Sicherheits-Check
ab 149 €
PHP-Version und Hosting prüfen, testen, ob die Website mit aktuellem PHP noch läuft, Update anstoßen. Kurzbericht in 24 h.
BSI-Warnung vom 21. Oktober 2026
Kritische PHP-Lücke: Ist deine Website betroffen?
Über die Lücke „PHP2Shell“ können Angreifer Websites übernehmen, ohne Passwort. Betroffen sind viele Seiten mit WordPress, Joomla oder Typo3. Wir prüfen deine Seite in 24 Stunden und sagen dir, ob ein Update reicht oder ein sicherer Neubau ohne PHP sinnvoll ist.
Ersteinschätzung kostenlos · Check in 24 h · Umzug in 2 bis 3 Werktagen
Bin ich betroffen?
Wahrscheinlich ja, wenn …
deine Seite mit WordPress, Joomla oder Typo3 läuft
Fast alle bekannten Systeme für Websites und Shops nutzen PHP.
dein Hosting-Paket schon älter ist
Viele laufen noch mit PHP 7 oder 8.1.
länger niemand Updates gemacht hat
Dann ist meist auch PHP nicht aktuell.
Nicht sicher? Im kostenlosen Gespräch schauen wir gemeinsam nach, das dauert meist nur ein paar Minuten.
Entscheidend ist die PHP-Version auf dem Server:
PHP 8.1 oder älter
Kein offizielles Update mehr. Umstieg nötig.
PHP 8.2 bis 8.5, nicht aktualisiert
Betroffen, bis das Update eingespielt ist.
Aktuelles PHP-Update eingespielt
Diese Lücke ist geschlossen.
Website ohne PHP
Von dieser Lücke nicht betroffen.
Schnell geholfen, fester Preis.
Vom schnellen Check bis zur neu gestalteten Website. Was sinnvoll ist, klären wir im kostenlosen Gespräch.
Beliebt
1:1-Umzug ohne PHP
ab 990 €
Gleiche Website, gleiches Aussehen, neu gebaut ohne PHP. Bis 5 Seiten, in 2 bis 3 Werktagen online.
Modernisieren
ab 1.990 €
Wie der Umzug, dazu frisches Design, mobil optimiert und deutlich schneller.
Neu gestalten
ab 2.490 €
Komplett neues Design und neue Struktur, auf Wunsch mit Texten und SEO.
Alle Preise sind Endpreise. Gemäß § 19 UStG wird keine Umsatzsteuer berechnet. Danach auf Wunsch Betreuung ab 49 €/Monat mit Hosting, Backups und Updates.
So läuft es ab
- 01
Kurz sprechen
20 Minuten, kostenlos. Du nennst uns deine Adresse, wir sagen dir, wie es aussieht.
- 02
Prüfen und absichern
Innerhalb von 24 Stunden: Version, Hosting, ob deine Seite mit neuem PHP noch läuft, Update oder Übergangslösung.
- 03
Sicher wieder online
Auf Wunsch 1:1 ohne PHP neu gebaut, in 2 bis 3 Werktagen.
Lieber jetzt prüfen
als später aufräumen.
20 Minuten, kostenlos: Wir schauen uns deine Website an und sagen dir ehrlich, was nötig ist, vom Update bis zum sicheren Neubau.
Ratgeber · Stand: 22. Oktober 2026
PHP2Shell: Was hinter der PHP-Sicherheitslücke steckt
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken in PHP selbst bekannt gegeben: CVE-2026-109618 und CVE-2026-109619, in den Medien „PHP2Shell“ genannt. Beide sind mit 9,2 von 10 Punkten (CVSS 4.0) bewertet. Details waren vorab an die Öffentlichkeit gelangt, deshalb mussten die Updates schnell veröffentlicht werden.
Was können Angreifer damit tun?
Über präparierte Anfragen an den Webserver können Angreifer eigenen Programmcode auf dem Server ausführen, ohne Anmeldung und ohne dass jemand etwas anklicken muss. Damit lässt sich eine Website übernehmen, verändern oder für Spam und Schadsoftware missbrauchen. Daten von Kunden, etwa aus Kontaktformularen oder Shops, können abfließen.
Wer ist betroffen?
Laut der US-Behörde CISA betrifft die Lücke alle PHP-Installationen, die Webseiten ausliefern, egal ob über Apache mit mod_php, PHP-FPM oder andere Varianten. Am stärksten gefährdet sind Server mit mod_php, weil der Angriff dort schon greift, bevor die eigentliche Website geladen ist. PHP steckt hinter WordPress, Joomla, Typo3, Drupal, Moodle und vielen Onlineshops, also hinter einem großen Teil aller Websites. Das BSI hat eine Warnung der Stufe „3 / Orange“ veröffentlicht. Einzelne Städte und Einrichtungen haben ihre Portale vorsorglich abgeschaltet.
Welche Versionen sind sicher?
Die Lücken sind in diesen PHP-Versionen geschlossen:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35 (diese Reihe erhält nur noch bis 31. Dezember 2026 Updates)
Für PHP 8.1 und ältere Versionen liefert das PHP-Projekt kein offizielles Update mehr. Manche Hoster und Linux-Distributionen spielen Korrekturen selbst ein, darauf verlassen sollte man sich aber nicht. Die CISA rät, nicht aktualisierbare Systeme bis zum Umstieg vom Netz zu nehmen.
Was sollten Websitebetreiber jetzt tun?
- PHP-Version herausfinden, zum Beispiel im Kundenbereich des Hosters oder im WordPress-Bereich „Website-Zustand“.
- Beim Hoster nachfragen, ob das Update eingespielt ist, oder auf eine gepatchte Version umstellen.
- Bei PHP 8.1 oder älter: auf PHP 8.4 oder 8.5 wechseln oder die Website auf eine Technik ohne PHP umziehen.
- Auf Auffälligkeiten achten: unbekannte Dateien, neue Admin-Konten, Weiterleitungen, Warnungen von Google.
Wer nicht sofort aktualisieren kann, kann laut PHP-Projekt mit Einstellungen in der php.ini das Risiko senken (unter anderem session.upload_progress.enabled = 0 und angepasste Speicherlimits). Diese Einstellungen müssen auf Server-Ebene gesetzt werden und ersetzen das Update nicht.
Warum eine Website ohne PHP sicherer ist
Bei einer klassischen PHP-Website baut der Server jede Seite bei jedem Aufruf neu zusammen, mit Programmcode und Datenbank. Genau dort setzen Lücken wie PHP2Shell an. Eine moderne statische Website wird einmal fertig gebaut und dann als einfache Dateien über ein weltweites Netz ausgeliefert. Auf dem Server läuft kein PHP und keine Datenbank, die angegriffen werden könnten. Solche Seiten laden außerdem spürbar schneller. Inhalte lassen sich trotzdem pflegen, über ein separates Redaktionssystem oder durch uns.
Absolute Sicherheit gibt es bei keiner Technik. Die Angriffsfläche ist aber deutlich kleiner, und Lücken in PHP betreffen solche Seiten nicht.