Sicherheitslage · Stand 22. Oktober 2026
PHP2Shell: Was Website-Betreiber jetzt prüfen müssen
Themenwelt Wix und technische Website-Themen, Websites und Webdesign Stand
Zwei kritische PHP-Schwachstellen sorgen weltweit für Alarm. Nicht jede Website ist direkt betroffen. Wer aber WordPress, einen Shop oder einen Server betreibt, sollte den eigenen Status heute klären.
Das Wichtigste in Kürze
- PHP2Shell fasst zwei kritische Lücken in der PHP-Laufzeit zusammen. Auf ungepatchten Servern können Angreifer unter Umständen ohne Anmeldung eigenen Code ausführen.
- Ein WordPress- oder Plugin-Update allein schützt nicht. Entscheidend ist, ob die PHP-Laufzeit deines Hosting-Pakets gepatcht oder wirksam geschützt ist.
- Hostinger hat seine verwalteten Hosting-Server gepatcht. Wer einen VPS betreibt, muss PHP selbst auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 bringen.
- Rein statische Websites und Wix sind nicht direkt betroffen. Prüfe trotzdem Formulare, Shops, Subdomains und alte Installationen auf demselben Hosting.
Die MS Hafenschnack ist ausgerückt. Nicht, weil jede Website im Internet gerade sinkt. Sondern weil tief unter Deck vieler Websites eine Technik arbeitet, die die meisten Besucher nie sehen: PHP. Für Betreiber von WordPress-Seiten, Online-Shops, Kundenportalen und individuellen Webanwendungen ist das gerade wichtig.
Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 werden unter dem Namen PHP2Shell zusammengefasst. Sie betreffen die PHP-Laufzeit selbst. Die US-Cybersicherheitsbehörde CISA warnt, dass betroffene PHP-Installationen, die Webanfragen verarbeiten, eine nicht angemeldete Ausführung fremden Codes ermöglichen können.[1]
In normalem Deutsch: Unter bestimmten Bedingungen könnte ein Angreifer versuchen, auf einem ungepatchten Server eigene Befehle auszuführen, ohne erst ein WordPress-Konto oder ein Administrator-Passwort zu besitzen.
Das ist kein Grund für Panik. Es ist aber ein klarer Grund, die Lage jetzt nicht auf den nächsten Wartungstermin zu verschieben.
Stand dieses Artikels: 22. Oktober 2026. Die technische Lage entwickelt sich schnell. Prüfe im Zweifel immer die aktuelle Mitteilung deines konkreten Hosting-Anbieters.
PHP2Shell-Sofortcheck: Bin ich betroffen?
Rot: Heute handeln
Du solltest heute aktiv werden, wenn mindestens einer dieser Punkte zutrifft:
- Du betreibst einen VPS, eigenen Server oder Root-Server mit PHP.
- Deine Website läuft auf WordPress, WooCommerce, Drupal, Joomla, Magento, Laravel oder einer anderen PHP-Anwendung, und dein Hoster kann den Patch-Status nicht klar bestätigen.
- Du betreibst einen Shop, Mitgliederbereich, Kundenportal, Upload-Funktion oder Buchungssystem.
- Du siehst unbekannte Admin-Konten, fremde Weiterleitungen, verdächtige Dateien, ungewohnte E-Mails oder Änderungen an Inhalten.
- Deine Website nutzt eine sehr alte PHP-Version, oder es gibt keinen aktiven technischen Ansprechpartner.
Was jetzt zählt: Den Patch-Status des Servers prüfen, mögliche Spuren eines Einbruchs kontrollieren und sensible Zugänge nur bei begründetem Verdacht gezielt wechseln. Bitte nicht in Panik Dateien löschen oder das gesamte System ohne Sicherung umbauen. Das zerstört im schlechtesten Fall wichtige Spuren und macht die Wiederherstellung schwieriger.
Gelb: Heute verbindlich prüfen lassen
Du nutzt WordPress, einen Shop oder eine individuelle Website auf Managed oder Shared Hosting? Dann lautet die entscheidende Frage nicht: „Ist WordPress aktuell?“ Sondern: Ist die PHP-Laufzeit meines konkreten Hosting-Pakets gegen CVE-2026-109618 und CVE-2026-109619 (PHP2Shell) gepatcht oder wirksam geschützt?
Ein Update von WordPress, Themes oder Plugins bleibt wichtig. Es ersetzt den Patch für PHP aber nicht, weil die Schwachstelle unterhalb des Content-Management-Systems sitzt.[1][3]
Grün: Nicht direkt betroffen, aber bitte nicht blind vertrauen
Eine rein statische Website aus HTML, CSS und JavaScript führt auf ihrem Auslieferungsserver üblicherweise kein PHP aus. Sie ist deshalb nicht direkt von einer PHP-Lücke betroffen. Auch bei Wix betreibst du keine eigene PHP-Laufzeit, die du selbst patchen müsstest. Die Infrastruktur wird vom Plattformanbieter betrieben.
Doch „grün“ bedeutet nicht: Augen zu und weitersegeln. Prüfe trotzdem, ob es hinter deiner sichtbaren Website noch weitere Systeme gibt:
- ein externes Kontaktformular
- ein Shop oder Buchungssystem
- ein Mitgliederbereich
- eine Subdomain
- eine alte WordPress-Testinstallation
- ein separates Kundenportal
- eine frühere Website, die noch auf dem Hosting liegt
Der häufigste Denkfehler lautet: „Unsere Website ist doch nur klein.“ Klein sichtbar bedeutet nicht automatisch klein technisch.
Diese Frage schickst du deinem Hoster
Bei Managed oder Shared Hosting kannst du den Patch nicht selbst einspielen. Du brauchst eine schriftliche Antwort deines Anbieters. Schicke ihm diese Frage am besten genau so:
Vorlage zum Kopieren
Bitte bestätigen Sie schriftlich, ob die PHP-Laufzeit meines Hosting-Pakets gegen CVE-2026-109618 und CVE-2026-109619 (PHP2Shell) gepatcht oder wirksam mitigiert ist. Bitte nennen Sie Produkt, Zeitpunkt der Maßnahme und die für mein Paket geltende PHP-Version beziehungsweise den eingesetzten Backport.
Was ist PHP überhaupt?
PHP ist eine Programmiersprache, die auf dem Webserver läuft. Wenn eine Besucherin ein Kontaktformular absendet, sich in einem Mitgliederbereich anmeldet oder etwas im Shop bestellt, verarbeitet PHP häufig Daten im Hintergrund, spricht mit Datenbanken und liefert danach die passende Seite aus.
WordPress und WooCommerce nutzen PHP. Drupal, Joomla und Magento ebenfalls. Viele individuelle Webanwendungen und Agentur-Projekte auch.
Bei PHP2Shell geht es nicht um einen Tippfehler im Website-Text, nicht um ein schwaches Passwort und nicht um einen einzelnen Plugin-Fehler. Die Lücken liegen in der PHP-Laufzeit. Sicherheitsbehörden warnen deshalb vor dem Risiko, dass Angreifer auf verwundbaren Servern aus der Ferne Code ausführen oder sensible Prozessdaten auslesen können.[1]
Stell dir deine Website wie ein Restaurant vor:
- Die Website ist der Gastraum.
- WordPress oder der Shop sind Küche und Kasse.
- PHP ist ein Teil der Gebäudetechnik hinter den Wänden.
PHP2Shell ist kein Problem mit der Speisekarte. Es ist ein möglicher Schaden an der Technik, die Türen, Kasse und Lagerraum verbindet.
Was bei einem erfolgreichen Einbruch passieren kann
Eine Warnung ist kein Nachweis, dass deine Website kompromittiert wurde. Das muss sauber unterschieden werden. Wenn Angreifer jedoch tatsächlich Serverzugriff erhalten, können je nach System und Berechtigungen ernste Folgen entstehen:
- Kontakt- und Kundendaten könnten ausgelesen werden.
- Webseiten könnten mit Spam, Weiterleitungen oder Schadcode verändert werden.
- Shops, Anfragen und Buchungen könnten ausfallen.
- E-Mail-, Zahlungs-, Newsletter- oder Analysezugänge könnten gefährdet sein, falls deren Schlüssel auf dem Server liegen.
- Google-Sichtbarkeit und Vertrauen können leiden, wenn eine Website manipuliert oder als unsicher erkannt wird.
- Ausfallzeiten können ganz direkt Umsatz und Anfragen kosten.
Genau deshalb ist jetzt Besonnenheit gefragt: Patchen schließt die Tür. Eine anschließende Prüfung klärt, ob vorher schon jemand hineingekommen ist.
Was für WordPress und WooCommerce gilt
WordPress ist nicht die Ursache von PHP2Shell. WordPress läuft aber auf PHP. Deshalb kann eine WordPress-Seite betroffen sein, wenn ihre Server-Laufzeit nicht geschützt ist. Wichtig ist die Reihenfolge:
- Hosting- und PHP-Status klären.
- Dann WordPress-Core, Plugins und Themes auf einen gepflegten Stand bringen.
- Danach gezielt auf Auffälligkeiten prüfen: unbekannte Administratoren, neue Plugins, PHP-Dateien in Upload-Ordnern, verdächtige Weiterleitungen, veränderte Dateien und auffällige Logs.
- Bei einem belastbaren Verdacht: Zugänge, API-Schlüssel und Passwörter kontrolliert wechseln, nicht wahllos und nicht ohne Dokumentation.
Merksatz
Ein Sicherheitsplugin kann bei der Inventur oder bei der Suche nach Spuren helfen. Es ersetzt aber keinen Patch der PHP-Laufzeit.
Was für Hostinger gilt
Hostinger teilte am 22. Oktober 2026 mit, dass die PHP-Patches auf den von Hostinger verwalteten Hosting-Servern ausgerollt seien. Genannt werden Web-, Cloud-, cPanel- und Agency-Hosting. VPS sind davon ausdrücklich ausgenommen, weil Kundinnen und Kunden dort PHP selbst verwalten.[2]
Für selbstverwaltete VPS nennt Hostinger die abgesicherten PHP-Stände 8.2.35, 8.3.36, 8.4.27 und 8.5.12 und empfiehlt ein sofortiges Update samt Neustart der PHP-Dienste.[2]
| PHP-Reihe | Abgesicherte Version |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
Das ist für viele Managed-Hosting-Kunden beruhigend. Trotzdem braucht jede Agentur und jedes Unternehmen eine konkrete Antwort auf drei Fragen:
- Welches Hostinger-Produkt nutzt diese Website wirklich?
- Läuft dort überhaupt PHP, oder ist die Seite statisch?
- Gibt es daneben WordPress, Shop, Formulare, Staging-Systeme oder Subdomains?
Erst wenn diese drei Punkte dokumentiert sind, ist aus einer allgemeinen Herstellerinformation ein belastbarer Status für die einzelne Website geworden.
Der Seelotse Zweimal pro Woche ein neuer Artikel in dein Postfach, kostenlos und jederzeit abbestellbar. Zur Anmeldung
Warum PHP2Shell gerade jetzt so groß ist
Die PHP-Entwickler veröffentlichten am 21. Oktober 2026 Sicherheitsupdates für die unterstützten PHP-Reihen 8.2, 8.3, 8.4 und 8.5.[3]
Besonders ist auch die Entdeckungsgeschichte: Nach Berichten der BBC fand das Sicherheitsunternehmen Calif einen der Fehler im Rahmen eines OpenAI-Programms mit fortgeschrittenen KI-Werkzeugen. Wiz fand und meldete die Schwachstellen unabhängig davon, ebenfalls mit KI-Unterstützung.[4]
Das bedeutet nicht, dass „KI das Internet kaputt gemacht hat“. Es zeigt etwas Nüchterneres und Wichtigeres: KI kann helfen, schwer auffindbare Sicherheitsfehler schneller zu entdecken. Sobald Details öffentlich werden, können Angreifer ihre Versuche jedoch ebenfalls schneller anpassen. Darum sind die Stunden und Tage nach einer solchen Veröffentlichung so entscheidend.
Der Hafenschnack-Ablauf: Erst prüfen, dann handeln
Wir arbeiten bei einer Sicherheitslage nicht nach Bauchgefühl und nicht mit pauschalem Plugin-Aktionismus.
- Technik erfassen: Website-Typ, Hosting, PHP-Anteil, CMS, Shop, Formulare, Uploads und externe Dienste aufnehmen.
- Patch-Status belegen: Nicht vermuten, sondern für das konkrete Hosting-Paket dokumentieren.
- Risiko sortieren: Eigene Server, VPS, Shops, Uploads und personenbezogene Daten zuerst prüfen.
- Spuren suchen: Admins, Dateien, Weiterleitungen, Upload-Ordner, Logs und auffällige Inhalte kontrollieren.
- Zugänge gezielt sichern: Kennwörter, Tokens und Schlüssel bei begründetem Verdacht kontrolliert austauschen.
- Ergebnis dokumentieren: Klar festhalten, was geschützt ist, was geprüft wurde und was offen bleibt.
Das ist die Aufgabe eines Seenotretters: Nicht bei jeder Welle Untergang rufen. Sondern zuerst feststellen, welches Schiff wirklich Leck geschlagen hat, und es dann sicher zurück in den Hafen bringen.
PHP2Shell-Check anfragen
Du weißt nicht, ob deine Website PHP nutzt, welcher Hosting-Tarif dahinterliegt oder ob WordPress, Shop und Formulare betroffen sein könnten? Dann klären wir zuerst die technische Lage. Du bekommst keine Angstkampagne und keine pauschale Empfehlung zum Komplettumbau, sondern eine klare Einordnung in eine von drei Stufen:
- sofort handeln
- gezielt prüfen
- für PHP2Shell nicht direkt betroffen
Technischen PHP2Shell-Check anfragen
Quellen
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21.10.2026)
- Hostinger: Hostinger deploys protections against PHP2Shell PHP vulnerabilities (22.10.2026)
- PHP: News Archive 2026 (21.10.2026)
- BBC: PHP: what is it and why did it spark a global cyber security scramble?
Häufige Fragen
Kurz beantwortet.
Nein. Ob eine WordPress-Seite gefährdet ist, hängt davon ab, ob die PHP-Laufzeit des Servers verwundbar und ungepatcht ist. WordPress selbst zu aktualisieren bleibt notwendig, ersetzt aber nicht die Prüfung des PHP- und Hosting-Status.
Nein. Ein Sicherheitsplugin kann bei der Prüfung und beim Aufspüren möglicher Spuren helfen. Die Schwachstelle liegt aber in PHP selbst. Der Server beziehungsweise Hoster muss die PHP-Laufzeit patchen oder wirksam schützen.
Nicht pauschal. Sicherheitsbehörden haben für nicht kurzfristig patchbare Systeme eine Abschaltung als mögliche Schutzmaßnahme genannt. Ob das für eine einzelne Website richtig ist, hängt vom Hosting, der technischen Lage und der Verfügbarkeit einer wirksamen Absicherung ab. Diese Entscheidung sollte nicht aus einem Bauchgefühl heraus getroffen werden.
Wer eine Wix-Website betreibt, verwaltet keine eigene PHP-Laufzeit. Das Patchen der Plattform-Infrastruktur liegt deshalb beim Anbieter. Prüfe bei einer Wix-Website trotzdem eingebundene externe Systeme wie Formulare, Shops oder separate Subdomains.
Zuletzt aktualisiert:
Kostenloses Erstgespräch
Unsicher, ob deine Website betroffen ist? Wir ordnen es ein.
Kurzes Gespräch, klare Einordnung: sofort handeln, gezielt prüfen oder nicht direkt betroffen.