Was passiert ist
Das PHP-Team hat am 21. Oktober Sicherheitsupdates veröffentlicht, die zwei schwere Lücken schließen (CVE-2026-109618 und CVE-2026-109619). Unter dem Namen PHP2Shell kursiert bereits eine öffentliche Vorführung, die zeigt, wie sich die Lücken über ganz normale Anfragen an eine Website ausnutzen lassen. Das BSI hat die Lage mit seiner zweithöchsten Warnstufe bewertet und rechnet damit, dass Angriffe innerhalb weniger Stunden nach Erscheinen der Updates großflächig beginnen.
Wie ernst die Lage genommen wird, zeigt die Reaktion von Behörden: Einige Kommunen haben ihre Websites vorsorglich vom Netz genommen, zeitweise waren auch die Internetwachen der Polizei in Berlin und Brandenburg nicht erreichbar.
Ist Ihre Website betroffen?
Betroffen sein kann jede Website, die PHP verwendet. Dazu gehören WordPress, WooCommerce, Joomla, TYPO3, Shopware und viele selbst programmierte Seiten. Entscheidend ist die PHP-Version auf dem Server:
- Geschlossen sind die Lücken in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie in allen neueren Versionen.
- Für PHP 7.x, 8.0 und 8.1 gibt es vom PHP-Team keine Updates mehr. Manche Hoster und Linux-Distributionen liefern eigene Korrekturen nach, verlassen sollten Sie sich darauf aber nicht.
Welche Version Ihre Website nutzt, sehen Sie in der Regel in der Verwaltung Ihres Hosting-Pakets. Bei WordPress finden Sie sie außerdem unter Werkzeuge, Website-Zustand, im Bereich Server.
Was Sie jetzt tun sollten
- Bei Ihrem Hoster nachfragen. Bei gemietetem Webspace spielt in der Regel der Hoster die Updates ein. Fragen Sie nach, ob die Korrektur für beide Lücken auf Ihrem Paket bereits eingespielt ist.
- Veraltete Versionen umstellen. Läuft Ihre Seite noch auf PHP 7.x, 8.0 oder 8.1, stellen Sie auf eine aktuelle Version um. Legen Sie vorher eine Sicherung an und prüfen Sie danach, ob die Seite fehlerfrei funktioniert. Alte Plugins und Themes vertragen einen Versionswechsel nicht immer.
- Eigene Server sofort aktualisieren. Wer selbst einen Server betreibt, spielt die korrigierten Versionen ein. Für Systeme mit veralteten Versionen, für die es keine Updates mehr gibt, rät das BSI, sie zu isolieren oder abzuschalten.
- System und Erweiterungen aktualisieren. Bringen Sie bei der Gelegenheit auch WordPress selbst, Plugins und Themes auf den neuesten Stand. Angreifer kombinieren Lücken gern.
- Auf Anzeichen achten. Unbekannte Administratorkonten, fremde Dateien, Weiterleitungen auf unbekannte Seiten oder Warnungen von Google sind ernst zu nehmen. Löschen Sie in diesem Fall nichts und holen Sie sich Hilfe. Die Spuren werden gebraucht, um die Ursache zu finden.
Kein Einzelfall
PHP2Shell ist besonders schwer, aber kein Ausreißer. Sicherheitslücken werden heute schneller gefunden und schneller ausgenutzt als noch vor wenigen Jahren. Auch das BSI warnt davor, dass Angreifer mit KI ihre Angriffe automatisieren und in großem Umfang ausführen können. Für Website-Betreiber heißt das: Die Zeit zwischen dem Bekanntwerden einer Lücke und dem ersten Angriff auf die eigene Seite wird kürzer.
Dass es auch große Unternehmen trifft, zeigt der Fall Notebooksbilliger: Der Händler hat Mitte Oktober seine Kunden über einen Cyberangriff informiert, bei dem Kundendaten abgeflossen sein können. Wie die Angreifer hineingekommen sind, ist nicht öffentlich bekannt, ein Zusammenhang mit PHP2Shell ebenfalls nicht.
Für kleine und mittlere Betriebe ist die Lage oft schwieriger als für Konzerne. Es gibt keine eigene IT-Abteilung, die Website läuft nebenher, und Updates bleiben liegen, bis etwas passiert.
Wie wir damit umgehen
Alle Websites, die wir betreuen und hosten, liefen bereits vor der Warnung auf PHP 8.4, die Korrekturen sind eingespielt. Genau das ist der Unterschied zwischen einer Website, die betreut wird, und einer, die einfach nur läuft.
Unsere eigene Website selbst ist von PHP2Shell nicht betroffen. Sie ist mit Astro gebaut und besteht aus fertigen Seiten, die ohne PHP und ohne Datenbank ausgeliefert werden. Warum das für viele Unternehmensseiten der sicherere Weg ist, erklären wir im Beitrag Astro statt WordPress.
Der Sicherheitscheck für 129 €
Sie wissen nicht, wo Ihre Website steht? Im Sicherheitscheck prüfen wir die PHP-Version, den Stand von System, Plugins und Themes, die Zugänge, Anzeichen für einen Befall, die Sicherungen und die Verschlüsselung. Sie bekommen einen kurzen Bericht mit einer klaren Liste, was zuerst zu tun ist.
129 € netto für eine Website. Mehr dazu auf unserer Seite zur Website-Sicherheit.
Unser Angebot richtet sich ausschließlich an Unternehmen, Selbstständige und Organisationen.
Ist Ihre Seite bereits befallen, melden Sie sich direkt. Dann geht es nicht um einen Check, sondern um schnelle Hilfe.
Stand: 23. Oktober 2026. Wir aktualisieren den Beitrag, wenn sich die Lage ändert.