Blog
PHP-Sicherheitslücke PHP2Shell: Was du jetzt für deine Website tun musst
Sicherheit
Kategorie
23. Oktober 2026
Datum
Am 21. Oktober 2026 hat das PHP-Team zwei schwere Sicherheitslücken geschlossen. PHP steckt hinter einem Großteil aller Websites, auch hinter jeder WordPress-Seite. Deshalb betrifft das Thema sehr viele Betriebe.
Bekannt geworden sind die beiden Lücken unter dem Namen „PHP2Shell“. Hier erklären wir ohne Fachchinesisch, was passiert ist, ob deine Website betroffen ist und was du jetzt tun solltest. Kein Grund zur Panik, aber ein guter Grund, heute kurz nachzufragen. Grundlage sind der Sicherheitshinweis des PHP-Teams und die Warnung des BSI, Stand 23. Oktober 2026.
Kurz gesagt
- Zwei schwere Lücken in PHP, der Technik hinter WordPress und vielen anderen Websites.
- Angreifer brauchen kein Passwort. Es reicht, dass deine Website online ist.
- Ein Update von WordPress oder Plugins hilft nicht. PHP auf dem Server muss aktualisiert werden.
- Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer.
- PHP 8.1 und älter bekommt kein offizielles Update mehr, hier hilft nur der Wechsel.
Was passiert ist
Sicherheitsforscher hatten in PHP zwei schwere Fehler entdeckt und dem PHP-Team gemeldet. Eigentlich sollten die Details geheim bleiben, bis ein Update bereitsteht. Doch sie gerieten vorher an die Öffentlichkeit, und so wurde aus einer stillen Reparatur ein Wettlauf mit der Zeit.
- 17. OktoberErste Angriffe Sicherheitsfirmen beobachten erste Angriffsversuche, noch bevor die Lücken öffentlich bekannt sind.
- 20. OktoberLücken werden bekannt Das PHP-Team kündigt ein dringendes Update an. Erste Details sickern schon vorher durch.
- 21. Oktober, 16 UhrUpdate ist da Das PHP-Team veröffentlicht die reparierten Versionen. Seitdem müssen Hoster und Betreiber nachziehen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine eigene Warnung herausgegeben und rät, das Update sofort einzuspielen. Viele Behörden, Hochschulen und Unternehmen in Europa haben ihre Websites vorsorglich für einige Stunden abgeschaltet, bis das Update installiert war. Den Namen „PHP2Shell“ haben die Lücken in Anlehnung an „Log4Shell“ bekommen, eine ähnlich schwere Lücke aus dem Jahr 2021.
Was PHP ist, einfach erklärt
Wenn jemand deine Website aufruft, baut der Server die Seite in diesem Moment zusammen: Er holt Texte und Bilder aus der Datenbank, verarbeitet dein Kontaktformular und schickt das fertige Ergebnis an den Browser. Diese Arbeit erledigt bei sehr vielen Websites PHP. WordPress, Joomla, TYPO3, Shopware und viele Online-Shops laufen damit.
Ein Vergleich: Stell dir deine Website wie eine Wohnung in einem Mietshaus vor. WordPress, dein Theme und deine Plugins sind deine Wohnungstür. Die hältst du mit Updates verschlossen. PHP ist die Haustür des ganzen Hauses, und genau dort war diesmal das Schloss kaputt. Um die Haustür kümmert sich nicht der Mieter, sondern der Vermieter, also dein Hoster.
Ein Update von WordPress oder Plugins reicht diesmal nicht. Die Lücke steckt eine Ebene tiefer, in PHP auf dem Server.
Warum die Lücke so gefährlich ist
Das PHP-Team bewertet beide Lücken mit 9,2 von 10 Punkten, also als kritisch. Der Grund: Ein Angreifer kann über das Internet eigene Befehle auf dem Server ausführen, als wäre er der Besitzer.
- Kein Passwort nötig Angreifer müssen sich nirgends anmelden. Es reicht, dass deine Website erreichbar ist.
- Kein Klick nötig Niemand muss auf einen Link klicken oder einen Anhang öffnen. Die Angriffe laufen vollautomatisch.
- Oft unsichtbar Die Website sieht danach meist ganz normal aus. Eingeschleuste Programme arbeiten im Hintergrund.
- Folgen fürs Geschäft Abgegriffene Formulardaten, Spam über deinen Server, Umleitungen auf Betrugsseiten oder eine Warnung von Google in den Suchergebnissen.
So kann das aussehen: Ein Malerbetrieb hat eine WordPress-Seite mit Kontaktformular. Sein Hoster spielt das Update erst ein paar Tage später ein. In der Zwischenzeit legt ein Angreifer unbemerkt ein kleines Programm auf dem Server ab. Die Seite sieht aus wie immer, verschickt aber nachts tausende Spam-Mails. Wochen später landen die Angebote des Betriebs bei Kunden im Spam-Ordner, und Google warnt bei der Suche vor der Seite.
Das Update schließt die Tür. Was in der Zwischenzeit schon hereingekommen ist, entfernt es aber nicht. Deshalb lohnt sich nach dem Update ein zweiter Blick.
Ist meine Website betroffen?
Betroffen sind praktisch alle PHP-Versionen der letzten Jahre. Entscheidend ist also nicht, ob deine Website PHP nutzt, sondern ob das Update schon eingespielt ist. Wer sich darum kümmert, hängt davon ab, wie deine Website betrieben wird:
WordPress, Joomla und Co.
Diese Systeme laufen mit PHP. Deine Website ist gefährdet, solange PHP auf dem Server nicht aktualisiert ist.
Hosting-Paket beim Anbieter
Liegt deine Website in einem Paket bei einem Hoster, spielt der das PHP-Update ein. Frag nach, ob das schon passiert ist.
Eigener Server
Hast du einen eigenen oder gemieteten Server, musst du oder dein Dienstleister das Update selbst einspielen.
Baukasten wie Wix oder Jimdo
Hier hast du keinen Zugriff auf die Technik dahinter. Um Updates kümmert sich der Anbieter, du musst nichts tun.
Geräte und Programme im Betrieb
Auch manche Netzwerkgeräte, Datenspeicher oder Programme mit Weboberfläche enthalten PHP. Viele Hersteller bringen gerade eigene Updates. Spiel sie ein, sobald sie da sind.
So findest du deine PHP-Version
Deine PHP-Version herauszufinden dauert meist nur eine Minute. Es gibt drei einfache Wege:
- Im Kundenbereich Melde dich bei deinem Hoster an. Die Version steht meist unter „PHP-Einstellungen“ oder „PHP-Version“ bei deinem Paket.
- In WordPress Unter Werkzeuge, Website-Zustand, Reiter „Bericht“ und dort im Bereich „Server“ steht die genaue PHP-Version.
- Beim Dienstleister Betreut eine Agentur oder ein Dienstleister deine Website, frag dort nach. Eine kurze E-Mail reicht.
Wichtig ist die ganze Nummer, also zum Beispiel 8.3.36 und nicht nur 8.3. Daran siehst du, ob das Update schon drin ist:
| Deine Version | Sicher ab | Sicherheitsupdates bis |
|---|---|---|
| PHP 8.5 | 8.5.12 | Ende 2029 |
| PHP 8.4 | 8.4.27 | Ende 2028 |
| PHP 8.3 | 8.3.36 | Ende 2027 |
| PHP 8.2 | 8.2.35 | Ende 2026 |
| PHP 8.1 und älter | Kein offizielles Update | Schon ausgelaufen |
Läuft deine Website noch mit PHP 8.2, wechsle am besten gleich auf 8.3 oder 8.4. Dann bekommt sie noch einige Jahre Sicherheitsupdates. Manche Hoster reparieren auch ältere Versionen selbst. Verlass dich darauf aber nur, wenn dein Hoster es dir ausdrücklich bestätigt.
Was du jetzt tun solltest
- Beim Hoster nachfragen Schreib deinem Hoster oder Dienstleister eine kurze Nachricht, zum Beispiel: „Ist das PHP-Sicherheitsupdate vom 21. Oktober auf meinem Paket schon eingespielt?“ Viele Hoster informieren auch auf ihrer Statusseite.
- Alte Versionen ersetzen Läuft deine Website mit PHP 8.1 oder älter, stell im Kundenbereich auf PHP 8.3 oder 8.4 um. Mach vorher eine Sicherung und prüf danach, ob Formulare, Shop und Design noch funktionieren.
- Auf Spuren achten Gibt es in WordPress Benutzer, die du nicht kennst? Leitet deine Seite auf fremde Seiten um? Gib bei Google site:deinedomain.de ein und schau, ob dort Seiten auftauchen, die nicht von dir sind.
- Passwörter ändern Kam das Update erst Tage später oder kommt dir etwas komisch vor, ändere die Passwörter für WordPress, den Zugang zum Hoster und FTP.
- Sicherungen aufheben Lösch jetzt keine alten Sicherungen. Eine Sicherung von vor dem 17. Oktober stammt aus der Zeit vor den ersten Angriffen und kann im Ernstfall viel wert sein.
Wenn das Update nicht sofort geht
Manchmal dauert es, bis ein Hoster nachzieht, oder eine alte Website lässt sich nicht so schnell umstellen. Für diese Zeit raten Sicherheitsbehörden in Europa und den USA, die Website vorübergehend vom Netz zu nehmen. Das klingt drastisch, ist für ein paar Stunden oder Tage aber meist das kleinere Übel.
Eine Firewall vor der Website, wie sie manche Hoster oder Dienste wie Cloudflare anbieten, fängt viele Angriffe ab. Sie ist aber nur ein Pflaster und ersetzt das Update nicht.
Ein Wartungsmodus-Plugin in WordPress schützt hier nicht. Die Lücke greift, bevor WordPress überhaupt startet. Abschalten musst du die Website deshalb beim Hoster oder auf dem Server.
So helfen wir dir
Du bist unsicher, ob deine Website betroffen ist, dein Hoster antwortet nicht oder dir kommt etwas merkwürdig vor? Melde dich bei uns. Egal ob wir deine Website gebaut haben oder jemand anderes: Wir helfen dir und finden eine Lösung.
- Melden Ruf an unter 0175 488 3910 oder schreib an info@zigla.de. Ein paar Sätze zu deiner Website reichen.
- Prüfen Wir schauen uns PHP-Version, Hosting und mögliche Spuren an und sagen dir ehrlich, wie es aussieht.
- Lösen Wir spielen Updates ein, stellen auf eine aktuelle PHP-Version um, sprechen mit deinem Hoster und räumen auf, falls schon etwas passiert ist.
Damit du dich um solche Dinge künftig nicht selbst kümmern musst, übernehmen wir auf Wunsch auch Hosting, Updates und Sicherungen dauerhaft. Mehr dazu unter Webhosting & Wartung.
Häufige Fragen
Was ist PHP2Shell?
PHP2Shell ist der Spitzname für zwei schwere Sicherheitslücken in PHP, die am 21. Oktober 2026 geschlossen wurden. Über sie können Angreifer ohne Passwort eigene Befehle auf einem Webserver ausführen.
Reicht es, WordPress und die Plugins zu aktualisieren?
Nein. Die Lücke steckt in PHP selbst, also eine Ebene unter WordPress. PHP muss auf dem Server aktualisiert werden. WordPress und Plugins solltest du trotzdem aktuell halten.
Meine Website hat eine Agentur gebaut. Muss ich trotzdem etwas tun?
Frag kurz nach. Viele Agenturen kümmern sich nur um den Bau, nicht um Hosting und Updates. Wer deinen Server betreut, ist auch für das PHP-Update zuständig.
Ist meine Website betroffen, wenn ich Wix oder Jimdo nutze?
Bei Baukästen wie Wix oder Jimdo kümmert sich der Anbieter um die Technik im Hintergrund. Du musst dort selbst nichts aktualisieren.
Woran erkenne ich, ob meine Website gehackt wurde?
Typische Zeichen sind unbekannte Benutzer in WordPress, Umleitungen auf fremde Seiten, eine Warnung von Google in den Suchergebnissen oder E-Mails, die plötzlich im Spam landen. Oft sieht man aber gar nichts. Im Zweifel lass die Website prüfen.
Muss ich einen Angriff melden?
Wenn Angreifer an personenbezogene Daten gekommen sein könnten, etwa aus Kontaktformularen, musst du das in der Regel innerhalb von 72 Stunden der Datenschutzbehörde melden. Was in deinem Fall gilt, klärst du am besten mit deinem Datenschutzbeauftragten oder einer Rechtsberatung.
Helft ihr auch, wenn meine Website nicht von euch ist?
Ja. Ruf an oder schreib uns, egal wer deine Website gebaut hat oder wo sie liegt. Wir schauen sie uns an und finden mit dir eine Lösung.
Stand: 23. Oktober 2026. Quellen: Sicherheitshinweis des PHP-Teams und Warnung des BSI. Wir passen den Beitrag an, wenn sich etwas Wichtiges ändert.
Tim Ziegler
Inhaber von ZIGLA · hat diesen Beitrag geschrieben
Unsicher? Wir schauen uns deine Website an
Ruf uns an oder schreib an info@zigla.de. Wir prüfen, ob deine Website sicher ist, und helfen bei jeder Lösung, auch wenn wir sie nicht gebaut haben. Lieber in Ruhe sprechen? Dann buch dir ein kostenloses Erstgespräch.
- auch für fremde Websites
- Mo. bis Fr. 9 bis 17 Uhr
- Erstgespräch kostenlos
oder ruf an: 0175 488 3910
Lieber erst stöbern? Schau dir an, wie wir Hosting und Wartung für dich übernehmen, oder lies, ob WordPress oder eine individuelle Website besser zu dir passt.
