Mein Hoster verwaltet PHP. Bin ich sicher?

Erst wenn Ihr Hoster die korrigierte Version installiert und PHP neu gestartet hat. Bitten Sie ihn um Bestätigung, welche PHP-Version Ihre Website ausliefert oder ob er einen zurückportierten Fix seiner Linux-Distribution eingespielt hat.

Schützt mich eine Firewall wie Cloudflare?

Sie hilft. Cloudflare hat Regeln gegen diese Angriffe ausgerollt, meldet aber auch Versuche, sie zu umgehen, und laut PHP behebt nur das Update die Lücken vollständig. Sehen Sie eine Firewall als Sicherheitsgurt, nicht als Reparatur.

Wie funktioniert der Check auf dieser Seite?

Wir laden Ihre Startseite einmal wie ein normaler Besucher und lesen, was sie öffentlich zeigt: die PHP-Version, die manche Server melden, und Spuren von PHP-Systemen wie WordPress. Wir testen oder greifen nichts an. Verbirgt Ihr Server seine Version, können wir nur sagen, dass er PHP nutzt.

Müssen wir unsere Website neu bauen?

Um PHP2Shell zu beheben, nein: Dafür reicht das PHP-Update. Ein Neuaufbau lohnt sich, wenn Sie PHP 8.1 oder älter nutzen, von vielen Plugins abhängen oder sich niemand um den Server kümmert. Dann trifft Sie die nächste kritische Lücke in derselben Lage.

Sicherheitswarnung

PHP2Shell: Ist Ihre Website betroffen?

Zwei kritische Lücken in PHP erlauben es Angreifern, ohne Anmeldung eigenen Code auf einem Webserver auszuführen, und Angriffe laufen bereits. Betroffen sind die meisten Websites auf WordPress und anderen PHP-Systemen. Prüfen Sie Ihre Website unten in wenigen Sekunden.

Stand: 22. Oktober 2026

Wir laden Ihre Startseite einmal, wie ein Browser, und lesen nur, was sie öffentlich zeigt: die PHP-Version, die Ihr Server meldet, und typische Spuren von PHP-Systemen wie WordPress. Es wird nichts angegriffen oder getestet, und wir speichern die Adresse nicht.

Was passiert ist

PHP2Shell einfach erklärt

Zwei kritische Lücken in PHP selbst

CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 bewertet. Sie stecken in PHP selbst, nicht in einem Plugin. Welche Website-Software darauf läuft, spielt keine Rolle.

Keine Anmeldung nötig

Ein Angreifer kann über das Internet eigenen Code auf dem Server ausführen. Forscher haben außerdem gezeigt, dass Serverspeicher auslesbar ist, wodurch Passwörter, Tokens und API-Schlüssel offenliegen können.

Bereits ausgenutzt

Details sind am 20. Oktober durchgesickert, PHP hat am 21. Oktober Fixes veröffentlicht, und Sicherheitsfirmen meldeten noch am selben Tag Angriffe.

Nur ein Update behebt es

Laut PHP schützt keine Konfigurationsänderung vollständig. Einstellungen und Firewalls senken das Risiko, aber nur die korrigierten Versionen schließen die Lücken.

Betroffene und korrigierte PHP-Versionen

PHP-Version	Betroffen	Behoben in
8.5	älter als 8.5.12	8.5.12
8.4	älter als 8.4.27	8.4.27
8.3	älter als 8.3.36	8.3.36
8.2	älter als 8.2.35	8.2.35
8.1 und älter	alle Versionen	kein offizielles Update

Linux-Distributionen liefern den Fix teils unter einer älteren Versionsnummer aus. Nutzt Ihr Hoster eine solche, prüfen Sie dessen Hinweise. PHP 8.2 selbst erreicht am 31. Dezember 2026 sein Lebensende.

Was jetzt zu tun ist

Fünf Schritte, in dieser Reihenfolge

1
Alle Stellen finden, an denen PHP läuft
Ihre Website, aber auch Shops, Buchungstools, Kundenportale, Admin-Bereiche und alte Subdomains. Nutzen Sie den Check oben für jede öffentliche Adresse.
2
Auf die korrigierte Version aktualisieren
Wechseln Sie auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, passend zu Ihrer Version, und starten Sie danach alle PHP-Prozesse neu, damit der Fix wirklich läuft. Wenn Ihr Hoster PHP verwaltet, lassen Sie sich das Update schriftlich bestätigen.
3
Versionen ohne Updates ersetzen
PHP 8.1 und älter erhalten keinen offiziellen Fix. Steigen Sie auf eine unterstützte Version um oder nutzen Sie einen Anbieter mit zurückportiertem Fix, und planen Sie, was das System ersetzt.
4
Zugriff begrenzen, wenn kein Update möglich ist
Nehmen Sie das System vom Netz oder schränken Sie den Zugriff ein, bis es gepatcht ist. Firewall-Regeln helfen, sind aber keine Lösung.
5
Passwörter und Schlüssel erneuern
Weil Serverspeicher auslesbar sein konnte, erneuern Sie Datenbank-Passwörter, API-Schlüssel und Admin-Zugänge auf betroffenen Systemen und prüfen Sie diese auf unerwartete Änderungen.

Wie wir anders bauen

Weniger Teile, die gepatcht werden müssen, und Updates in Minuten.

Kein PHP-Server, um den Sie sich kümmern müssen.

Wir bauen Websites und Web-Apps auf modernen Stacks wie Next.js, Webflow oder Framer, betrieben auf verwalteten Plattformen. Keine alternde Serversoftware, die Sie nachts patchen müssen, und auch diese Website läuft so.

Keine Plugin-Sammlung.

Viele PHP-Websites hängen an Dutzenden Plugins verschiedener Autoren, jedes eine Tür, die verschlossen bleiben muss. Wir bauen, was Sie brauchen, direkt ins Produkt. So gibt es weniger, dem Sie vertrauen und das Sie aktualisieren müssen.

Updates als Code, von Menschen geprüft.

Abhängigkeiten werden über Versionskontrolle aktualisiert, getestet und ausgerollt. So geht ein Sicherheitsfix in Minuten live statt nach einem Wochenende Handarbeit. KI beschleunigt die Umsetzung, erfahrene Leute prüfen jede Änderung.

Ihres, und gut betreut.

Code und Zugänge bleiben bei Ihnen. Nach dem Launch bleiben wir für Updates und Verbesserungen da, damit Sicherheit nicht davon abhängt, dass sich jemand an einen Server erinnert.

Schnell und sicher neu aufbauen

Von einer verwundbaren PHP-Website zu einer sicheren, modernen.

Fragen

PHP2Shell, beantwortet

WordPress läuft mit PHP und ist betroffen, wenn die PHP-Version auf dem Server älter als die korrigierte Version ist, unabhängig von Ihrer WordPress-Version. Ein Update von WordPress oder seinen Plugins behebt PHP2Shell nicht. Die PHP-Version auf dem Server muss aktualisiert werden.

Hilfe bekommen

Unsicher, wo Sie stehen? Erzählen Sie uns von Ihrer Website oder Ihrem System.

Wir melden uns schnell mit einer klaren Einschätzung, was jetzt zu tun ist und was ein sicherer Neuaufbau bedeuten würde.

Termin buchen

Quellen