PHP-Lücke PHP2Shell: Ist meine Website betroffen?
Kurz gesagt: Betroffen ist jede Website, die mit PHP läuft, zum Beispiel mit WordPress, solange auf dem Server der Patch vom 21. Oktober 2026 fehlt. Ob deine Seite PHP nutzt, zeigt dir unser kostenloser Prüfer. Ob der Patch eingespielt ist, weiß nur dein Hoster.
Was ist passiert? Zwei kritische Lücken in PHP.
Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei kritischen Schwachstellen in PHP gewarnt. Hier steht, was das heißt: ruhig, mit Quellen.
Stand: 22. Oktober 2026
Schweregrad
9,2von 10
nach dem Bewertungssystem CVSS 4.0. Ab 9,0 gilt eine Schwachstelle als kritisch.
Betroffene Versionen
Alle
bekannten PHP-Versionen, zurück bis mindestens PHP 5, sobald PHP Webanfragen verarbeitet. Also auch jede WordPress-Seite.
Patch verfügbar seit
21.10.
2026. Ob dein Server ihn schon hat, weiß nur dein Hoster: Viele patchen, ohne die Versionsnummer zu ändern.
Der Motor im Keller
Stell dir PHP als Motor im Keller deiner Website vor. Bei jedem Besuch springt er an und baut die Seite neu zusammen: Texte aus der Datenbank, Bausteine aus Theme und Plugins. Durch die zwei Lücken kann ein Fremder diesem Motor eigene Befehle geben, ohne Passwort und ohne dass jemand etwas anklicken muss.
Eine statische Seite hat keinen Motor im Keller. Sie liegt fertig gebaut da und wird nur noch ausgeliefert. Wo kein Motor läuft, kann ihn auch niemand übernehmen.
Mit PHP
- Besuch
- PHP baut die SeiteCode, Datenbank, Plugins
- Seite
Statisch
- Besuch
- fertige Seite
Was du jetzt tun kannst
Frag deinen Hoster, ob PHP schon gepatcht ist.
Eine kurze Mail reicht: „Ist PHP2Shell auf meinem Server geschlossen?“ Die Versionsnummer allein beweist es nicht.
Bring WordPress, Theme und Plugins auf den neuesten Stand.
Das schließt nicht die Lücke in PHP selbst, aber andere bekannte Lücken auf deiner Seite.
Dauerhaft: PHP loswerden.
Eine statische Seite braucht weder PHP noch Datenbank. Bei der nächsten PHP-Lücke musst du dann nichts patchen. Das ist unser Angebot, eine Möglichkeit unter mehreren: Schritt 1 und 2 helfen auch ohne uns.
So läuft der Umzug
Warum das auch rechtlich zählt
Wer eine Website mit Kontaktformular oder Kundendaten betreibt, ist für deren Sicherheit verantwortlich. Die Datenschutz-Grundverordnung (DSGVO) sagt dazu:
- Art. 32
- Personenbezogene Daten müssen nach dem Stand der Technik geschützt werden. Dazu gehören Sicherheitsupdates.
- Art. 33
- Wird eine Seite gehackt und geraten personenbezogene Daten in falsche Hände, muss die Datenpanne in der Regel binnen 72 Stunden der Datenschutzbehörde gemeldet werden.
- Art. 82
- Betroffene können Schadensersatz verlangen.
Quelle: Verordnung (EU) 2016/679 (DSGVO) auf EUR-Lex
Keine Rechtsberatung.
Die Fakten im DetailWas das BSI meldet, alle Quellen
Was das BSI meldet
- Name
- „PHP2Shell“, zwei Schwachstellen: CVE-2026-109618 und CVE-2026-109619
- Was ein Angreifer braucht
- Keine Anmeldung und kein Zutun des Nutzers.
- Betroffen
- Alle PHP-Installationen, die Webanfragen verarbeiten.
- Einstufung BSI
- Kritikalität 3 / Orange: „Maßnahmen müssen unverzüglich ergriffen werden.“
- Patches
- Seit 21.10.2026: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, Backports für 7.4, 8.0 und 8.1.
- Angriffe
- Stand 21.10.: keine bestätigten. Das BSI erwartet aber eine kurzfristige Ausnutzung.
- Folgen bisher
- Einige Betreiber haben Server vorsorglich vom Netz genommen, Seiten in Deutschland waren zeitweise nicht erreichbar.
Quellen
- BSIIT-Sicherheitshinweis BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21.10.2026 (PDF)
- CISAWarnung der US-Behörde für Cybersicherheit vom 21.10.2026 (englisch)
- php.netMeldungen des PHP-Projekts 2026 mit den neuen Versionen (englisch)
Stand: 22. Oktober 2026
Fragen zur PHP-Lücke
Deine Frage ist nicht dabei? Schreib uns, wir antworten in normaler Sprache.
Frage stellenIst meine Website von der PHP-Lücke betroffen?
Wenn sie mit PHP läuft, zum Beispiel mit WordPress, und auf dem Server der Patch vom 21. Oktober 2026 noch fehlt: ja. Ob deine Seite PHP nutzt, zeigt dir unser kostenloser Prüfer in wenigen Sekunden. Ob der Patch eingespielt ist, weiß nur dein Hoster.
Website prüfenMuss ich jetzt etwas tun?
Ja, wenn deine Seite mit PHP läuft: Frag deinen Hoster, ob der Patch vom 21. Oktober 2026 eingespielt ist, und bring WordPress, Theme und Plugins auf den neuesten Stand. Das BSI rät, die Patches umgehend einzuspielen.
Reicht es, wenn mein Hoster PHP aktualisiert?
Für diese Lücke ja: Mit dem Patch ist sie geschlossen. Bei der nächsten Lücke in PHP, WordPress oder einem Plugin geht das Nachfragen und Aktualisieren von vorn los. Wer das nicht mehr will, zieht auf eine Seite ohne PHP um.
Woran erkenne ich, ob meine Website PHP nutzt?
Läuft sie mit WordPress, Joomla, TYPO3 oder einem anderen System, das die Seiten bei jedem Besuch auf dem Server zusammenbaut, nutzt sie fast immer PHP. Genauer sagt es dir unser kostenloser Prüfer, soweit es von außen sichtbar ist.
Website prüfenIst eine Website ohne PHP sicher?
Gegen Lücken wie diese ja: Wo kein PHP läuft, kann es niemand ausnutzen. Unhackbar ist keine Website, das verspricht niemand seriös. Aber ohne PHP, Datenbank und Plugins fällt die größte Angriffsfläche weg.
Was kostet der Umzug auf eine Website ohne PHP?
Einmalig 199 € bis 5 Seiten, 449 € bis 20 Seiten, größere Seiten ab 799 € nach Angebot. Du bekommst vorher eine kostenlose Vorschau und zahlst erst, wenn sie dir gefällt.
Alle PreiseUmzug anfragen. So, wie es dir passt.
Ruf an oder schreib eine E-Mail. Oder stell deine Anfrage hier in vier kurzen Schritten. Unverbindlich, und beim Umzug gilt: erst sehen, dann zahlen. Wir arbeiten für Firmen, Selbstständige und Vereine.
Direkt erreichen
- Telefon015234001102Anrufen und direkt fragen.
- E-Mailinfo@php-frei.deSchreib uns, gern mit der Adresse deiner Seite.
Egal auf welchem Weg: Du bekommst eine Antwort von uns, so schnell es geht.