Oktober 22, 2026
Was Webseiten-Betreiber jetzt wissen müssen
In PHP, der Technik hinter den meisten Webseiten, wurde eine sehr gefährliche Lücke entdeckt – prüfen Sie jetzt, ob Ihre Webseite geschützt ist.
Kurz erklärt
Stellen Sie sich Ihre Webseite wie ein Haus vor. PHP ist der Motor, der im Keller läuft und dafür sorgt, dass im Haus das Licht angeht, die Türen aufgehen und Besucher hereinkommen können.
Jetzt hat man herausgefunden: In diesem Motor gibt es eine kaputte Stelle. Durch diese Stelle kann ein Fremder ins Haus schlüpfen, ohne an der Tür zu klingeln. Er kann dann Sachen mitnehmen, Dinge kaputt machen oder sich heimlich einnisten.
Die gute Nachricht: Es gibt schon ein neues, repariertes Ersatzteil. Man muss es nur einbauen. Bei manchen sehr alten Motoren gibt es aber kein Ersatzteil mehr – da muss ein neuer Motor her.
Und damit Sie sicher sein können, dass niemand schon drin war, schaut man am besten einmal in alle Zimmer.
Das Wichtigste zu php2shell
Unter dem Namen „php2shell“ wurden im Oktober 2026 zwei kritische Sicherheitslücken in PHP bekannt (CVE-2026-109618 und CVE-2026-109619). Beide sind mit 9,2 von 10 Punkten bewertet. Angreifer können damit im schlimmsten Fall ohne Anmeldung eigene Befehle auf dem Webserver ausführen.
Die möglichen Folgen:
- Diebstahl von Kunden- und Firmendaten
- Manipulierte Webseiten, z. B. mit Schadsoftware oder Fake-Inhalten
- Missbrauch des Servers für Spam oder weitere Angriffe
- Komplette Übernahme des Servers
Warum ist das so ernst? Die Lücke steckt nicht in einem einzelnen Programm, sondern in PHP selbst. PHP läuft auf rund drei Vierteln aller Webseiten, deren Technik bekannt ist. Betroffen sind nach bisherigen Erkenntnissen alle PHP-Versionen seit PHP 5. Details zur Lücke waren schon vor dem offiziellen Update im Umlauf, Sicherheitsforscher rechnen deshalb mit schnellen, massenhaften Angriffen.
Welche Versionen bekommen ein Update? Das PHP-Team stellt Sicherheitsupdates für PHP 8.2, 8.3, 8.4 und 8.5 bereit. PHP 8.1 und älter (also auch 7.4 und 8.0) werden offiziell nicht mehr gepflegt und erhalten keinen Fix.
Was läuft alles mit PHP?
Deutlich mehr, als viele denken. Ein Update von WordPress oder Nextcloud allein hilft hier nicht – entscheidend ist das PHP auf dem Server.
| Bereich | Beispiele |
|---|---|
| Webseiten / CMS | WordPress, TYPO3, Joomla, Drupal, Contao |
| Onlineshops | WooCommerce, Shopware, Magento, PrestaShop, JTL-Shop, Gambio |
| Cloud & Zusammenarbeit | Nextcloud, ownCloud (klassisch), Roundcube Webmail |
| Wissen & Lernen | MediaWiki, DokuWiki, Moodle, ILIAS |
| Verwaltung & Service | Dolibarr, SuiteCRM, Invoice Ninja, Kimai, GLPI, osTicket |
| Marketing & Statistik | Matomo, Mautic, LimeSurvey |
| Werkzeuge | phpMyAdmin, Adminer |
| Eigenentwicklungen | Kontaktformulare, Buchungstools, Kundenportale (z. B. mit Laravel oder Symfony) |
Auch eine scheinbar einfache Webseite kann betroffen sein, etwa wenn nur das Kontaktformular mit PHP läuft. Gerne vergessen werden alte Testseiten oder Subdomains.
Was ist jetzt zu tun?
Was Sie tun müssen, hängt davon ab, wo Ihre Webseite gehostet ist und welche PHP-Version sie nutzt.
| Ihre Situation | Was zu tun ist | Dringlichkeit |
|---|---|---|
| Ihre Webseite liegt bei Office Komplett | Das Sicherheitsupdate ist auf unseren Servern bereits eingespielt. Gerne prüfen wir zusätzlich Ihre PHP-Version und ob eine Umstellung nötig ist. | Niedrig |
| Ihre Webseite liegt bei einem anderen Hoster | Bitte prüfen Sie Ihre PHP-Version und fragen Sie Ihren Hoster, ob das Sicherheitsupdate eingespielt ist. | Hoch |
| PHP 8.1 oder älter (auch 7.4 / 8.0) | Auf PHP 8.2 oder neuer umstellen. Dabei CMS, Theme und Plugins aktualisieren und die Seite testen. | Hoch |
| Eigener Server (Root- oder vServer, eigene Nextcloud im Büro) | PHP-Update sofort selbst einspielen und danach die Protokolle prüfen. | Sehr hoch |
Checkliste für alle Betreiber:
- Alle eigenen Webseiten, Shops und Subdomains auflisten – auch alte Test- und Nebenseiten
- Die PHP-Version jeder Seite herausfinden
- Klären, wer das PHP-Update einspielt (Hoster, IT-Dienstleister oder Sie selbst)
- Veraltete PHP-Versionen auf 8.2 oder neuer umstellen
- Nicht mehr genutzte Seiten und Werkzeuge (z. B. phpMyAdmin) abschalten
- Prüfen, ob es Anzeichen für einen Angriff gibt
- Ein aktuelles Backup sicherstellen
Woran erkennt man einen möglichen Angriff? Typische Anzeichen sind unbekannte Dateien im Webverzeichnis, neue Admin-Benutzer, veränderte PHP-Dateien oder ungewöhnliche ausgehende Verbindungen. Im Verdachtsfall Zugangsdaten ändern, Backup prüfen und Fachleute hinzuziehen.
Unser Angebot: Wir übernehmen das für Sie
Sie müssen sich nicht selbst durch Server-Einstellungen kämpfen – Office Komplett prüft und sichert Ihre Webseiten ab.
Unser php2shell-Check umfasst:
- PHP-Version prüfen: Wir erfassen alle Ihre Webseiten, Shops und Anwendungen samt PHP-Version.
- Umstellung alter Versionen: Wir heben veraltete PHP-Versionen auf 8.2 oder neuer an und bringen CMS, Theme und Plugins auf den passenden Stand.
- Sicherheitsprüfung: Wir suchen nach Anzeichen für einen Angriff und prüfen Ihre Backups.
- Funktionstest: Wir testen Ihre Seite nach der Umstellung und geben Ihnen eine kurze Rückmeldung.
Webhosting bei Office Komplett: Das Sicherheitsupdate ist auf unseren Servern bereits eingespielt. Gerne prüfen wir Ihre PHP-Version und sagen Ihnen, ob Handlungsbedarf besteht.
Webseite bei einem anderen Hoster: Bitte prüfen Sie Ihre PHP-Version. Wenn Sie unsicher sind oder Unterstützung bei der Umstellung brauchen, helfen wir gerne.
Wir werden erst nach Ihrer ausdrücklichen Freigabe tätig.
Auf Dauer sorglos: Mit unseren OK365 Managed IT Services kümmern wir uns laufend um Updates und Sicherheit – zum monatlichen Festpreis.
Jetzt Kontakt aufnehmen
- Deutschland: +49 7762 70 88 60
- Schweiz: +41 62 748 25 10
- Support: support@hilfe365.com
- Vertrieb: vertrieb@hilfe365.com
Erreichbar Montag bis Freitag, 08:00–12:00 und 13:30–17:00 Uhr.