PHP2Shell: Was Firmeninhaber jetzt tun sollten

Am 21. Oktober 2026 haben Sicherheitsbehörden weltweit ungewöhnlich breit vor zwei Lücken in PHP gewarnt. Die Fachpresse nennt sie „PHP2Shell“. Wenn Sie eine Firmenwebsite haben, haben Sie davon vielleicht in den Nachrichten gelesen — oder Ihr Hoster hat Ihnen eine Mail geschickt.

Hier steht, was passiert ist, ob es Sie betrifft und was Sie jetzt konkret tun sollten. Die kurze Antwort vorweg: Kein Grund zur Panik, aber ein guter Grund, einmal nachzusehen.

Was passiert ist

PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft — unter anderem WordPress, viele Online-Shops und zahlreiche Redaktionssysteme. Am 20. Oktober sind Details zu zwei Schwachstellen in PHP öffentlich geworden, noch bevor die Updates fertig waren. Beide wurden mit 9,2 von 10 Punkten als kritisch eingestuft. Im schlimmsten Fall können Angreifer darüber eigenen Code auf dem Server ausführen — also die Website übernehmen.

Das PHP-Projekt hat inzwischen Updates veröffentlicht. Sicherheitsfirmen haben erste Angriffsversuche beobachtet.

Wie ernst ist es?

Die Einschätzungen haben sich nach den ersten Tagen beruhigt. Die Sicherheitsfirma Sansec schreibt am 22. Oktober, eine massenhafte Ausnutzung sei unwahrscheinlicher als zunächst befürchtet. Die öffentlich kursierenden Angriffswerkzeuge funktionieren demnach gegen eine Standard-PHP-Installation nicht.

Das ist eine gute Nachricht, aber keine Entwarnung für jede Seite. Ob eine Website angreifbar ist, hängt von ihrer Konfiguration ab — und genau die kennen viele Inhaber nicht. Dazu kommt: Es ist bereits der zweite große Alarm in diesem Jahr. Im Juli traf es mit „wp2shell“ direkt WordPress, die US-Cybersicherheitsbehörde CISA führte die Lücken ab dem 21. Juli als aktiv ausgenutzt.

Ist meine Website betroffen?

Das hängt davon ab, womit sie gebaut ist:

• WordPress, WooCommerce, Shopware, TYPO3, Joomla oder ein anderes klassisches Redaktionssystem: Diese Systeme laufen auf PHP. Ob Ihre Seite betroffen ist, entscheidet die PHP-Version auf dem Server.
• Baukästen wie Wix oder Squarespace: Hier kümmert sich der Anbieter um die Server-Technik. Sie müssen nichts tun.
• Websites, die vorab als fertige Dateien erzeugt werden, zum Beispiel mit Next.js: Auf dem Server läuft kein PHP. Die Lücke betrifft sie nicht.

Wenn Sie nicht wissen, in welche Gruppe Ihre Website gehört, ist das schon die erste wichtige Erkenntnis.

Fünf Fragen an Ihren Hoster oder Ihre Agentur

Sie müssen selbst nichts am Server machen. Aber Sie sollten diese fünf Fragen beantwortet bekommen — am besten schriftlich:

1. 1Welche PHP-Version läuft auf unserer Website? Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie neuere Versionen. Bei vielen Hostern steht die Version im Kundenmenü und lässt sich dort auch umstellen.
2. 2Ist das Update schon eingespielt? Große Hoster aktualisieren PHP meist zentral. Lassen Sie sich das bestätigen, statt es anzunehmen.
3. 3Läuft noch PHP 8.1 oder älter? Diese Versionen bekommen vom PHP-Projekt keine regulären Updates mehr. Manche Hoster liefern eigene Korrekturen nach, verlassen sollten Sie sich darauf nicht. Dann ist der Wechsel auf eine aktuelle Version fällig — vorher in einer Testkopie prüfen, ob alle Erweiterungen mitspielen.
4. 4Sind WordPress, Theme und Erweiterungen aktuell? Nach wp2shell sollte WordPress auf 7.0.2, 6.9.5, 6.8.6 oder neuer stehen. Automatische Updates schlagen manchmal still fehl, einmal nachsehen lohnt sich.
5. 5Gibt es ein aktuelles Backup — und wurde die Wiederherstellung je getestet? Ein Backup, das auf demselben Server liegt wie die Website, hilft im Ernstfall wenig.

Hinter allen fünf steht die eigentliche Frage: Wer ist zuständig? Wenn darauf niemand sofort eine Antwort hat, ist das das größere Risiko — nicht die einzelne Lücke.

Woran Sie einen Angriff erkennen

Nicht jeder Angriff fällt sofort auf. Diese Anzeichen sollten Sie ernst nehmen:

• Ihre Seite leitet Besucher plötzlich auf fremde Seiten weiter, oft nur auf dem Handy.
• Google zeigt bei Ihrer Seite den Hinweis, sie sei möglicherweise gehackt worden.
• In den Suchergebnissen tauchen Unterseiten auf, die Sie nie angelegt haben, oft mit Werbung für Medikamente oder Glücksspiel. Prüfen lässt sich das mit einer Google-Suche nach „site:ihre-domain.de“.
• Im Backend gibt es Benutzerkonten, die niemand kennt.
• Ihr Hoster meldet ungewöhnlich hohe Last oder sperrt die Seite.

Wenn Sie etwas davon sehen: Nicht einfach Dateien löschen. Informieren Sie Ihren Hoster, ändern Sie die Zugangsdaten und holen Sie sich Hilfe, die den Vorfall sauber aufräumt. Wurden über die Website personenbezogene Daten erfasst, etwa über Formulare oder einen Shop, kann außerdem eine Meldepflicht an die Datenschutzbehörde bestehen — in der Regel binnen 72 Stunden, nachdem Sie davon erfahren haben.

Warum das immer wieder passiert

Klassische Systeme wie WordPress bauen jede Seite bei jedem Aufruf neu zusammen. Dafür läuft auf dem Server ständig Programmcode: PHP, die Datenbank, dazu jede installierte Erweiterung. Jede dieser Schichten kann eine Lücke haben, und jede braucht Updates. Das ist kein Fehler des Systems, sondern der Preis für seine Flexibilität — mehr dazu in Warum WordPress langsam ist. Gefährlich wird es erst, wenn sich niemand um die Updates kümmert.

Wie wir das lösen

Wir bauen Websites mit Next.js. Die Seiten werden beim Veröffentlichen einmal erzeugt und danach als fertige Dateien ausgeliefert. Auf dem Server läuft kein PHP, es gibt keine Plugin-Sammlung, die Angriffsfläche ist deutlich kleiner.

Direkt nach der Warnung haben wir alle Websites geprüft, die wir betreuen: Keine davon läuft auf PHP.

Unverwundbar ist trotzdem keine Technik. Auch moderne Systeme brauchen Updates. Der Unterschied ist, dass jemand zuständig ist und sie zeitnah einspielt — nicht erst, wenn etwas passiert ist. Genau darum geht es bei unserer laufenden Betreuung.

Fazit

PHP2Shell ist ernst, nach aktuellem Stand aber kein Grund zur Panik. Nutzen Sie den Anlass trotzdem: Stellen Sie Ihrem Hoster oder Ihrer Agentur die fünf Fragen oben. Kommen alle Antworten schnell und klar, ist Ihre Website in guten Händen.

Wenn nicht, oder wenn Ihr früherer Dienstleister gar nicht mehr erreichbar ist: Wie Sie Domain, Website und E-Mail zurückholen, steht in Agentur weg? So retten Sie Domain, Website & E-Mail. Und wenn Sie die Fragen lieber gemeinsam durchgehen möchten, schreiben Sie uns — das Erstgespräch ist kostenlos.