PHP-Check: Betrifft mich die Lücke?

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken geschlossen: CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten bewertet. Über sie können Fremde aus der Ferne Programmcode auf einem Webserver ausführen, ohne sich anzumelden. Das BSI hat am selben Tag offiziell gewarnt.

Die Lücke steckt nicht in einem Plugin oder Theme, sondern im PHP-Kern selbst, laut heise in allen Versionen seit PHP 5. PHP ist der Motor unter WordPress, Joomla, TYPO3, Shopware und Contao. Du siehst ihn nie, aber ohne ihn läuft keine dieser Seiten. Deshalb hilft hier nur ein Update dieses Motors.

Der 1-Minuten-Selbsttest

Geh die vier Fragen der Reihe nach durch. Sobald du bei einem „Ja“ landest, weißt du, wo du stehst.

1. Meldest du dich unter deinedomain.de/wp-admin an?

Ja: Deine Seite ist WordPress und läuft damit auf PHP. Sie ist betroffen, solange PHP auf dem Server nicht aktualisiert ist. Weiter mit der Checkliste.

2. Zahlst du für Webhosting, Webspace oder Managed WordPress?

Ja: Dann läuft dort fast sicher PHP, egal ob WordPress, Joomla, TYPO3, Shopware, Contao oder eine selbst programmierte Seite, zum Beispiel bei IONOS, Strato oder All-Inkl. Betroffen, solange PHP nicht erneuert ist. Weitere Hinweise: Deine Agentur hat dir Zugänge für „FTP“ oder „phpMyAdmin“ gegeben, oder im Seitenquelltext (Rechtsklick, „Seitenquelltext anzeigen“) steht „wp-content“.

3. Baust du deine Seite in Webflow, Wix, Squarespace, Shopify oder Jimdo?

Ja: In der Regel musst du nichts tun. Dort mietest du ein fertiges Produkt, der Anbieter betreibt die Technik und spielt Sicherheitsupdates selbst ein. Eine PHP-Version kannst du dort gar nicht einstellen. Geh trotzdem noch kurz zu Frage 4.

4. Läuft daneben noch etwas Altes?

Ein WordPress-Blog unter blog.deinedomain.de, eine alte Landingpage, ein Webspace aus früheren Zeiten, der nie gekündigt wurde. Diese Reste laufen oft auf PHP und werden von niemandem gepflegt. Ja: betroffen, oft unbemerkt. Prüfen oder abschalten.

Welche PHP-Version ist sicher?

Entscheidend ist nicht dein System, sondern die PHP-Version darunter und ob dein Hoster sie schon erneuert hat. Im Kundenmenü findest du sie meist unter „PHP-Einstellungen“ oder „PHP-Version“. Die abgesicherten Stände nennt php.net selbst:

• PHP 8.5: abgesichert ab 8.5.12.
• PHP 8.4: abgesichert ab 8.4.27.
• PHP 8.3: abgesichert ab 8.3.36.
• PHP 8.2: abgesichert ab 8.2.35. Die Unterstützung endet am 31.12.2026.
• PHP 8.1 und älter: kein offizielles Update mehr, nur über Linux-Anbieter oder Notflicken für 7.4, 8.0 und 8.1. heise rät, auf mindestens PHP 8.3 zu wechseln.

Wann musst du handeln?

Laut heise liefen die ersten Angriffsversuche schon rund zehn Stunden vor der Veröffentlichung, Cloudflare sah Millionen davon. Viele Betreiber nahmen ihre Seiten vorsorglich vom Netz. Erfolgreiche Einbrüche waren zum Stand der heise-Meldung vom 22. Oktober nicht bestätigt. Wissen, ob dein Hoster schon nachgezogen hat, solltest du trotzdem.

• Baukasten ohne Reste daneben: kein Handlungsbedarf.
• Agentur oder Wartungsvertrag: heute kurz nachfragen. Das Update gehört zum Auftrag.
• Hosting-Paket, um das sich niemand kümmert: heute handeln.
• PHP 7.4 oder 8.1 eingestellt: heute handeln und den Wechsel auf mindestens 8.3 planen.

Die Checkliste in zehn Minuten

Laut heise sind Updates das einzig wirksame Mittel, alle anderen Einstellungen senken das Risiko nur. Bei einem Hosting-Paket spielt der Anbieter das Update ein. Du stellst sicher, dass es passiert ist und deine Seite eine versorgte Version nutzt.

1. 1Frag deinen Hoster oder Webdesigner. Die fertige Nachricht steht im nächsten Abschnitt.
2. 2Mach eine Sicherung, bevor sich etwas ändert, und lade sie herunter (wie, steht weiter unten).
3. 3Lass PHP aktualisieren oder stell selbst um. Läuft 7.4 oder 8.1, wechsle auf mindestens 8.3.
4. 4Prüf danach die wichtigsten Seiten: Startseite, Kontaktformular, Shop-Kasse.
5. 5Achte auf Ungewöhnliches: neue Admin-Konten, fremde Inhalte oder Weiterleitungen. Fällt dir so etwas auf, sprich sofort mit deinem Hoster oder Webdesigner.

Die Nachricht an deinen Hoster

Kopier sie in eine Mail oder ins Support-Formular und setz deine Domain ein. Sie funktioniert für IONOS, Strato, All-Inkl und jeden anderen Anbieter genauso. Eine öffentliche Aussage von IONOS zu php2shell haben wir bis zum 23. Oktober 2026 nicht gefunden, nachfragen schadet also nicht.

Hallo, ich habe von der PHP-Sicherheitslücke „php2shell“ (CVE-2026-109618 und CVE-2026-109619) gelesen. Meine Website ist [deinedomain.de]. Bitte bestätigt mir kurz:
1. Welche PHP-Version läuft auf meinem Paket?
2. Ist das Update vom 21. Oktober 2026 dort eingespielt?
3. Muss ich selbst eine neuere PHP-Version auswählen, und falls ja, welche?
Danke!

Kommt als Antwort eine Version wie 8.3.36 oder höher im selben Zweig, bist du auf dem abgesicherten Stand. Kommt keine klare Antwort, frag nach. Das BSI rät Betreibern ausdrücklich, zu prüfen, ob die Updates wirklich installiert sind.

Sicherung vor dem Update

Ein PHP-Wechsel kann bei alten Themes und Plugins Fehler auslösen. Deshalb steht die Sicherung vor jedem Schritt, nicht danach.

• Im Kundenmenü deines Hosters: Viele bieten eine Sicherung per Knopfdruck.
• Bei WordPress: alternativ über ein Backup-Plugin.
• Herunterladen: Die Sicherung gehört auf deinen Rechner, nicht nur auf denselben Server.

Und wenn du niemanden zum Fragen hast?

Sprich mit uns. Im kostenlosen Erstgespräch schauen wir in 15 Minuten gemeinsam, worauf deine Seite läuft und was jetzt zu tun ist. Ob du dafür einen Wartungsvertrag brauchst oder dein Hoster das schon erledigt hat, sagen wir dir ehrlich.

Kümmert sich bisher niemand regelmäßig um deine Seite, ist jetzt der richtige Moment, das zu ändern. Wie so eine laufende Pflege aussieht, zeigen wir bei Care Dezign.

Die Lücke steckt nicht in deiner Website, sondern im Motor darunter. Deshalb hilft nur ein Update dieses Motors.