PHP2Shell: Ist deine Webseite betroffen?
Am 21. Oktober hat PHP zwei kritische Lücken geschlossen, das BSI warnt mit Stufe Orange. Hier steht, wer betroffen ist, was du heute tun solltest und wann sich ein Wechsel lohnt. Stand: 23. Oktober 2026.
Was hast du vor?
Wähle dein Ziel. Dann zeig ich dir, was möglich ist.
Was passiert ist.
Kurz und mit Quellen am Ende der Seite.
Zwei Lücken in PHP selbst
PHP ist die Technik hinter WordPress, Joomla und TYPO3 und läuft auf rund 70 % der Webseiten mit bekannter Server-Sprache. Über die Lücken können Angreifer ohne Login Code auf dem Server ausführen. Schweregrad nach CVSS: 9,2 von 10.
Das BSI warnt mit Stufe 3 von 4
Maßnahmen müssen laut BSI unverzüglich ergriffen werden. Sicherheitsfirmen melden seit dem 21. Oktober Angriffe, erste Versuche gab es schon vorher. Ein erfolgreicher Einbruch über die Lücke ist bisher nicht öffentlich bestätigt.
Die Updates sind da
Behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Große deutsche Hoster wie IONOS, STRATO, Hetzner und all-inkl haben sie in ihren Webhosting-Paketen eingespielt. Auf eigenen Servern und VPS musst du selbst updaten.
Bin ich betroffen? Wähl deine Situation.
Entscheidend ist nicht dein CMS, sondern ob auf deinem Server PHP läuft und wer es aktualisiert.
Dein Hoster ist dran. Prüf es trotzdem.
Die großen deutschen Hoster haben die Updates am 21. und 22. Oktober in ihren Webhosting-Paketen eingespielt, meist ohne dass du etwas tun musst. Läuft deine Seite noch auf PHP 8.1 oder älter, gibt es vom PHP-Projekt keine regulären Updates mehr. Manche Hoster wie Hetzner und all-inkl haben den Fix nach eigenen Angaben auch für alte Versionen nachgerüstet. Frag bei deinem nach.
- PHP-Version im Kundenbereich nachsehen
- Beim Hoster nachfragen, ob PHP2Shell geschlossen ist
- WordPress und Plugins aktuell halten. Gegen diese Lücke hilft das aber nicht
Heute updaten. Nicht morgen.
Auf eigenen Servern spielt niemand das Update für dich ein. Das BSI hielt eine breite Ausnutzung innerhalb weniger Stunden nach den Patches für wahrscheinlich.
- PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren
- PHP-FPM oder Apache danach neu starten
- Container neu bauen, ein Update des Hosts reicht nicht
- Geht das nicht kurzfristig: Webserver vorübergehend vom Internet trennen. Das nennt das BSI als Notlösung
Für deine Version gibt es kein reguläres Update mehr.
Das PHP-Projekt pflegt 8.1 und älter nicht mehr. Am 20. Oktober lief weltweit auf 59 % der PHP-Server mit sichtbarer Version eine Version ohne offiziellen Fix.
- Ein Sprung auf PHP 8.3 oder neuer kann alte Plugins und Themes lahmlegen. Vorher auf einer Kopie testen
- Mittelfristig: umziehen und PHP gar nicht mehr pflegen müssen
Hier patcht der Anbieter.
Diese Plattformen betreiben ihre Server selbst, um die Updates kümmert sich der Anbieter. An PHP kannst du dort nichts ändern.
- Andere Adressen deines Betriebs prüfen, etwa einen alten Blog oder eine Buchungsseite bei einem anderen Hoster
Schick mir den Link zu deiner Seite.
Im ersten Gespräch sage ich dir, worauf deine Webseite läuft und ob du handeln musst.
Was du heute tun solltest. In dieser Reihenfolge.
Gilt für jede Webseite mit PHP. Ein Wechsel kommt erst danach.
-
PHP-Version prüfen
Im Kundenbereich deines Hosters oder in WordPress unter Werkzeuge, Website-Zustand, Bericht, Server. Geschützt sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Zeigt dein Paket eine ältere Nummer, kann der Fix trotzdem drin sein.
-
Beim Hoster nachfragen
Frag schriftlich, ob PHP2Shell (CVE-2026-109618 und CVE-2026-109619) auf deinem Paket geschlossen ist. Manche Hoster spielen den Fix ein, ohne die Versionsnummer zu ändern.
-
Zugänge ändern, wenn dir etwas auffällt
Viele Fehler 500, neue Admin-Konten, PHP-Dateien, die du nicht kennst: Gib deinem Hoster Bescheid und ändere alle Passwörter und Schlüssel. Die Lücke kann Daten aus dem Speicher des Servers preisgeben.
-
Den 31. Dezember einplanen
Dann endet die Sicherheitsunterstützung für PHP 8.2. Jede Seite darauf braucht bis dahin ein Update oder einen Umzug.
Warum ein Wechsel Sinn ergibt.
| Webseite mit PHP | Statische Webseite von Norddorf | |
|---|---|---|
| Beim Aufruf | PHP baut die Seite bei jedem Besuch auf dem Server zusammen | Die fertige Seite wird ausgeliefert. Es läuft kein PHP. |
| PHP2Shell | Betroffen, bis PHP aktualisiert ist | Nicht betroffen, weil auf dem Server kein PHP läuft |
| Was gepflegt werden muss | PHP, CMS und jedes Plugin | Kein PHP, keine Plugins auf dem Server |
| 31. Dezember 2026 | Läuft deine Seite auf PHP 8.2: Update bis dahin nötig | Kein PHP-Supportende |
| Texte und Bilder ändern | Im WordPress-Backend | Im Browser, im CMS deiner Seite (ab dem Paket für 1.500 €) |
Fragen zu PHP2Shell.
Deine Frage fehlt? Schreib mir.
Wurde meine Webseite gehackt?
Das kann dir niemand aus der Ferne sagen. Sicherheitsfirmen melden Angriffe, ein erfolgreicher Einbruch ist bisher aber nicht öffentlich bestätigt. Warnzeichen sind viele Fehler 500, neue Admin-Konten und PHP-Dateien, die du nicht kennst. Siehst du so etwas, gib deinem Hoster sofort Bescheid und ändere alle Zugänge.
Mein Hoster sagt, alles ist gepatcht. Muss ich wechseln?
Heute nicht. Ein gepatchtes PHP ist gegen PHP2Shell geschützt. Ein Wechsel lohnt sich, wenn du nicht bei jeder neuen Lücke hoffen willst, dass dein Hoster schnell ist, oder wenn deine Seite auf PHP 8.2 oder älter läuft. Für 8.2 enden die Sicherheitsupdates am 31. Dezember 2026.
Helfen WordPress-Updates oder ein Sicherheits-Plugin?
Nicht gegen diese Lücke. Sie steckt in PHP selbst, nicht in WordPress oder einem Plugin. Nur das PHP-Update schließt sie. Patchstack rät ausdrücklich von inoffiziellen Fix-Plugins ab.
Ich habe Wix, Squarespace oder Shopify. Bin ich betroffen?
Für die Plattform selbst musst du nichts tun, um die Server kümmert sich der Anbieter. Prüf aber andere Adressen deines Betriebs, etwa einen alten Blog auf einer Subdomain.
Warum ist eine statische Webseite nicht betroffen?
Die Lücke steckt in PHP. Eine statische Webseite wird vorab fertig gebaut, bei mir mit Astro, und als fertige Dateien ausgeliefert. Beim Aufruf läuft kein PHP, also gibt es nichts, das diese Lücke ausnutzen kann. Ab dem Paket für 1.500 € änderst du Texte und Bilder trotzdem selbst im Browser.
Geht das auch mit Online-Buchung?
Ja. Für DB Studios habe ich WordPress und BookingPress durch eine eigene Vermietungsplattform ersetzt. Was du brauchst, kläre ich im ersten Gespräch.
Was kostet der Umzug?
Dasselbe wie eine neue Webseite. Deinen Festpreis bekommst du schriftlich, bevor du etwas zahlst. 1 Monat Betreuung ist inklusive.
Woher stammen die Angaben?
BSI-Warnung BITS-H 2026-297981-1032 vom 21. Oktober 2026, PHP-Projekt (php.net), Patchstack, Help Net Security, W3Techs, die Hoster-Übersicht von severint.net und eine Auswertung von CybelAngel auf Basis von Shodan-Daten vom 20. Oktober 2026. Stand dieser Seite: 23. Oktober 2026.
Deine nächste Webseite braucht kein PHP.
Umzug zum Preis einer neuen Webseite. Schick mir den Link zu deiner Seite, dann bekommst du dein Angebot schriftlich.