PHP-Sicherheits­lücke PHP2Shell: Ist meine Website betroffen? In fünf Minuten prüfen.

Die Lücke, um die es geht, heißt PHP2Shell und wurde am 21. Oktober 2026 geschlossen. Was dahintersteckt, steht in der Einordnung. In Niedersachsen haben Land, Hochschulen und Städte wie Celle ihre Seiten am 21. Oktober vorsorglich vom Netz genommen, dort kümmern sich IT-Abteilungen darum. Hier geht es um Deine eigene Seite, und dafür brauchst Du einen Browser, Deine Zugangsdaten und ein paar Minuten.

1. Läuft meine Website auf PHP?

Gib im Browser Deine Adresse ein und häng /wp-login.php an. Erscheint ein Anmeldefenster von WordPress, ist die Antwort ja. Manche Seiten verstecken diese Anmeldung, dann hilft der zweite Weg: Rechtsklick auf Deine Startseite, „Seitenquelltext anzeigen“, und mit Strg+F (am Mac mit cmd+F) nach „wp-content“ suchen. Taucht das Wort auf, ist es WordPress. Auch TYPO3, Joomla, Contao, Drupal und Shopware laufen auf PHP, ihr Name steht oft im Quelltext in einer Zeile mit „generator“.

Liegt Deine Seite bei einem Baukasten wie Wix, Jimdo oder Squarespace, betreibst Du keinen eigenen Server. Dann ist der Anbieter zuständig, und Du kannst hier aufhören.

2. Welche PHP-Version läuft auf meinem Server?

In WordPress steht sie unter Werkzeuge, Website-Zustand, Reiter Bericht, im Abschnitt Server. Ohne WordPress hilft der Kundenbereich Deines Hosters, die PHP-Version findet sich dort meist bei den Einstellungen des Webspace. Manche Server nennen ihre Version auch nach außen. Besser ist es, wenn sie das nicht tun, denn an dieser Stelle ist Verschwiegenheit ausnahmsweise eine Tugend.

3. Ist meine Version schon repariert?

Repariert sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie höhere Nummern derselben Linie. Steht bei Dir eine niedrigere Nummer, etwa 8.3.33, fehlt das Update noch. Für 8.1 und älter gibt es vom PHP-Projekt keine neuen Versionen mehr, dort hängt alles daran, ob Dein Hoster die Korrektur auf anderem Weg einbaut oder den Server auf eine gepflegte Version umstellt.

Eine Einschränkung gehört dazu. Auf vielen Servern kommt PHP aus der Paketverwaltung der Linux-Distribution, und die liefert Korrekturen als eigene Pakete nach. Das BSI weist darauf hin, dass man die installierte Version dann möglicherweise mit der korrigierten Version der Distribution abgleichen muss, die Nummer allein sagt es nicht immer. Die Versionsnummer ist deshalb ein guter Hinweis, die verbindliche Antwort hat der Hoster.

4. Wen frage ich, und was genau?

Deinen Hoster oder die Agentur, die Deine Seite betreut. Damit die Frage ohne Rückfrage verstanden wird, nenn die beiden Kennungen. Zum Beispiel so:

Ist auf dem Server meiner Website das PHP-Sicherheitsupdate vom 21. Oktober 2026 gegen CVE-2026-109618 und CVE-2026-109619 eingespielt? Falls nicht: bis wann, und was passiert bis dahin?

Mit diesen beiden Nummern weiß jeder, der Server betreut, sofort, worum es geht.

5. Sieht auf meiner Seite alles normal aus?

Ein kurzer Blick schadet nicht. Sieh in WordPress unter Benutzer nach, ob dort Konten stehen, die Du nicht kennst. Gib bei Google site: ein, direkt gefolgt von Deiner Adresse ohne www, und schau, ob Seiten auftauchen, die Du nie angelegt hast. Ein unauffälliges Ergebnis ist allerdings keine Garantie, verlässliche Anzeichen für einen Angriff über diese Lücke kennt das BSI bisher nicht. Fällt Dir etwas auf, ist das ein Fall für Deinen Hoster und nichts, das Du allein lösen musst.

Welche PHP-Versionen sind betroffen?

Laut BSI alle. Repariert sind erst die Versionen vom 21. Oktober 2026: 8.5.12, 8.4.27, 8.3.36 und 8.2.35, dazu jede höhere Nummer derselben Linie. Steht bei Dir eine niedrigere Nummer, fehlt das Update. Die alten Linien 8.1, 8.0 und 7.4 bekommen keine neuen Versionen mehr. Für sie gibt es nur Korrekturen im Quelltext, die Linux-Distributionen und Hoster selbst einbauen müssen, und ob das bei Deinem Server passiert ist, kann Dir nur der Hoster sagen. Wo Du Deine Version findest, steht oben in Schritt 2.

Ist meine Website jetzt gehackt?

Nicht automatisch. Die Lücke macht einen Angriff möglich, sie ist kein Beleg für einen Angriff. Bestätigte Angriffe kannte das BSI am 21. Oktober 2026 nicht, es geht aber von einer kurzfristigen Ausnutzung verwundbarer Systeme aus. Deshalb jetzt prüfen und das Update einspielen lassen.

Reicht es, WordPress und die Plugins zu aktualisieren?

Nein. Die Lücke steckt in PHP auf dem Server, nicht in WordPress. Das BSI schreibt ausdrücklich, dass ein Update der Anwendung nicht genügt und PHP selbst aktualisiert werden muss.

Hilft eine Firewall, zum Beispiel von Cloudflare?

Sie kann helfen, aber nicht vollständig. Anbieter wie Cloudflare haben Regeln gegen die bisher bekannten Angriffswege veröffentlicht. Vollständigen Schutz bieten laut BSI nach aktuellem Stand nur das Update oder die Trennung des Servers vom Internet.

Ist eine Website ohne PHP betroffen?

Nein. Läuft auf dem Server kein PHP, etwa bei einer statisch gebauten Website, gibt es für diese Lücke nichts anzugreifen. Was eine Website ohne PHP im Alltag heißt, habe ich auf kenala.de kurz zusammengefasst.

Mein Hoster antwortet nicht. Was dann?

Hartnäckig bleiben und schriftlich nachfragen. Für Server, die sich nicht sofort aktualisieren lassen, empfiehlt das BSI, eine vorübergehende Trennung vom Internet zu erwägen. Eine Seite, die zwei Tage nicht erreichbar ist, ist der kleinere Schaden.

Und auf Dauer?

Wenn Du diese fünf Schritte hinter Dir hast, kennst Du den Zustand Deiner Seite besser als die meisten. Beim nächsten Mal wirst Du sie wieder brauchen, denn eine Website mit PHP, Datenbank und Plugins bleibt eine Baustelle, die laufend Updates verlangt. Ich baue Websites deshalb mit Kenala, ohne PHP, ohne Datenbank, ohne Plugins: Die Seiten liegen als fertige Dateien im Netz, Änderungen sagst Du in einem Satz, siehst sie vorher und gibst sie frei. Mit einer solchen Seite wärst Du mit dieser Liste schon nach Schritt 1 fertig gewesen.

Mehr dazu auf der Seite Websites mit Kenala, für Betriebe hier in der Region unter Webdesign in Celle, und kurz zusammengefasst auf kenala.de: Website ohne PHP, ohne Datenbank, ohne Plugins.

Quellen

BSI, IT-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“, BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21. Oktober 2026. PHP-Projekt, Security advisory vom 21. Oktober 2026 auf php.net. NDR Niedersachsen, 21. Oktober 2026, 19:43 Uhr.