PHP-Sicherheitslücke PHP2Shell gefährdet ältere Websites. Risiko jetzt prüfen und in 1 bis 2 Wochen auf eine aktuelle Website wechseln.

PHP2Shell ist der Name für zwei kritische Sicherheitslücken im Kern der Programmiersprache PHP, registriert als CVE-2026-109618 und CVE-2026-109619. Angreifer können darüber ohne Anmeldung eigenen Code auf dem Webserver ausführen und im schlimmsten Fall Website und Datenbank übernehmen. Beide Lücken haben auf der CVSS-Skala 9,2 von 10 Punkten. Die Updates sind am 21. Oktober 2026 erschienen.

Quellen php.net, PHP Security Advisory

Eure Website ist wahrscheinlich betroffen, wenn sie auf PHP läuft und nicht auf PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer aktualisiert wurde. Das trifft auf die meisten Websites mit WordPress, TYPO3, Joomla, Drupal oder einem PHP-Shop zu. Ob euer Hoster schon nachgebessert hat, kann nur er sicher bestätigen. Eine erste Einschätzung gibt euch unser Risiko-Check.

Betroffen sind alle Versionen vor den gepatchten Releases 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie PHP 8.1 und alle älteren Versionen. Sicherheitsforscher gehen davon aus, dass die Fehler bis PHP 5.4 zurückreichen, also mehr als ein Jahrzehnt. Für PHP 8.1 und älter gibt es kein offizielles Release, nur Quellcode-Korrekturen für 7.4, 8.0 und 8.1, die Hoster selbst einbauen müssen.

Quellen php.net, Wiz Research

Diese Website-Systeme sind betroffen, weil sie auf PHP laufen und die Lücke im PHP-Kern sitzt. Ein Update von WordPress, TYPO3 oder einem Plugin schließt PHP2Shell deshalb nicht. Entscheidend ist, dass der Server eine gepatchte PHP-Version nutzt.

Quelle Cloudflare

Websites auf gehosteten Baukästen wie Shopify, Wix oder Squarespace sind in der Regel nicht direkt betroffen, weil der Anbieter die Server betreibt und selbst aktualisiert. Ihr müsst dort nichts am Server ändern. Betroffen sind vor allem Websites, die auf eigenem oder gemietetem Webspace mit PHP laufen.

Besucher sind nicht direkt gefährdet, weil die Lücke auf dem Server sitzt und nicht auf ihren Geräten. Indirekt kann es sie treffen, wenn Angreifer Kundendaten abgreifen, Formulare manipulieren oder Schadcode in die Website einbauen.

Quelle ORF

Mehrere Sicherheitsfirmen haben am 21. Oktober 2026 erste Angriffsversuche beobachtet, Cloudflare zum Teil schon vor Erscheinen der Updates. Ein erfolgreicher Einbruch war bis zum Abend des 21. Oktober nicht bestätigt. Fachleute rechnen mit automatisierten Massenscans nach ungepatchten Servern.

Quellen Cloudflare, SecurityWeek

PHP2Shell gehört zu den schwersten Lücken der letzten Jahre, weil PHP auf rund 69 % aller Websites mit erkennbarer Server-Technik läuft und ein Angriff ohne Login funktioniert. Wiz Research vergleicht den Fall mit Heartbleed und Log4Shell. Medien berichten, dass das BSI die Lage mit Warnstufe 3 (Orange) einstuft.

Quellen W3Techs, Wiz Research, BSI

Fragt euren Hoster oder eure Agentur schriftlich, welche PHP-Version eure Website nutzt und ob das Update gegen PHP2Shell eingespielt ist. Läuft eure Website auf PHP 8.1 oder älter, braucht ihr einen Wechsel auf eine unterstützte Version oder eine neue technische Basis. Bis dahin sollte der Zugriff auf den Server eingeschränkt werden.

Quelle CERT.at

Offline nehmen solltet ihr eure Website vor allem dann, wenn das PHP-Update nicht zeitnah möglich ist. So empfehlen es CERT-EU, das britische NCSC und laut Medienberichten auch das BSI. Bei Websites mit Shop, Login oder Formularen für Kundendaten ist das Risiko höher als bei einer reinen Informations-Website.

Quelle CERT-EU

Der Wartungsmodus von WordPress schützt kaum, weil er selbst von PHP ausgeführt wird und die Lücke greifen kann, bevor WordPress läuft. Eine Sperre muss auf Ebene des Webservers passieren, etwa über eine Zugriffsbeschränkung durch den Hoster.

Ein Sicherheits-Plugin hilft kaum, weil die Lücke im PHP-Kern vor WordPress und seinen Plugins greift. Eine Web Application Firewall vor dem Server, etwa von Cloudflare, kann bekannte Angriffsmuster blockieren und das Risiko senken. Cloudflare bezeichnet die eigenen Regeln selbst als Übergangslösung bis zum PHP-Update.

Quelle Cloudflare

Bei Shared Hosting spielt der Hoster das PHP-Update auf seinen Servern ein, die genutzte PHP-Version stellt ihr oder eure Agentur aber oft selbst im Kundenbereich ein. Bei einem eigenen oder verwalteten Server liegt das Update beim Betreiber, also bei euch oder eurem Dienstleister laut Vertrag. Klärt die Zuständigkeit am besten schriftlich.

Typische Anzeichen sind neue Admin-Konten, die niemand angelegt hat, unbekannte Dateien oder Webseiten, Weiterleitungen auf fremde Websites und Warnungen von Browsern oder Besuchern. Google meldet erkannte Probleme im Bericht Sicherheitsprobleme der Search Console.

Quelle Google Search Console Hilfe

Nehmt die Website vom Netz, sichert Logs als Beweis und ändert alle Zugangsdaten und Schlüssel. Ein altes Backup zurückzuspielen reicht oft nicht, solange die Lücke offen ist und Hintertüren unentdeckt bleiben. Prüft parallel, ob personenbezogene Daten betroffen sind, weil dann Meldepflichten gelten können.

Quelle BACS

Google kann gehackte Websites in den Suchergebnissen mit einem Warnhinweis versehen, und Chrome zeigt Besuchern dann oft eine Warnseite. Nach der Bereinigung beantragt ihr in der Search Console eine Überprüfung, die laut Google einige Tage bis wenige Wochen dauern kann.

Quelle Google Search Console Hilfe

In WordPress steht die PHP-Version unter Werkzeuge, Website-Zustand, Bericht, Server. Alternativ zeigt der Kundenbereich eures Hosters die PHP-Version je Domain an. Hoster können ältere Versionen auch ohne neue Versionsnummer nachbessern, deshalb lohnt sich zusätzlich eine schriftliche Nachfrage.

Sicherheitsupdates bekommen PHP 8.2 bis 31.12.2026, PHP 8.3 bis 31.12.2027, PHP 8.4 bis 31.12.2028 und PHP 8.5 bis 31.12.2029. Wer jetzt umstellt, sollte direkt auf 8.3 oder 8.4 gehen, weil PHP 8.2 in gut zwei Monaten ausläuft.

Quelle php.net

End of Life bedeutet, dass das PHP-Projekt für eine Version keine Sicherheitsupdates mehr veröffentlicht. PHP 8.1 ist seit 31.12.2025 End of Life, PHP 8.0 seit November 2023 und PHP 7.4 seit November 2022. Neue Lücken wie PHP2Shell bleiben dort offiziell offen.

Quelle php.net

Das Hochstellen reicht manchmal, oft laufen ältere Themes, Page Builder und Plugins mit neuem PHP aber nicht mehr, und die Website zeigt Fehler oder fällt aus. Vor dem Umstellen braucht es ein Backup und einen Test auf einer Kopie der Website.

Es gibt drei Wege. Ihr aktualisiert Theme und Plugins, wenn sie noch gepflegt werden, ihr ersetzt sie durch gepflegte Alternativen oder ihr setzt die Website neu auf. Bei mehreren veralteten Komponenten ist eine neue Website oft schneller und günstiger als das Flicken einzelner Teile.

Nach einer Näherung aus Daten von W3Techs nutzt rund die Hälfte der PHP-Websites eine Version ohne offizielles Update gegen PHP2Shell, also PHP 8.1 oder älter. Hoster-Nachbesserungen sind dabei nicht berücksichtigt. Die Sicherheitsfirma Detectify kommt auf eine ähnliche Größenordnung.

Quellen W3Techs, The Record

Eine statisch ausgelieferte Website führt beim Aufruf keinen PHP-Code auf dem Server aus und bietet für Lücken wie PHP2Shell deutlich weniger Angriffsfläche. Ganz ohne Pflege ist auch sie nicht, weil Formulare, Hosting und Bearbeitungsoberfläche aktuell bleiben müssen. Für viele B2B-Websites ohne Shop ist das ein sinnvoller Weg.

Sicherheitsupdates sollten sofort eingespielt werden, weil kritische Lücken heute oft innerhalb von Stunden ausgenutzt werden. Die PHP-Hauptversion sollte spätestens wechseln, bevor ihre Sicherheitsunterstützung endet, das ist etwa alle zwei bis drei Jahre der Fall.

Quelle php.net

Eine neue Website ist sinnvoller, wenn Theme, Page Builder oder Plugins nicht mehr gepflegt werden, die Website mit aktuellem PHP nicht stabil läuft oder Design und Inhalte ohnehin veraltet sind. Ein reines Update behebt dann nur das akute Problem. Mit einer neuen Website bekommt ihr gleichzeitig eine schnellere und wartbare Basis.

LILOX setzt komplette Website-Relaunches in 1 bis 2 Wochen um. Die Dauer hängt vom Umfang, der Zahl der Webseiten und davon ab, wie schnell Inhalte und Freigaben vorliegen. Sehr große Websites mit vielen Sprachen oder Sonderfunktionen brauchen länger.

Eine neue Website oder ein Website-Relaunch kostet bei LILOX ab 4.900 € zum Fixpreis. Der Preis steigt mit Umfang, Funktionen und Website-System, den genauen Fixpreis nennen wir euch nach dem Erstgespräch. Der Risiko-Check und das Erstgespräch sind kostenlos.

Rankings gehen bei einem Relaunch nicht zwingend verloren, wenn Webseiten-Adressen, Weiterleitungen und Inhalte sauber übernommen werden. LILOX erstellt dafür einen Weiterleitungsplan, in dem jede alte Adresse ein Ziel auf der neuen Website bekommt. Eine gehackte Website mit Google-Warnung kostet in der Regel mehr Sichtbarkeit als ein geplanter Relaunch.

Der Risiko-Check ruft die Startseite eurer Website einmal auf, so wie es ein Browser tut, und liest öffentlich sichtbare Merkmale wie Website-System, Server-Angaben und Sicherheits-Header aus. Zusammen mit euren Antworten auf sechs Fragen ergibt sich eine Einschätzung von niedrig bis kritisch. Der Check greift nichts an und ersetzt keine Bestätigung durch euren Hoster.

Im laufenden Betrieb übernimmt LILOX Updates, Backups und Monitoring eurer Website. Ihr wisst dadurch jederzeit, wer zuständig ist, wenn eine neue Sicherheitslücke bekannt wird. Texte und Bilder pflegt ihr nach einer Einweisung auf Wunsch selbst.

Eine Meldung ist nötig, wenn personenbezogene Daten betroffen sind, etwa aus Kontaktformularen, Kundenkonten oder Newsletter-Listen. Nach Art. 33 DSGVO muss die Meldung binnen 72 Stunden an die Datenschutzbehörde gehen, außer das Risiko für die Betroffenen ist gering. In Österreich ist die Datenschutzbehörde DSB zuständig, in Deutschland die jeweilige Landesbehörde. Diese Antwort ist eine allgemeine Information und keine Rechtsberatung.

Quellen Art. 33 DSGVO, DSB

Verstöße gegen die Pflichten zur Datensicherheit und zur Meldung können nach Art. 83 DSGVO mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden. Wie hoch ein Bußgeld ausfällt, hängt vom Einzelfall ab, etwa davon, ob bekannte Updates bewusst nicht eingespielt wurden.

Quelle Art. 83 DSGVO

Geschäftsführer müssen mit der Sorgfalt eines ordentlichen Geschäftsmanns handeln und können bei Pflichtverletzung gegenüber der Gesellschaft haften, in Österreich nach § 25 GmbHG und in Deutschland nach § 43 GmbHG. Wer bekannte Warnungen von Behörden ignoriert, erhöht dieses Risiko. Diese Antwort ist eine allgemeine Information und keine Rechtsberatung.

Quelle § 43 GmbHG

In Österreich gilt seit 1. Oktober 2026 das NISG 2026, in Deutschland seit Dezember 2025 das NIS2-Umsetzungsgesetz. Betroffen sind mittlere und große Unternehmen in bestimmten Sektoren, darunter Teile des Maschinenbaus. Diese Unternehmen müssen erhebliche Sicherheitsvorfälle melden, mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht binnen eines Monats.

Quelle WKO

Ob die Cyberversicherung zahlt, hängt von den Vertragsbedingungen ab, viele Policen verlangen, dass Sicherheitsupdates zeitnah eingespielt werden. Das Landgericht Tübingen hat 2023 entschieden, dass fehlende Updates einen Versicherer nicht automatisch von der Leistung befreien. Darauf verlassen solltet ihr euch nicht, prüft eure Pflichten im Vertrag.

Quelle IWW