PHP2Shell: Was WooCommerce- und Shopware-Händler jetzt tun müssen – und warum Shopify-Händler ruhig schlafen

Wenn du einen WooCommerce- oder Shopware-Shop betreibst, hast du in den letzten Tagen vermutlich eine Mail von deinem Hoster bekommen. Oder du hast sie bekommen und noch nicht gelesen. In beiden Fällen ist dieser Beitrag für dich. Ich erkläre dir ohne Panikmache, was PHP2Shell ist, wie du in fünf Minuten prüfst, ob dein Shop gefährdet ist, und was du heute tun solltest. Und dann reden wir über das, worüber in den ganzen Agentur-Beiträgen zu dieser Lücke niemand spricht: Warum dieses Problem für einen Teil der Händler gar nicht existiert, und ob du zu diesem Teil gehören willst.

Hinweis: Dieser Beitrag ist eine technische Einordnung aus Händlersicht, keine Sicherheitsberatung für deinen konkreten Server. Wenn du Anzeichen für einen erfolgreichen Angriff siehst, hol dir Hilfe von deinem Hoster oder einem Sicherheitsdienstleister. Stand aller Angaben: 30. Oktober 2026.

01Was ist PHP2Shell und warum ist das diesmal anders?

PHP ist die Programmiersprache, in der WordPress, WooCommerce, Shopware, Magento, TYPO3 und Joomla geschrieben sind. Grob geschätzt läuft über drei Viertel aller Websites mit serverseitigem Code auf PHP. Sicherheitslücken in Plugins und Themes gibt es jede Woche, das ist Alltag. PHP2Shell ist anders, weil die Lücke nicht in einem Plugin steckt, sondern im PHP-Interpreter selbst, also in der Software, die deinen Shop-Code überhaupt erst ausführt.

Konkret geht es um zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Das PHP-Sicherheitsteam stuft beide als kritisch ein, die Bewertung liegt bei 9,2 von 10 Punkten. Der Angriff funktioniert ohne Anmeldung, ohne Kontaktformular und ohne Upload-Feld: Es reicht eine präparierte Anfrage an deinen Server. Bei Servern mit Apache und mod_php läuft der demonstrierte Angriff sogar ab, bevor dein WordPress-Code überhaupt gestartet ist. Das heißt im Klartext: Es ist egal, wie gut dein Shop gepflegt ist. Wenn die PHP-Version darunter alt ist, bist du angreifbar.

Und das ist keine Theorie. Amazon meldet Angriffsversuche gegen seine Honeypots bereits ab dem 17. Oktober, also vier Tage vor der offiziellen Veröffentlichung. Die US-Behörde CISA hat beide Lücken Ende Oktober in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen. Auf GitHub liegen fertige Exploit-Werkzeuge, die mit einem Befehl ganze Serverlisten abklappern. Wer jetzt noch ungepatcht ist, wird nicht vielleicht gefunden, sondern sicher.

02Welche Shopsysteme sind betroffen?

Kurz gesagt: alle, die auf PHP laufen. Das ist im DACH-Raum der größte Teil der selbst gehosteten Shops.

System	Läuft auf PHP?	Wer muss patchen?
WooCommerce / WordPress	Ja	Du oder dein Hoster
Shopware 5 und 6	Ja	Du oder dein Hoster
Magento / Adobe Commerce	Ja	Du oder dein Hoster
JTL-Shop	Ja	Du oder dein Hoster
Gambio, OXID, PrestaShop	Ja	Du oder dein Hoster
TYPO3, Joomla, Drupal (Website neben dem Shop)	Ja	Du oder dein Hoster
Shopify	Nein	Niemand – Shopify betreibt die Server selbst
Wix, Squarespace, Shopify-ähnliche Baukästen	Nein	Niemand

Wichtig: Betroffen ist nicht nur dein Shop, sondern jede PHP-Anwendung auf demselben Server. Viele Händler haben neben dem Shop noch ein altes WordPress-Blog, eine Landingpage oder ein Tool laufen, das seit Jahren niemand angefasst hat. Ein einziger ungepatchter Container reicht, um den ganzen Server zu kompromittieren. Wenn du eine Übersicht brauchst, wie Shopware und WooCommerce grundsätzlich im Vergleich zu Shopify stehen, lies Shopify vs. Shopware und Shopify vs. WooCommerce.

03Der Fünf-Minuten-Check: Ist dein Shop gefährdet?

Du brauchst keine Tools und keinen Entwickler, um die wichtigste Frage zu beantworten. Du brauchst deine PHP-Version. So findest du sie:

1. WooCommerce: Im WordPress-Admin unter Werkzeuge, Website-Zustand, Reiter Bericht, Abschnitt Server. Dort steht die PHP-Version.
2. Shopware 6: Im Admin unter Einstellungen, System, Systeminformationen.
3. Shopware 5: Im Backend unter Einstellungen, Systeminfo.
4. Jedes andere System: Im Kundenbereich deines Hosters. Bei fast allen Anbietern gibt es einen Punkt „PHP-Version" oder „PHP-Einstellungen".

Dann vergleichst du mit dieser Tabelle. Die rechte Spalte ist die Version, ab der du sicher bist.

Dein PHP-Zweig	Sicher ab	Status
8.5	8.5.12	Aktiver Support
8.4	8.4.27	Aktiver Support bis Ende 2026
8.3	8.3.36	Nur Sicherheitsupdates bis Ende 2027
8.2	8.2.35	Nur Sicherheitsupdates bis Ende 2026
8.1, 8.0, 7.4 und älter	Kein offizieller Patch	End of Life – nur Backports der Linux-Distribution oder des Hosters

Liegt deine Version darunter, bist du angreifbar. Liegt sie bei 8.1 oder älter, ist die Lage ernster, weil es vom PHP-Projekt keine reguläre gepatchte Version mehr gibt. Debian, Ubuntu und Red Hat haben zwar für ihre Pakete Korrekturen nachgeschoben, auch für PHP 7.4 und 8.0 auf RHEL. Aber ob dein Hoster die eingespielt hat, weißt du nur, wenn du fragst.

Ein Blick auf die Zahlen zeigt, wie groß das Problem ist: Eine Shodan-Auswertung vom 20. Oktober 2026 fand rund 884.000 öffentlich erreichbare Server, die eine End-of-Life-PHP-Version melden. Das sind 59 Prozent aller Server, die ihre Version überhaupt preisgeben. Weitere 740.000 verraten ihre Version nicht. Wenn dein Shop auf einem Standard-Webhosting-Paket läuft, das du seit 2021 nicht angefasst hast, ist die Wahrscheinlichkeit hoch, dass du in dieser Gruppe bist.

04Was du heute tun solltest, wenn du betroffen bist

In dieser Reihenfolge. Punkt eins ist Pflicht, der Rest hängt von deiner Situation ab.

1. PHP aktualisieren. Bei Managed Hosting (IONOS, Strato, All-Inkl, Hetzner Webhosting, Mittwald, Raidboxes) stellst du die Version im Kundenmenü um oder der Hoster hat sie bereits umgestellt. Prüfe nach, ob die Patch-Nummer stimmt – „PHP 8.3" allein sagt nichts, es muss 8.3.36 oder höher sein. Bei eigenem Server oder VPS: Paketquellen aktualisieren, PHP-Pakete updaten, PHP-FPM beziehungsweise Apache neu starten.
2. Backup vorher machen. Ein Sprung von PHP 7.4 auf 8.3 kann alte Themes und Plugins brechen. Teste nach dem Update den Checkout einmal komplett durch: Produkt in den Warenkorb, Zahlart wählen, Bestellung abschließen.
3. Wenn ein Update nicht sofort geht: Als Notlösung kann in der php.ini die Option session.upload_progress.enabled auf Off gesetzt werden. Das schließt eine der beiden Lücken, nicht beide, und wirkt nur, wenn die Einstellung serverseitig gesetzt und PHP danach neu gestartet wird. Das PHP-Team sagt selbst: Konfigurationsänderungen machen eine Installation nicht sicher, nur das Update tut das. Betrachte es als Pflaster, nicht als Lösung.
4. Hoster anschreiben. Wenn du nicht weißt, ob dein Server gepatcht ist, frag schriftlich nach. Formuliere konkret: „Welche PHP-Version läuft auf meinem Paket und sind die Patches für CVE-2026-109618 und CVE-2026-109619 eingespielt?" Ein seriöser Hoster antwortet dir innerhalb eines Tages.
5. Auf Anzeichen eines Angriffs prüfen. Unbekannte Dateien im Webroot, neue Admin-Benutzer, unerklärliche Weiterleitungen, Bestellbestätigungen, die plötzlich nicht mehr ankommen. Wenn du so etwas siehst, ist das Update allein nicht genug, dann brauchst du eine Bereinigung.
6. Passwörter und API-Keys rotieren, falls dein Server in den letzten zwei Wochen ungepatcht erreichbar war. Zahlungsanbieter-Keys, SMTP-Zugänge, Datenbank-Passwörter.

05Du bist auf Shopify? Dann musst du dir keine Sorgen machen

Falls du diesen Beitrag liest, weil du einen Shopify-Shop hast und wissen willst, ob du jetzt irgendwas tun musst: Nein. Du kannst den Tab schließen und dich wieder um dein Geschäft kümmern. PHP2Shell betrifft dich nicht, und es gibt keinen Server, kein Update und keine Einstellung, die du prüfen müsstest.

Der Grund ist einfach. Shopify ist keine Software, die du auf einem Server installierst, sondern eine Plattform, die Shopify selbst betreibt. Die Shopify-Infrastruktur läuft nicht auf PHP, sondern auf Ruby und eigenen Systemen, und selbst wenn dort morgen eine vergleichbare Lücke auftauchen würde, wäre Shopify dafür zuständig, sie zu schließen, nicht du. Du würdest davon nicht einmal etwas mitbekommen. Shopify betreibt die Server für Millionen Händler weltweit und hat dafür ein eigenes Sicherheitsteam, das rund um die Uhr nichts anderes macht.

Das ist der Unterschied zwischen gehostet und selbst gehostet, und er ist in Wochen wie dieser nicht abstrakt. Während WooCommerce-Händler gerade mit ihrem Hoster telefonieren und hoffen, dass das alte Theme nach dem PHP-Update noch funktioniert, haben Shopify-Händler diese Woche nichts anderes gemacht als verkaufen. Was Shopify darüber hinaus an Wartung abnimmt und was trotzdem bei dir bleibt, steht im Beitrag zur Shopify Wartung.

06Shopify vs. WordPress und PHP: Wer ist für was zuständig?

Die folgende Tabelle ist die, die ich jedem zeige, der mich nach „Shopify oder WooCommerce" fragt. Sie hat nichts mit Funktionen oder Design zu tun, sondern nur mit der Frage: Wer trägt die Verantwortung, wenn etwas kaputt ist?

Aufgabe	WooCommerce / Shopware (selbst gehostet)	Shopify
PHP- und Server-Updates	Du oder dein Hoster	Shopify
Sicherheitslücken im Kern	Du (Update einspielen)	Shopify
Plugin- und Theme-Updates	Du, regelmäßig, mit Kompatibilitätsrisiko	Apps aktualisieren sich selbst, Theme-Updates sind optional
Backups	Du oder ein Plugin	Shopify (Shop-Daten), Apps für Theme-Historie
PCI-Konformität für Kartenzahlungen	Du, über den Zahlungsanbieter und den Server	Shopify (PCI DSS Level 1)
Verfügbarkeit am Black Friday	Dein Server, dein Hosting-Tarif	Shopify
Zeitaufwand für Technik pro Monat	Je nach Shop 2 bis 10 Stunden oder ein Wartungsvertrag	Nahe null
Laufende Kosten	Hosting 10 bis 200 €, Wartung oft 100 bis 500 €, Plugins extra	Tarif ab 27 € (Basic) bzw. 79 € (Grow), Apps extra

Was WordPress und WooCommerce dafür bieten: volle Kontrolle über den Server, keine Plattformgebühren, unbegrenzte Anpassbarkeit im Code und keine Abhängigkeit von einem Anbieter. Das ist für manche Händler viel wert. Aber es ist ein Tausch, und die Rechnung für diesen Tausch kommt in Wochen wie dieser.

07Die ehrliche Rechnung: Was kostet dich Server-Wartung wirklich?

„WooCommerce ist kostenlos" ist einer der hartnäckigsten Sätze im E-Commerce. Die Software ist kostenlos, der Betrieb nicht. Für einen typischen DACH-Shop mit 300 bis 2.000 Produkten sieht die Rechnung so aus:

• Hosting: Ein Paket, das einen Shop mit Besucherspitzen trägt, kostet 20 bis 80 € pro Monat. Managed WordPress-Hosting mit automatischen Updates eher 50 bis 200 €.
• Wartung: Entweder du machst es selbst (Plugins, Theme, PHP, Backups prüfen, nach Updates testen) und investierst dafür realistisch zwei bis zehn Stunden im Monat. Oder du buchst einen Wartungsvertrag bei einer Agentur, der in Deutschland meist zwischen 100 und 500 € im Monat liegt.
• Notfälle: Ein gehackter Shop kostet in der Bereinigung schnell 1.000 bis 5.000 €, dazu der Umsatzausfall, dazu im schlimmsten Fall eine DSGVO-Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, weil Kundendaten abgeflossen sein könnten.
• Kostenpflichtige Plugins: Für Rechtstexte, Zahlarten, Versand und SEO kommen in der Regel 30 bis 150 € pro Monat dazu.

Shopify kostet im Basic-Tarif 27 € und im Grow-Tarif 79 € pro Monat (jährlich gezahlt, Stand September 2026), dazu Apps je nach Bedarf. Hosting, Updates, Sicherheit, Backups und PCI sind drin. Die Gebührenseite habe ich im Beitrag Shopify Gebühren 2026 bis auf den Cent aufgeschlüsselt, und die Gesamtkosten inklusive Apps stehen auf der Seite Shopify Kosten.

Der Punkt ist nicht, dass Shopify immer billiger ist. Bei sehr hohem Umsatz mit externem Zahlungsanbieter kann es teurer sein. Der Punkt ist, dass bei Shopify eine ganze Kategorie von Aufwand und Risiko nicht existiert, und dass diese Kategorie in der WooCommerce-Rechnung meistens fehlt, bis sie plötzlich sehr teuer wird.

08Wann der Wechsel zu Shopify jetzt Sinn ergibt – und wie er abläuft

Ich rate niemandem, in Panik zu migrieren. Wer heute ungepatcht ist, soll heute patchen, nicht in sechs Wochen umziehen. Aber wenn du beim Fünf-Minuten-Check gemerkt hast, dass du deine PHP-Version nicht kanntest, nicht wusstest, wer sie updatet, und erst durch diesen Beitrag von der Lücke erfahren hast, dann sagt das etwas über dein Setup aus. Nicht über dich, sondern über die Frage, ob ein selbst gehosteter Shop zu deinem Geschäft passt.

Für diese Händler ergibt der Wechsel in den nächsten Monaten Sinn:

• Du hast keinen Entwickler im Haus und keinen Wartungsvertrag, und der Shop „läuft halt".
• Dein Shop läuft auf Shopware 5, das seit Mitte 2024 End of Life ist und keine Sicherheitsupdates mehr bekommt.
• Du zahlst einen Wartungsvertrag, der mehr kostet als ein Shopify-Tarif inklusive Apps.
• Du hast in den letzten zwei Jahren mindestens einmal einen Ausfall oder einen Hack erlebt.

Eine Migration zu Shopify läuft bei mir nach einem festen Ablauf: URL-Inventur und 301-Mapping, damit deine Google-Rankings erhalten bleiben; Übernahme von Produkten, Varianten, Kunden und Bestellhistorie; Aufbau des neuen Shops auf einer Staging-Umgebung, während der alte weiterläuft; Rechtstexte, Zahlarten und Versand für DACH; Go-Live mit minimaler Umschaltzeit. Für WooCommerce dauert das je nach Umfang drei bis acht Wochen, für Shopware ähnlich. Die Details stehen in den Anleitungen Von WooCommerce zu Shopify migrieren und Von Shopware zu Shopify migrieren, und was die Migration zum Festpreis beinhaltet, auf der Seite Shopify Migration.

09Was NICHT geht: Wo Shopify dir keine Sorgen abnimmt

Damit das hier kein Werbeprospekt wird, auch die andere Seite. Shopify nimmt dir die Server-Sicherheit ab, aber nicht die ganze Sicherheit.

• Dein Admin-Login bleibt dein Risiko. Wer dein Shopify-Passwort hat, hat deinen Shop. Zwei-Faktor-Authentifizierung ist Pflicht, Mitarbeiterkonten mit eingeschränkten Rechten ebenfalls.
• Apps sind Code von Dritten. Eine App mit zu vielen Berechtigungen kann Kundendaten abgreifen. Installiere nur, was du brauchst, und entferne, was du nicht mehr nutzt.
• Custom Code im Theme ist dein Code. Wer Liquid-Snippets oder JavaScript von Fremden einbaut, muss wissen, was die tun.
• Rechtliches bleibt bei dir. Impressum, Datenschutzerklärung, Cookie-Consent, Widerruf: Shopify liefert Werkzeuge, aber keine Rechtsberatung. Was in die Datenschutzerklärung gehört, habe ich separat aufgeschrieben.
• Du gibst Kontrolle ab. Du kannst Shopify nicht auf deinem eigenen Server betreiben, und du kannst nicht jede Kernfunktion im Code ändern. Für manche Geschäftsmodelle ist das ein echter Nachteil, nicht nur ein theoretischer.

Wer diese Punkte im Griff hat, hat auf Shopify ein Sicherheitsniveau, das ein einzelner Händler mit eigenem Server praktisch nicht erreichen kann. Wer sie ignoriert, hat auch auf Shopify ein Problem, nur ein anderes.

10Fazit

PHP2Shell ist keine Lücke, die man aussitzen kann. Wenn dein Shop auf WooCommerce, Shopware oder einem anderen PHP-System läuft, prüfe heute deine PHP-Version und sorge dafür, dass sie auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 steht. Wenn du auf 8.1 oder älter bist, sprich mit deinem Hoster, und zwar heute, nicht nächste Woche.

Und wenn du dabei feststellst, dass du eigentlich nie wieder eine Mail über PHP-Versionen lesen willst: Das ist eine legitime Entscheidung, und sie heißt gehostet statt selbst gehostet. Shopify-Händler hatten diese Woche nichts zu tun, und das ist kein Zufall, sondern das Geschäftsmodell. Ob es zu deinem passt, klären wir in einem kurzen Gespräch, in dem ich dir auch sage, wenn du besser bleibst, wo du bist.

Häufige Fragen zu PHP2Shell und Shopify

Ist mein Shopify-Shop von PHP2Shell betroffen?

Nein. Shopify läuft nicht auf PHP, und die Server werden von Shopify selbst betrieben und gepatcht. Es gibt nichts, was du als Shopify-Händler wegen PHP2Shell tun musst.

Reicht es, WooCommerce und WordPress zu aktualisieren?

Nein. Die Lücke steckt in PHP selbst, nicht in WordPress oder WooCommerce. Du musst die PHP-Version auf dem Server aktualisieren, entweder im Kundenmenü deines Hosters oder per Paketupdate auf dem eigenen Server. Sicher bist du ab PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12.

Was mache ich, wenn mein Shop noch auf PHP 7.4 oder 8.1 läuft?

Für diese Versionen gibt es vom PHP-Projekt keinen regulären Patch mehr. Debian, Ubuntu und Red Hat haben für ihre Pakete Korrekturen nachgeliefert. Frag deinen Hoster, ob die eingespielt sind, und plane den Umstieg auf PHP 8.3 oder 8.4 zeitnah, auch wenn dafür Theme oder Plugins angepasst werden müssen.

Hilft es, session.upload_progress zu deaktivieren?

Nur teilweise. Die Einstellung schließt CVE-2026-109619, nicht CVE-2026-109618, und sie wirkt nur, wenn sie serverseitig in der php.ini gesetzt und PHP danach neu gestartet wird. Das PHP-Team betont, dass Konfigurationsänderungen keine Installation sicher machen. Es ist eine Überbrückung bis zum Update, kein Ersatz.

Woran erkenne ich, dass mein Shop bereits gehackt wurde?

Typische Anzeichen sind unbekannte Dateien im Webverzeichnis, neue Administratorkonten, Weiterleitungen auf fremde Seiten, ausbleibende Bestellbestätigungen oder Warnungen von Google in der Search Console. Wenn du so etwas siehst, reicht das PHP-Update nicht, dann brauchst du eine Bereinigung durch deinen Hoster oder einen Sicherheitsdienstleister.

Ist Shopify grundsätzlich sicherer als WooCommerce?

Auf Server-Ebene ja, weil Shopify die Infrastruktur betreibt, patcht und PCI-DSS-Level-1-zertifiziert ist. Dein Admin-Zugang, deine Apps und dein Custom Code bleiben aber dein Risiko. Ein WooCommerce-Shop mit professioneller Wartung kann sicher betrieben werden, es kostet nur laufend Zeit oder Geld.

Sollte ich wegen PHP2Shell jetzt sofort zu Shopify wechseln?

Nein, erst patchen. Eine Migration dauert drei bis acht Wochen, so lange darf dein Shop nicht ungeschützt bleiben. Wenn du danach feststellst, dass du dich nicht mehr um Server kümmern willst, ist ein Wechsel eine sinnvolle Entscheidung für die nächsten Monate, nicht für die nächsten Tage.