PHP2Shell: Ist Ihre Website betroffen? Was KMU tun sollten

Am 21. Oktober 2026 wurde eine der schwersten Sicherheitslücken der letzten Jahre bekannt. Sie heisst PHP2Shell und betrifft PHP, die Technik, mit der ein grosser Teil aller Websites läuft. Auch WordPress basiert auf PHP.

Die gute Nachricht zuerst: Es gibt ein Update. Die schlechte: Angreifer nutzen die Lücke bereits aus. Wenn Ihre Website mit WordPress oder einem anderen PHP-System läuft, sollten Sie diese Woche handeln.

Kurz prüfen? Mit unserem kostenlosen PHP-Check sehen Sie in wenigen Sekunden, ob Ihre Website PHP nutzt und ob die Version schon repariert ist.

Was ist passiert?

PHP ist so etwas wie der Motor hinter vielen Websites. Jedes Mal, wenn jemand Ihre Seite öffnet, arbeitet dieser Motor im Hintergrund. Sicherheitsforscher haben zwei Fehler darin gefunden, die zusammen sehr gefährlich sind:

Ein Angreifer braucht kein Passwort und keinen Zugang.
Eine einzige, speziell gebaute Anfrage an Ihre Website reicht.
Danach kann er eigene Befehle auf dem Server ausführen. Er kann also Daten lesen, Ihre Website verändern oder Schadsoftware verstecken.

Fachleute bewerten die Lücke mit 9.2 von 10 Punkten, einige sogar mit der Höchstnote. Laut Amazon gab es den ersten Angriffsversuch schon am 17. Oktober, also vier Tage vor der Veröffentlichung. Inzwischen wird die Lücke breit ausgenutzt.

Bin ich betroffen?

Das hängt von zwei Fragen ab.

1. Läuft Ihre Website mit PHP? Das ist bei WordPress, Joomla, TYPO3, Shopware, WooCommerce und vielen Shops und Kundenportalen der Fall. Bei Baukästen wie Wix oder Squarespace kümmert sich der Anbieter um die Technik, dort müssen Sie nichts tun.

2. Hat Ihr Hoster PHP schon aktualisiert? Repariert sind diese Versionen und alles Neuere:

PHP-Reihe	Repariert ab Version
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35
8.1 und älter	kein offizielles Update mehr

Für ältere Versionen wie PHP 7.4 oder 8.0 gibt es kein fertiges Update. Diese Versionen sind schon länger veraltet, laufen aber auf erstaunlich vielen Websites noch.

So prüfen Sie es in 10 Sekunden

Geben Sie Ihre Adresse in unseren PHP-Check ein. Der Check ruft Ihre Startseite einmal auf, wie jeder normale Besucher, und liest, was Ihr Server öffentlich mitteilt. Sie sehen dann eines von diesen Ergebnissen:

Betroffen: Ihre Website zeigt eine PHP-Version ohne Update. Handeln Sie heute.
Veraltete Version: Ihre PHP-Version bekommt gar keine Updates mehr. Fragen Sie Ihren Hoster und planen Sie den Wechsel.
PHP erkannt, Version unbekannt: Viele Server verstecken die Version, was eigentlich gut ist. Dann hilft nur eine kurze Nachfrage beim Hoster.
Repariert oder kein PHP gefunden: Alles gut, zumindest von aussen betrachtet.

Was Sie jetzt tun sollten

1. Hoster oder Agentur anschreiben. Das ist der wichtigste Schritt. Ein Satz genügt:

«Läuft meine Website auf einer PHP-Version mit dem Sicherheitsupdate vom 21. Oktober 2026 gegen PHP2Shell? Wenn nein, bis wann wird sie aktualisiert?»

Grosse Hoster spielen solche Updates meist selbst ein. Bei kleinen Anbietern, bei eigenen Servern oder wenn die Website von einem Bekannten aufgesetzt wurde, passiert das oft nicht von allein.

2. Nicht auf Plugins verlassen. Ein WordPress-Sicherheitsplugin oder ein WordPress-Update schliesst diese Lücke nicht. Der Fehler steckt eine Ebene tiefer, in PHP selbst.

3. Bei alten Versionen den Wechsel planen. Läuft Ihre Website noch auf PHP 8.1 oder älter, ist jetzt der richtige Moment für ein Update auf 8.2 oder neuer. Oft müssen dabei auch WordPress, das Theme und die Plugins nachgezogen werden. Rechnen Sie mit einigen Stunden Arbeit.

4. Im Zweifel vom Netz nehmen. Die Sicherheitsbehörden raten: Websites, die sich nicht aktualisieren lassen, sollten vorübergehend offline gehen. Das klingt drastisch, ist aber besser als ein gehackter Server, auf dem Kundendaten liegen.

5. Auf Auffälligkeiten achten. Neue Benutzer in WordPress, die Sie nicht kennen, seltsame Weiterleitungen oder Warnungen von Google sind Hinweise auf einen Einbruch. Dann reicht ein Update allein nicht mehr, die Website muss gründlich geprüft werden.

Warum unsere Websites nicht betroffen sind

Die Websites von Web Alpine Studio laufen ohne PHP und ohne Datenbank. Wir bauen sie als fertige, schnelle Seiten, die der Server einfach ausliefert. Wo kein PHP läuft, gibt es auch keine PHP-Lücke. Updates wie dieses übernehmen wir für unsere Kunden im Hosting für CHF 29 pro Monat, Sicherheitsupdates sind dort inklusive.

Für viele KMU mit einer einfachen WordPress-Website ist genau das die bessere Lösung: weniger Technik, die gewartet werden muss, und keine Sorgen beim nächsten Sicherheitsalarm.

Unsicher? Wir helfen

Sie wissen nicht, wer Ihre Website betreut, oder Ihr Hoster antwortet nicht? Schreiben Sie uns an info@webalpinestudio.ch. Wir schauen uns Ihre Website kostenlos an und sagen Ihnen in einfachen Worten, was zu tun ist. Wenn Sie gleich Ihre ganze IT prüfen lassen möchten, finden Sie hier unsere IT-Beratung und Sicherheitschecks für KMU.

Jetzt Ihre Website prüfen

Quellen: PHP Downloads, Help Net Security, Tenable FAQ, Rapid7, Google Cloud. Stand: 22. Oktober 2026.

Häufige Fragen

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei schwere Sicherheitslücken in PHP, die am 21. Oktober 2026 bekannt wurden (CVE-2026-109618 und CVE-2026-109619). Angreifer können damit ohne Passwort fremden Code auf einem Webserver ausführen. Es gibt bereits echte Angriffe.

Ist meine WordPress-Website betroffen?

Sehr wahrscheinlich ja, solange Ihr Hoster PHP noch nicht aktualisiert hat. WordPress läuft immer mit PHP. Repariert sind die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie alles Neuere. Mit unserem kostenlosen PHP-Check sehen Sie in Sekunden, was Ihre Website verrät.

Hilft ein WordPress-Update oder ein Sicherheits-Plugin?

Nein. Die Lücke steckt in PHP selbst, also eine Ebene unter WordPress. Ein Plugin kann sie nicht schliessen. Nur das Update von PHP auf dem Server hilft, und das macht in der Regel Ihr Hoster.

Was soll ich meinen Hoster fragen?

Fragen Sie: «Läuft meine Website auf einer PHP-Version mit dem Sicherheitsupdate vom 21. Oktober 2026 gegen PHP2Shell?» Bei einem Ja lassen Sie sich die genaue Version nennen. Bei einem Nein fragen Sie, bis wann das Update kommt.

Meine Website läuft noch auf PHP 7 oder 8.0. Was nun?

Für PHP 8.1 und älter gibt es kein offizielles Update mehr. Manche Hoster flicken alte Versionen selbst, darauf verlassen sollten Sie sich nicht. Der sichere Weg ist der Wechsel auf PHP 8.2 oder neuer. Dabei muss oft auch WordPress mit Theme und Plugins aktualisiert werden.

Braucht jede Website PHP?

Nein. Moderne Websites, wie wir sie bauen, bestehen aus fertigen Seiten ohne PHP und ohne Datenbank im Hintergrund. Solche Websites sind von PHP2Shell gar nicht betroffen.