PHP2Shell in Plesk beheben: PHP-Handler aktualisieren

Kurz gesagt: Plesk bringt eigene PHP-Versionen mit. Plesk hat bestätigt, dass diese von PHP2Shell betroffen sind. Spielen Sie die Plesk-Updates ein, prüfen Sie danach unter PHP-Einstellungen, welche Version jede Website nutzt, und stellen Sie Websites mit PHP 8.1 oder älter um.

Für wen ist diese Anleitung?

Für Firmen mit einem eigenen oder gemieteten Server, der mit Plesk verwaltet wird. Sie erkennen Plesk an der Anmeldeseite mit Plesk-Logo, oft unter einer Adresse mit :8443.

Wenn ein Dienstleister Ihren Server betreut, leiten Sie ihm diese Seite weiter. Für die Schritte 1 und 3 braucht man Administratorrechte.

Wie PHP in Plesk organisiert ist

Plesk installiert mehrere PHP-Versionen nebeneinander, die sogenannten PHP-Handler. Für jede Domain wird eingestellt, welcher Handler sie ausführt. Dazu kann noch die PHP-Version des Betriebssystems kommen.

Deshalb gilt: Jede installierte PHP-Version muss aktualisiert werden. Und jede Website muss auf einer Version laufen, für die es überhaupt ein Update gibt. Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.

Schritt 1: Plesk-Updates einspielen

1. Melden Sie sich als Administrator in Plesk an.
2. Öffnen Sie Tools & Einstellungen → Updates (je nach Version: „Updates und Upgrades“).
3. Spielen Sie alle verfügbaren Aktualisierungen der installierten Komponenten ein, insbesondere der PHP-Versionen.

Alternativ auf der Kommandozeile:

plesk installer --select-product-id plesk --select-release-current --upgrade-installed-components

Spielen Sie außerdem die Updates des Betriebssystems ein, damit auch dessen PHP-Pakete aktuell sind (siehe Debian und Ubuntu oder AlmaLinux, Rocky und RHEL).

Schritt 2: Versionen der PHP-Handler prüfen

Öffnen Sie Tools & Einstellungen → PHP-Einstellungen. Dort sehen Sie alle PHP-Handler mit ihrer genauen Version und wie viele Domains sie nutzen.

• Handler 8.2 bis 8.5 sollten jetzt mindestens die abgesicherte Version zeigen (z. B. 8.3.36).
• Handler 8.1, 8.0, 7.4 und älter, die noch von Domains genutzt werden, sind ein Problem. Für diese gibt es keine offiziellen Updates. Diese Domains müssen umgestellt werden (Schritt 4).

Die Version eines Handlers können Sie auch direkt abfragen:

/opt/plesk/php/8.3/bin/php -v

Schritt 3: PHP-FPM neu starten

Laufende PHP-Prozesse arbeiten mit dem alten, unsicheren Programm weiter, bis sie neu gestartet werden. Plesk startet die Dienste bei Updates meist selbst neu. Zur Sicherheit:

systemctl restart 'plesk-php*-fpm'
systemctl restart apache2   # auf AlmaLinux/RHEL: httpd

Schritt 4: Domains auf eine unterstützte Version umstellen

Für jede Domain mit veralteter PHP-Version:

1. Websites & Domains öffnen und die Domain wählen.
2. PHP bzw. PHP-Einstellungen öffnen.
3. Die PHP-Version auf mindestens 8.2 stellen und speichern.

Wählen Sie die niedrigste unterstützte Version, mit der die Software der Website funktioniert. Danach können Sie nicht mehr genutzte alte Handler unter Tools & Einstellungen → Updates entfernen.

Welche Risiken hat das PHP-Update?

Das Sicherheitsupdate innerhalb einer Version (z. B. 8.3.20 auf 8.3.36) ist in der Regel unproblematisch. Einzige Nebenwirkung: Die PHP-Prozesse starten neu, laufende Anfragen können für einen Moment abbrechen.

Der Wechsel einer Domain auf eine neue Hauptversion ist riskanter, vor allem wenn ältere Software darauf läuft:

• Fehlerseiten oder weiße Seiten, weil alter Code Funktionen nutzt, die es in neuem PHP nicht mehr gibt.
• Ausfall einzelner Funktionen wie Kontaktformular, Shop-Kasse oder Kundenlogin.
• Fehlende PHP-Erweiterungen: Eine Erweiterung, die die Website braucht (z. B. ioncube oder imagick), ist für den neuen Handler noch nicht aktiviert.
• Andere Einstellungen: Werte wie memory_limit oder upload_max_filesize gelten pro Handler und müssen eventuell neu gesetzt werden.

So senken Sie das Risiko:

1. Sicherung der Domain unter Sicherungsmanager anlegen.
2. Software der Website zuerst aktualisieren (CMS, Plugins, Shop).
3. Domains einzeln umstellen, nicht alle auf einmal, und jede direkt danach testen.
4. Notfallplan: Die alte Version lässt sich in den PHP-Einstellungen der Domain sofort zurückstellen. Das ist nur eine Übergangslösung, denn die alte Version bleibt angreifbar.

Schritt 5: Logs auf Einbruchsspuren prüfen

Ausnutzungsversuche wurden schon vor der Veröffentlichung beobachtet. Prüfen Sie die Logs ab dem 1. August 2026 auf Auffälligkeiten: unbekannte PHP-Dateien im Webverzeichnis, neue Cronjobs (Plesk: Geplante Aufgaben) und ungewöhnliche Prozesse.

So prüfen Sie, ob es geklappt hat

Unter Tools & Einstellungen → PHP-Einstellungen müssen alle genutzten Handler eine abgesicherte Version zeigen. Prüfen Sie zusätzlich jede Website mit unserem kostenlosen Check. Bei vielen Domains nutzen Sie die Sammelprüfung.