und Hochschulen | 18,2 % |
Die Zahlen stammen aus der zweiten Messung vom 29. Oktober 2026 und beziehen sich ausschließlich auf Websites mit erkennbarer PHP-Versionsnummer.
Ich finde gerade die Ergebnisse bei bekannten Websites interessant.
Man könnte eigentlich erwarten, dass größere und reichweitenstarke Internetangebote ihre technische Infrastruktur besonders regelmäßig aktualisieren.
Die Untersuchung zeigt aber, dass auch dort noch zahlreiche ältere PHP-Installationen im Einsatz sind.
Dafür kann es durchaus nachvollziehbare Gründe geben.
Manche Anwendungen funktionieren nur mit bestimmten PHP-Versionen. Andere Websites verwenden ältere Erweiterungen, die mit aktuellen Versionen nicht kompatibel sind.
Das erklärt, warum sich ein Upgrade manchmal länger hinzieht. Dauerhaft löst es das Problem aber nicht.
Eine Woche später hatte sich bei vielen alten Installationen kaum etwas verändert
Besonders interessant wird die Studie durch den Vergleich der beiden Messzeitpunkte.
ShiftPress überprüfte dieselben Websites rund eine Woche nach der ersten Erhebung erneut.
Dabei zeigte sich ein deutlicher Unterschied zwischen offiziell unterstützten und älteren PHP-Versionen.
Websites mit unterstützten PHP-Reihen wurden vergleichsweise schnell aktualisiert. Von 307 Websites, die zunächst eine ältere Versionsnummer innerhalb der unterstützten PHP-Zweige meldeten, zeigten bei der zweiten Messung bereits 83 Prozent eine Version mit dem offiziellen Fix.
Anders sah es bei Websites mit PHP 8.1 oder älter aus.
Bei den untersuchten Gemeinden meldeten 89,8 Prozent der zunächst erfassten alten Installationen weiterhin exakt dieselbe Versionsnummer.
Nur 4,4 Prozent waren inzwischen auf eine offiziell unterstützte PHP-Version mit Sicherheitskorrektur gewechselt.
Auch bei Schulen, Hochschulen und bekannten Websites zeigte sich ein ähnliches Bild.
Das bedeutet zwar nicht, dass die unveränderten Systeme tatsächlich ungeschützt waren. Es zeigt aber, dass die technische Modernisierung bei vielen Betreibern weiterhin aufgeschoben wird.
Sogar PHP 5 ist noch im Einsatz
Eine Zahl hat mich bei der Untersuchung besonders überrascht.
Auf 255 Websites wurde noch PHP 5 erkannt.
Diese PHP-Generation hat bereits Ende 2018 ihren offiziellen Support verloren.
Dass entsprechende Installationen auch 2026 noch öffentlich erreichbar sind, zeigt, wie langlebig manche Webanwendungen offenbar sind.
Natürlich kann es auch für solche Altversionen individuelle Sicherheitskorrekturen kommerzieller Anbieter geben.
Das ändert allerdings nichts am grundsätzlichen Problem.
Je älter eine Software wird, desto schwieriger kann es werden, Sicherheitskorrekturen, kompatible Erweiterungen und langfristige Unterstützung sicherzustellen.
Und irgendwann wird aus einer ursprünglich funktionierenden Website eine technische Altlast, deren Wartung immer aufwendiger wird.
Einige Websites wurden vorsorglich abgeschaltet
Nicht alle Betreiber versuchten, ihre Websites während der Sicherheitsprobleme weiterlaufen zu lassen.
In der ersten Messung registrierte ShiftPress mindestens 57 Websites, die wegen PHP2Shell vorsorglich abgeschaltet worden waren.
Weitere neun Websites hatten einzelne Funktionen oder Dienste deaktiviert.
Bei der zweiten Untersuchung am 29. Oktober waren noch 36 Websites wegen der Sicherheitslücke offline.
Darunter befanden sich zehn kommunale Internetauftritte und zwölf Websites von Schulen oder Hochschulen.
Das zeigt zumindest, dass manche Betreiber die Situation ernst genommen haben.
Eine Website vorübergehend abzuschalten, ist natürlich keine schöne Lösung. Gerade bei öffentlichen Einrichtungen können dadurch wichtige Informationen und digitale Dienstleistungen fehlen.
Wenn ein sicherer Betrieb aber nicht gewährleistet werden kann, ist eine zeitweilige Abschaltung unter Umständen vernünftiger, als ein mögliches Sicherheitsrisiko bewusst in Kauf zu nehmen.
Warum alte PHP-Versionen nicht automatisch unsicher sein müssen
Bei der Interpretation solcher Untersuchungen ist Vorsicht angebracht.
Ein häufiger Fehler besteht darin, anhand einer öffentlich sichtbaren Versionsnummer direkt auf den tatsächlichen Sicherheitszustand eines Servers zu schließen.
Genau das funktioniert bei PHP nicht immer zuverlässig.
Viele Hosting-Anbieter verwenden sogenannte Backports.
Dabei wird eine Sicherheitskorrektur in eine ältere Softwareversion übernommen, ohne die vollständige neue PHP-Version zu installieren.
Die angezeigte Versionsnummer kann dadurch unverändert bleiben, obwohl der eigentliche Fehler bereits behoben wurde.
Laut ShiftPress haben unter anderem Hosting-Anbieter wie Hetzner, Mittwald, DomainFactory, netcup, Hostinger und Infomaniak entsprechende Korrekturen für ältere Versionen bereitgestellt.
Deshalb wäre es falsch, aus den Studienergebnissen eine konkrete Zahl tatsächlich verwundbarer Websites abzuleiten.
Das eigentliche Problem liegt woanders: Bei älteren PHP-Reihen fehlt die reguläre Unterstützung durch das PHP-Projekt.
Website-Betreiber sind deshalb darauf angewiesen, dass ihr Hosting-Anbieter weiterhin Sicherheitskorrekturen bereitstellt.
Auch PHP 8.2 steht vor dem Supportende
Wer aktuell PHP 8.2 verwendet, sollte ebenfalls einen Blick auf seine weitere Planung werfen.
Der Sicherheits-Support für diesen Versionszweig endet am 31. Dezember 2026.
Das bedeutet nicht, dass PHP 8.2 ab dem 1. Januar 2027 plötzlich nicht mehr funktioniert.
Allerdings wird die Version dann vom offiziellen PHP-Projekt nicht mehr mit regulären Sicherheitskorrekturen versorgt.
Für Betreiber ist deshalb ein Wechsel auf PHP 8.3, 8.4 oder 8.5 sinnvoll, sofern die eingesetzten Anwendungen diese Versionen unterstützen.
Ich würde dabei nicht erst bis zum letzten Tag warten.
Gerade bei größeren WordPress-Installationen oder individuell entwickelten Websites können Inkompatibilitäten auftreten, die vor einem produktiven Upgrade getestet werden sollten.
Was sollten Website-Betreiber jetzt überprüfen?
Die Ergebnisse der Studie sind ein guter Anlass, die eigene Website einmal genauer unter die Lupe zu nehmen.
Dabei geht es nicht nur um PHP2Shell, sondern grundsätzlich um eine vernünftige Update-Strategie.
Folgende Punkte halte ich für besonders wichtig:
PHP-Version prüfen: Im Hosting-Panel oder direkt auf dem Server kontrollieren, welche PHP-Version tatsächlich für die Website verwendet wird.
Sicherheitsupdates bestätigen: Bei älteren PHP-Reihen den Hosting-Anbieter fragen, ob die Korrekturen für PHP2Shell installiert wurden.
Aktuelle PHP-Version einplanen: Nicht unterstützte Versionen möglichst durch eine aktiv gepflegte PHP-Reihe ersetzen.
CMS und Erweiterungen aktualisieren: Bei WordPress, Joomla und anderen Systemen auch Plugins, Themes und individuelle Erweiterungen berücksichtigen.
Vorher ein Backup erstellen: Größere Änderungen sollten erst nach einer vollständigen Datensicherung durchgeführt werden.
Updates regelmäßig kontrollieren: Zuständigkeiten festlegen und überprüfen, ob wichtige Sicherheitsaktualisierungen tatsächlich installiert wurden.
Besonders wichtig finde ich den zweiten Punkt.
Wer ein normales Webhosting-Paket verwendet, muss PHP-Sicherheitskorrekturen häufig nicht selbst installieren. Trotzdem sollte klar sein, ob der Anbieter die entsprechenden Updates tatsächlich eingespielt hat.
Ein kurzer Blick auf die Statusseite des Hosters oder eine Nachfrage beim Support kann hier mehr Klarheit schaffen als eine öffentlich sichtbare PHP-Versionsnummer.
Wie aussagekräftig ist die ShiftPress-Studie?
Mit fast 55.000 untersuchten Websites ist die Datenbasis durchaus umfangreich.
Besonders hilfreich ist, dass die Untersuchung an zwei unterschiedlichen Tagen durchgeführt wurde. Dadurch lassen sich Veränderungen bei den gemeldeten PHP-Versionen nachvollziehen.
Allerdings hat die Methodik klare Grenzen.
ShiftPress hat ausschließlich öffentlich zugängliche Informationen der jeweiligen Startseiten ausgewertet.
Nicht untersucht wurden beispielsweise interne Verwaltungsbereiche, zusätzliche Subdomains oder die tatsächlich installierten Sicherheitspakete auf den Servern.
Auch der Status möglicher Backport-Korrekturen ließ sich nicht unabhängig überprüfen.
Die Ergebnisse sind deshalb kein vollständiger Sicherheitscheck und auch keine repräsentative Bestandsaufnahme sämtlicher Websites im deutschsprachigen Raum.
Sie zeigen vielmehr, welche PHP-Versionen öffentlich erkennbar waren und wie schnell sich diese Angaben nach der Veröffentlichung der Sicherheitsupdates verändert haben.
Für eine Einschätzung des Modernisierungsstands ist das durchaus interessant.
Für die Behauptung, eine bestimmte Website sei tatsächlich angreifbar, reicht es dagegen nicht aus.
Fazit: Die eigentliche Baustelle sind veraltete Systeme
Die ShiftPress-Studie liefert einen interessanten Einblick in den technischen Zustand zahlreicher Websites in Deutschland, Österreich und der Schweiz.
Positiv fällt auf, dass viele Hosting-Anbieter offenbar schnell auf PHP2Shell reagiert haben.
Weniger erfreulich ist dagegen, wie viele Websites weiterhin auf alten PHP-Versionen laufen.
Besonders bei bekannten Internetangeboten, kommunalen Einrichtungen und Bildungseinrichtungen sollte eine langfristig gepflegte Softwarebasis eigentlich selbstverständlich sein.
Dabei geht es nicht darum, grundsätzlich jede neue PHP-Version sofort installieren zu müssen.
Wichtiger ist, dass Sicherheitsupdates zuverlässig eingespielt werden und veraltete Systeme nicht über Jahre hinweg ohne klare Wartungsstrategie weiterbetrieben werden.
Mein Fazit: Die größte Erkenntnis der Studie ist nicht, dass Tausende Websites nachweislich unsicher wären. Das wurde gar nicht untersucht und lässt sich aus den Zahlen auch nicht ableiten.
Vielmehr zeigt sich, dass zahlreiche Websites von veralteter Software und schwer nachvollziehbaren Sicherheitskorrekturen abhängig sind.
Und genau das könnte beim nächsten größeren Sicherheitsproblem erneut zum Thema werden.
Denn ein funktionierender Internetauftritt ist noch lange kein Beweis dafür, dass auch die Technik dahinter auf einem vernünftigen Stand ist.
Quellen
ShiftPress – PHP2Shell-Studie: 54.743 Websites in Deutschland, Österreich und der Schweiz (Stand: 1. November 2026)
https://shiftpress.ai/de/research/php2shell-studie-dach-2026
PHP.net – Offizielle Sicherheitsupdates und Veröffentlichungen vom Oktober 2026
https://www.php.net/archive/2026.php
PHP.net – Offiziell unterstützte PHP-Versionen und Supportzeiträume
https://www.php.net/supported-versions.php
Microsoft Security Response Center – PHP2Shell und Empfehlungen für betroffene Systeme
