PHP-Sicherheitslücke php2shell: Ist deine WordPress-Seite betroffen?

Seit dem 21. Oktober 2026 ist eine PHP-Sicherheitslücke bekannt, die unter dem Namen „php2shell“ durch die Nachrichten geht. Läuft deine Website mit WordPress oder einem anderen System auf eigenem Webspace, betrifft sie dich sehr wahrscheinlich. Mit einem Baukasten wie Webflow, Wix oder Shopify musst du in der Regel nichts tun. Nach diesem Text weißt du, zu welcher Gruppe du gehörst, wann du handeln musst und welche Nachricht du deinem Hoster schicken kannst.

Was ist bei der PHP-Sicherheitslücke passiert?

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken geschlossen: CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten bewertet. Über sie können Fremde aus der Ferne Programmcode auf einem Webserver ausführen, ohne sich anzumelden. Wer das schafft, kann eine Website verändern, Daten mitnehmen oder den Server für Angriffe auf andere nutzen. Die Updates kamen am 21. Oktober um 16 Uhr deutscher Zeit, berichtet heise Security.

Die Lage danach war ernst. Laut heise sah Cloudflare Millionen Angriffsversuche, die rund zehn Stunden vor der Veröffentlichung begannen. Viele Betreiber nahmen ihre Seiten vorsorglich vom Netz, darunter die Charité und Teile von berlin.de (heise, 22.10.2026). Erfolgreiche Einbrüche waren zum Zeitpunkt dieser Meldung nicht bestätigt. Das BSI hat am 21. Oktober eine offizielle Warnung herausgegeben.

Die Lücke steckt nicht in deiner Website, sondern im Motor darunter. Deshalb hilft nur ein Update dieses Motors.

Was ist PHP überhaupt?

PHP ist eine Programmiersprache, die auf dem Server läuft und dort deine Seiten zusammenbaut, bevor sie im Browser ankommen. Stell dir PHP als Motor im Auto vor: Du siehst ihn nie, du bedienst ihn nie, aber ohne ihn fährt nichts. WordPress, Joomla, TYPO3, Shopware und Contao sind in PHP geschrieben. Jedes Mal, wenn jemand deine Seite aufruft, springt dieser Motor an.

Darum ist php2shell so ein großes Ding. Die Lücke steckt nicht in einem bestimmten Plugin oder Theme, sondern im PHP-Kern selbst. Laut heise hat das PHP-Team die Fehler in allen Versionen seit PHP 5 gefunden. Das BSI schreibt, alle bekannten Versionen bis mindestens PHP 5 seien verwundbar.

Für dich heißt das: Ein WordPress-Update allein reicht hier nicht. Aktualisiert werden muss PHP auf dem Server. Wer die Grundlagen eines Redaktionssystems nachlesen will, findet sie in unserem Beitrag Was ist ein Content-Management-System?.

Ist deine WordPress-Seite von der PHP-Sicherheitslücke betroffen?

Ja, mit hoher Wahrscheinlichkeit, solange PHP auf deinem Server noch nicht aktualisiert ist. Betroffen ist jede Seite, die auf einem Server mit PHP läuft. Das gilt für WordPress, Joomla, TYPO3, Shopware und Contao genauso wie für selbst programmierte PHP-Seiten auf einem Webspace, zum Beispiel bei IONOS, Strato oder All-Inkl. Entscheidend ist nicht das System, sondern die PHP-Version darunter und ob dein Hoster sie schon erneuert hat.

Die abgesicherten Versionen nennt php.net selbst:

Läuft deine Seite noch auf PHP 7.4 oder 8.1, ist das die heikelste Gruppe. Das PHP-Projekt versorgt diese Versionen nicht mehr regulär. heise rät, auf mindestens PHP 8.3 zu wechseln. Ein solcher Wechsel kann bei alten Themes und Plugins Fehler auslösen, deshalb steht weiter unten die Sicherung vor jedem Schritt.

Wer muss sich keine Sorgen machen?

Mit einem Baukasten wie Webflow, Wix, Squarespace, Shopify oder Jimdo musst du in der Regel nichts tun. Dort mietest du keinen Server, sondern ein fertiges Produkt. Der Anbieter betreibt die Technik darunter und spielt Sicherheitsupdates selbst ein. Du hast dort gar keinen Zugriff auf eine PHP-Version, also kannst du auch nichts falsch einstellen.

Eine Ausnahme gibt es, und sie ist häufiger als gedacht. Viele Betriebe haben neben dem Baukasten noch etwas Altes laufen: einen WordPress-Blog unter blog.deinedomain.de, eine alte Landingpage oder einen Webspace aus früheren Zeiten, der nie gekündigt wurde. Diese Reste laufen oft auf PHP und werden von niemandem gepflegt. Genau dort solltest du nachsehen.

Woran erkennst du, ob deine Seite mit PHP läuft?

Zwei schnelle Hinweise reichen meist. Erstens: Du meldest dich unter deinedomain.de/wp-admin an? Dann ist es WordPress und damit PHP. Zweitens: Du zahlst monatlich für ein Hosting-Paket mit Webspace, FTP-Zugang oder Datenbank? Dann läuft dort fast sicher PHP. Im Kundenmenü deines Hosters findest du die eingestellte PHP-Version meist unter einem Punkt wie „PHP-Einstellungen“ oder „PHP-Version“.

Weitere Hinweise:

1. In deinen Rechnungen taucht „Webhosting“, „Webspace“ oder „Managed WordPress“ auf.
2. Deine Agentur hat dir damals Zugangsdaten für „FTP“ oder „phpMyAdmin“ gegeben.
3. Im Quelltext deiner Seite (Rechtsklick, „Seitenquelltext anzeigen“) steht „wp-content“.

Findest du nichts davon und baust deine Seite in einem Online-Editor zusammen, nutzt du wahrscheinlich einen Baukasten.

Wann musst du handeln?

Heute, wenn sich niemand regelmäßig um deine Seite kümmert. Laut heise liefen die ersten Angriffsversuche schon vor der Veröffentlichung, und Amazon berichtete sogar von Versuchen vier Tage vorher. Wer jetzt wartet, verlässt sich darauf, dass der Hoster es schon richten wird. Bei einem guten Hoster stimmt das oft. Wissen solltest du es trotzdem.

Kümmert sich eine Agentur oder ein Webdesigner fest um deine Seite, reicht eine kurze Nachfrage. Hast du einen Wartungsvertrag, gehört so ein Update zum Auftrag. Gibt es niemanden, der sich kümmert, ist jetzt der richtige Moment, das zu ändern. Wie so eine laufende Pflege aussieht, zeigen wir bei Care Dezign.

Was tust du jetzt, Schritt für Schritt?

Drei Schritte, die du in etwa zehn Minuten anstößt. Laut heise sind Updates das einzig wirksame Mittel, alle anderen Einstellungen senken das Risiko nur. Bei einem Hosting-Paket spielt der Anbieter das Update ein, du musst nur sicherstellen, dass es passiert ist und deine Seite eine versorgte Version nutzt.

1. Frag deinen Hoster oder Webdesigner. Nutze die Vorlage unten, kopiere sie in eine Mail oder ins Support-Formular.
2. Mach eine Sicherung, bevor sich etwas ändert. Viele Hoster bieten im Kundenmenü eine Sicherung per Knopfdruck. Bei WordPress geht es auch über ein Backup-Plugin. Lade die Sicherung herunter, damit sie nicht nur auf demselben Server liegt.
3. Lass PHP aktualisieren oder stell selbst um. Läuft eine alte Version wie 7.4 oder 8.1, wechsle auf mindestens 8.3. Prüf danach die wichtigsten Seiten: Startseite, Kontaktformular, Shop-Kasse.

Diese Nachricht kannst du so kopieren:

Hallo, ich habe von der PHP-Sicherheitslücke „php2shell“ (CVE-2026-109618 und CVE-2026-109619) gelesen. Meine Website ist [deinedomain.de]. Bitte bestätigt mir kurz: 1. Welche PHP-Version läuft auf meinem Paket? 2. Ist das Update vom 21. Oktober 2026 dort eingespielt? 3. Muss ich selbst eine neuere PHP-Version auswählen, und falls ja, welche? Danke!

Kommt als Antwort eine Version wie 8.3.36 oder höher im selben Zweig, bist du auf dem abgesicherten Stand. Kommt keine klare Antwort, frag nach. Das BSI rät Betreibern ausdrücklich, zu prüfen, ob die Updates wirklich installiert sind.

Und wenn du niemanden zum Fragen hast?

Sprich mit uns. Im kostenlosen Erstgespräch schauen wir in 15 Minuten gemeinsam, worauf deine Seite läuft und was jetzt zu tun ist. Ob du dafür einen Wartungsvertrag brauchst oder dein Hoster das schon erledigt hat, sagen wir dir ehrlich.

Willst du selbst mehr verstehen und deinen Betrieb Schritt für Schritt digital aufstellen, findest du in unserer kostenlosen Akademie Kurse zu Website, Automatisierung und KI. Dazu gibt es den Werkzeugkasten Der erste Mitarbeiter mit Checklisten, die dir solche Fehler ersparen. Und wenn du wissen willst, wo in deinem Betrieb sich Automatisierung lohnt, hilft dir unser Potenzial-Audit.

Quellen: heise Security, 21.10.2026 · heise, 22.10.2026, Updates und Angriffe · heise, 22.10.2026, Was jetzt zu tun ist · php.net · BSI, 21.10.2026