Kritische PHP-Sicherheitslücke („php2shell“): Ist meine Website betroffen und was muss ich tun?

Seit dem 21. Oktober 2026 geht die Meldung durch alle Medien: zwei kritische Lücken in PHP, der Technik hinter fast jeder WordPress-Website. Die Lage ist ernst, aber sie ist auch überschaubar. Eine gepflegte Website bei einem vernünftigen Hoster steht nicht offen, und der Patch kommt vom Hoster, nicht von Ihnen. Kunden von uns können unten im Live-Stand ihre Domain eingeben und sehen sofort, wie es um ihre Website steht.

Was es ist und wen es betrifft

• Zwei Fehler in PHP selbst (Kennungen CVE-2026-109618 und CVE-2026-109619), beide mit der höchsten Risikostufe bewertet, in den Medien „php2shell“ genannt.
• Betroffen ist nicht WordPress, nicht Ihr Theme und kein Plugin, sondern die PHP-Laufzeit auf dem Server. Deshalb hilft kein WordPress-Update dagegen, und deshalb betrifft es praktisch jede Website, die mit PHP läuft, also auch Shops, Foren und Buchungssysteme.
• Reine statische Websites ohne PHP sind nicht betroffen.
• Korrigierte PHP-Versionen gibt es seit dem 21. Oktober 2026 für alle gepflegten Zweige (8.2, 8.3, 8.4 und 8.5). Für ältere Zweige wurden Nachbesserungen angekündigt, aber nicht garantiert.

Warum es ernst ist und was passieren kann

Ein Angreifer kann über die Lücke ohne Login eigenen Code auf dem Webserver ausführen. Im schlimmsten Fall heißt das: Schadcode auf der Website, Weiterleitungen auf fremde Seiten, Spam-Versand über den Server oder eine verschlüsselte Datenbank. Das ist die Art von Lücke, bei der Hoster nachts arbeiten, und das tun sie gerade.

Zwei Dinge machen sie trotzdem beherrschbar. Erstens braucht ein Angriff tausende präparierte Anfragen an dieselbe Website, so etwas fällt auf und wird in der Regel vorher gefiltert. Zweitens ist bisher keine aktive Ausnutzung bekannt; die Lücke wurde von Sicherheitsforschern gefunden und zusammen mit dem Patch veröffentlicht. Zwischen Veröffentlichung und einer echten Angriffswelle vergehen erfahrungsgemäß Tage.

Was es einordnet, und warum der Hoster am Zug ist

Die Schlagzeilen klingen dramatisch, und einige Hoster haben am Tag des Releases vorübergehend eigene Verwaltungsoberflächen abgeschaltet. Das ist kein Zeichen, dass Websites bereits angegriffen werden, sondern Vorsicht auf Seiten der Hoster, deren eigene Systeme ebenfalls auf PHP laufen.

Bei gewöhnlichem Webhosting läuft PHP nicht in Ihrer Website, sondern auf dem Server des Hosters, gemeinsam für hunderte Websites. Nur der Hoster kann diese Datei austauschen, und er tut das serverweit, in der Regel innerhalb von Stunden bis wenigen Tagen. Weder Sie noch wir haben darauf Zugriff, auch nicht mit Admin-Rechten in WordPress oder mit FTP-Zugang. Es gibt keinen Knopf dafür, ein Support-Ticket beschleunigt nichts, und die im Netz kursierenden Notlösungen (Speicherlimit, Upload-Größe) legen Formulare und Uploads lahm, ohne wirklich zu schützen.

Was Sie oder wir im Hosting-Konto wählen können, ist nur der PHP-Zweig, also 8.2, 8.3 oder 8.4. Die Korrekturstufe dahinter (etwa 8.3.35 oder 8.3.36) kommt vom Hoster. Ernst wird es daher vor allem dort, wo eine Website noch auf einem nicht mehr gepflegten Zweig läuft (8.1 oder älter). Dort kommt kein regulärer Patch, dort muss umgestellt werden.

Aktueller Stand

Was wir für Sie tun

• Wir prüfen bei allen betreuten Websites, auf welchem PHP-Zweig sie laufen, und beobachten mehrmals täglich, wann die Hoster die korrigierten Versionen ausliefern. Der Live-Stand oben wird daraus gespeist.
• Läuft eine Website noch auf einem nicht mehr gepflegten Zweig, stellen wir sie in Abstimmung mit Ihnen auf eine aktuelle Version um. Dafür braucht es in manchen Fällen einen kurzen Test, weil sehr alte Plugins nicht mit jeder PHP-Version zusammenpassen.
• Wir melden uns, wenn bei Ihrer Website etwas zu entscheiden ist. Keine Nachricht heißt: nichts zu tun.
• Bei Websites in Wartung ist das abgedeckt. Ohne Wartung ist der Hoster allein zuständig, siehe Was passiert ohne Wartung?

Was Sie tun sollten

1. Domain oben im Live-Stand prüfen. Dann wissen Sie, ob Ihre Website schon versorgt ist.
2. In der Regel nichts weiter. Der Patch kommt vom Hoster, die Website läuft normal weiter.
3. Mails von Hostern ruhig lesen. Manche Anbieter nutzen solche Meldungen für Verkaufsangebote („Sicherheitspaket buchen“). Leiten Sie die Mail im Zweifel an uns weiter. Mehr dazu unter Mein Hoster schickt Warnungen.
4. Wenn Sie Ihr Hosting selbst verwalten: Schauen Sie im Hosting-Konto nach, welcher PHP-Zweig eingestellt ist. Alles ab 8.2 ist in Ordnung. Steht dort 8.1, 8.0 oder 7.x, melden Sie sich bei uns, bevor Sie etwas umstellen.
5. Keine Notlösungen aus dem Netz einbauen. Sie schützen nur teilweise und können Uploads und Formulare lahmlegen.

Häufige Fragen

• Ich habe gehört, es seien „alle Versionen seit PHP 5“ betroffen. Stimmt das? Ja, aber entscheidend ist, wofür es einen Fix gibt. Für die gepflegten Zweige ab 8.2 ist er da. Alles darunter sollte ohnehin umgestellt werden.
• Mein Hoster ist gerade nicht erreichbar, hängt das zusammen? Möglich. Einige Hoster haben am Tag des Releases eigene Verwaltungsoberflächen vom Netz genommen oder wurden von Angriffswellen getroffen. Kundenwebsites liefen davon in der Regel unbeeinträchtigt weiter.
• Muss ich das Passwort ändern? Nein, die Lücke hat nichts mit Zugangsdaten zu tun.
• Gibt es Sicherungen, falls doch etwas passiert? Hosting-Pakete enthalten in der Regel tägliche Backups. Selbst im schlimmsten Fall lässt sich eine Website wiederherstellen.
• Woran erkenne ich selbst, dass mein Hoster gepatcht hat? Im WordPress-Backend unter Werkzeuge › Website-Zustand › Bericht › Server steht die exakte PHP-Version. Gepatcht sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder höher.
• Meine Domain wird im Live-Stand nicht gefunden. Dann ist die Website nicht in unserer Betreuungsliste oder anders geschrieben (zum Beispiel mit Umlaut). Schreiben Sie uns kurz, dann prüfen wir sie.