PHP-Sicherheitslücke php2shell: Was Shopware-Shops jetzt tun müssen

Am 21. Oktober 2026 hat das PHP-Team Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht, die unter dem Namen php2shell bekannt geworden sind. Über sie können Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen. Jeder Shopware-Shop läuft auf PHP, viele Schnittstellen und Blogs neben Shopify-Shops ebenfalls. Hier steht, was belegt ist, ob du betroffen bist und was du heute noch tun solltest.

Was ist php2shell?

Hinter dem Namen stecken zwei Fehler im Kern von PHP, also nicht in einem Shopsystem oder Plugin, sondern in der Sprache selbst. Beide führen über Speicherfehler zur Ausführung von fremdem Code auf dem Server, mit den Rechten des Webservers. Die offiziellen Sicherheitshinweise des PHP-Teams beschreiben sie so:

• CVE-2026-109618: Speziell gebaute Anfragen mit Formular- oder Datei-Uploads treiben PHP bei der Verarbeitung in einen Speicherengpass. Dabei kann der Speicher so beschädigt werden, dass Angreifer Code einschleusen.
• CVE-2026-109619: Eine Anfrage hinterlässt nach einem Fehler einen kaputten Zustand, den eine spätere Anfrage auf demselben PHP-Prozess wieder aufgreift.

Beide Lücken haben eine Bewertung von 9,2 von 10 möglichen Punkten (CVSS 4.0). Laut Meldung auf php.net sind alle PHP-Installationen gefährdet, die Webanfragen bedienen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko hat Apache mit mod_php. Ein Angriff ist nicht trivial, er braucht laut Berichten tausende Anfragen. Für automatisierte Angriffswerkzeuge ist das aber kein Hindernis.

Bin ich betroffen?

Wenn auf deinem Server PHP 8.2, 8.3, 8.4 oder 8.5 unterhalb der folgenden Versionen läuft, ja:

• Shopware 6: Die aktuellen Versionen 6.6 und 6.7 laufen auf PHP 8.2 bis 8.5. Jeder Shopware-6-Shop ist damit betroffen, bis PHP aktualisiert ist. Ein Shopware-Update ändert daran nichts, denn der Fehler steckt in PHP. Shopware hat bisher keine eigene Meldung dazu veröffentlicht, das ist bei einer PHP-Lücke auch nicht zu erwarten.
• Shopware 5 und andere alte Systeme: Sie laufen oft noch auf PHP 7.4 oder 8.0. Dafür gibt es kein reguläres Update mehr. Spätestens jetzt ist der Wechsel fällig, mehr dazu in unserem Artikel zur Migration von Shopware 5 auf 6.
• Shopify: Dein Shopify-Shop selbst ist nicht betroffen, denn dort läuft kein PHP von dir. Betroffen ist aber alles, was du daneben betreibst: Schnittstellen zu ERP oder Warenwirtschaft, Webhook-Empfänger, eigene Apps auf PHP oder Laravel, WordPress-Blogs und Landingpages.

Wird die Lücke schon ausgenutzt?

Die Details sind vor dem geplanten Veröffentlichungstermin durchgesickert, deshalb hat das PHP-Team die Updates um einen Tag vorgezogen. Der Technikchef von Cloudflare berichtet laut BleepingComputer von ersten Angriffen, Cloudflare hat Schutzregeln ausgerollt. Bestätigte Massenangriffe gibt es Stand 21. Oktober, 17 Uhr, noch nicht, und die US-Behörde CISA führt die Lücken noch nicht in ihrer Liste aktiv ausgenutzter Schwachstellen. Einige Hoster haben Systeme vorsorglich vom Netz genommen, bis die Updates eingespielt sind. Die Lage ändert sich gerade stündlich.

Was du jetzt tun solltest

1. Hoster fragen oder Statusseite prüfen: Bei Managed Hosting spielen viele Anbieter das Update selbst ein oder haben es schon getan. Lass dir bestätigen, welche PHP-Version danach läuft.
2. Version prüfen, aber die richtige: Der Befehl php -v zeigt nur die Version für die Kommandozeile. Dein Shop läuft oft über PHP-FPM oder mod_php, das kann eine andere Version sein. Prüfe deshalb auch php-fpm -v bzw. die installierten Pakete deiner Distribution. Viele Distributionen spielen Korrekturen in ältere Versionsnummern ein, dann zeigt erst die Paketversion, ob du geschützt bist.
3. Update einspielen und neu starten: Auf eine der sicheren Versionen oder das Sicherheitspaket deiner Distribution aktualisieren. Danach PHP-FPM bzw. Apache neu starten, sonst laufen die alten Prozesse weiter.
4. Wenn das Update nicht sofort geht: php.net nennt Notmaßnahmen, die das Risiko senken, aber nicht beseitigen. Dazu gehört, den Upload-Fortschritt von Sessions abzuschalten (session.upload_progress.enabled = 0) und die erlaubte Größe von Anfragen zu begrenzen. Andere Empfehlungen greifen in die Speichergrenzen ein, die Shopware für Uploads und Importe braucht. Lass das jemanden machen, der deine Serverkonfiguration kennt. Eine Web Application Firewall wie die von Cloudflare hilft nur, wenn dein Server ausschließlich Anfragen über Cloudflare annimmt.
5. Danach genau hinschauen: In den Server-Logs auf auffällig viele Upload-Anfragen achten, im Webverzeichnis nach Dateien suchen, die niemand angelegt hat, und im Admin nach unbekannten Benutzerkonten. Im Zweifel Zugangsdaten und API-Schlüssel erneuern.

Ein Hinweis aus Projekterfahrung: Mit Blick auf den Black Friday planen viele Shops gerade eine Code-Sperre. Sicherheitsupdates von PHP gehören nicht dazu, die spielst du trotzdem ein. Was in der heißen Phase sonst gilt, steht in unserer Black Friday Checkliste.

Und danach: PHP-Version planen

Die Lücke ist ein guter Anlass, die PHP-Version grundsätzlich anzuschauen. Laut php.net bekommt PHP 8.2 nur noch bis 31. Dezember 2026 Sicherheitsupdates, PHP 8.3 bis Ende 2027. Wer heute auf 8.2 aktualisiert, steht in zehn Wochen vor der nächsten Pflicht. Shopware empfiehlt PHP 8.4, das bis Ende 2028 abgesichert ist. Plane den Wechsel jetzt in Ruhe, nicht beim nächsten Notfall.

Stand dieses Artikels: 21. Oktober 2026, 17 Uhr. Wir aktualisieren ihn, wenn sich die Lage ändert. Maßgeblich sind die Meldungen auf php.net und die Hinweise deines Hosters.