Läuft Ihre Website noch mit PHP?
Am 21.10.2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, bekannt als PHP2Shell. Betroffen ist jede Website, deren Server noch eine ungepatchte PHP-Version nutzt. Dazu gehören Seiten mit WordPress, Joomla, TYPO3, Drupal, Shopware und Contao, denn sie alle laufen auf PHP. Angreifer können ohne Login eigenen Code auf dem Server ausführen. Kurzfristig hilft nur das PHP-Update beim Hoster. Dauerhaft ruhig schlafen Sie mit einer Website, die gar kein PHP braucht.
Bin ich betroffen? →Was ist PHP2Shell?
PHP2Shell ist der Name für zwei Sicherheitslücken in PHP selbst: CVE-2026-109618 und CVE-2026-109619. Das PHP-Projekt bewertet beide mit 9,2 von 10 Punkten (CVSS 4.0). Ein Angreifer schickt eine präparierte Anfrage an den Webserver und kann damit ohne Anmeldung Programmcode auf dem Server ausführen. Bei Apache mit mod_php läuft der Angriff laut PHP-Projekt sogar, bevor irgendein Code der Website ausgeführt wird.
Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Webanfragen verarbeiten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Damit betrifft die Lücke potenziell den Großteil des Webs: Laut W3Techs nutzen 69,2 % aller Websites, deren Server-Sprache bekannt ist, PHP (Stand 25.10.2026).
| Datum | Was passiert ist |
|---|---|
| 17.10.2026 | Amazon Threat Intelligence registriert in seinem Honeypot-Netz einen Angriffsversuch, vier Tage vor der Veröffentlichung. |
| 20.10.2026 | Das PHP-Projekt kündigt ein kritisches Sicherheitsupdate für den Folgetag an. |
| 21.10.2026 | Die korrigierten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erscheinen. Das BSI stuft die Lage mit Warnstufe 3 / Orange ein. |
| 23.10.2026 | Das PHP-Projekt meldet eine weitere Lücke (CVE-2026-115560), die nur bei einer bestimmten Konfiguration greift, und empfiehlt bis zum nächsten Release eine Konfigurationsänderung. |
Ist meine Website betroffen?
Ihre Website ist betroffen, wenn sie mit PHP läuft und Ihr Hoster noch keine der korrigierten Versionen eingespielt hat. Nicht betroffen sind statische Websites, bei denen der Server nur fertige HTML-Dateien ausliefert und kein PHP installiert ist.
Wichtig: Ein WordPress- oder Plugin-Update schließt die Lücke nicht. Sie steckt in PHP, also in der Server-Software unter WordPress. Ob Ihre Seite geschützt ist, entscheidet allein das PHP auf dem Server: Version 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer, oder ein vom Hoster bestätigtes Sicherheitsupdate seiner Linux-Distribution. Solche Updates tragen oft weiter die alte Versionsnummer, fragen Sie deshalb im Zweifel nach.
-
Ihre Website hat einen Login unter /wp-admin, /administrator oder /typo3
Dann läuft sie mit WordPress, Joomla oder TYPO3 und damit mit PHP.
-
Im Kundenmenü Ihres Hosters steht eine PHP-Version
Dann ist PHP für Ihre Website aktiv. Prüfen Sie die genaue Versionsnummer.
-
Version 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer
Gegen PHP2Shell geschützt, sofern PHP nach dem Update neu gestartet wurde. Zeigt das Kundenmenü eine ältere Nummer, kann der Hoster die Korrektur trotzdem über seine Linux-Distribution eingespielt haben. Das erfahren Sie nur auf Nachfrage.
-
Version 8.1 oder älter
Für diese Versionen liefert das PHP-Projekt keine Updates mehr, nur Quellcode-Korrekturen für PHP 7.4 bis 8.1. Ob Ihr Hoster sie eingebaut hat, müssen Sie dort erfragen. Laut W3Techs laufen 34,6 % aller PHP-Websites auf PHP 7 oder älter.
Was muss ich jetzt tun?
Das PHP-Projekt ist eindeutig: „There are no complete mitigations, updating is the only safe choice.“ Es gibt also keine vollständige Notlösung, nur das Update. Diese vier Schritte reichen für die meisten Firmenwebsites.
PHP-Version prüfen
Im Kundenmenü des Hosters oder per Nachfrage beim Support. Notieren Sie die genaue Versionsnummer, etwa 8.3.36.
Update einspielen lassen
Ziel ist PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer. Bei Shared Hosting macht das der Hoster. Fragen Sie nach, ob das Update oder ein entsprechendes Sicherheitsupdate der Linux-Distribution eingespielt und PHP danach neu gestartet wurde. Das BSI rät laut ZDFheute, Server im Zweifel ganz vom Netz zu nehmen.
Alte PHP-Versionen ablösen
Läuft Ihre Seite auf PHP 8.1 oder älter, fragen Sie den Hoster nach einer Sicherheitskorrektur oder wechseln Sie auf eine unterstützte Version. Die nächste Frist steht schon fest: PHP 8.2 erhält nach dem 31.12.2026 keine Sicherheitsupdates mehr (was das für Ihre Website bedeutet).
Auf Einbruchsspuren prüfen
War Ihre Seite vor dem Update ungeschützt, lassen Sie prüfen, ob schon jemand eingedrungen ist: unbekannte Administrator-Konten, neue oder geänderte PHP-Dateien im Webverzeichnis, auffällige Einträge in den Server-Logs. Amazon Threat Intelligence empfiehlt zusätzlich, Server auf unerwartete Prozesse und Dateiänderungen zu prüfen.
Eine Website ohne PHP: Was ist das?
Eine statische Website besteht aus fertigen HTML-Dateien. Der Server liefert sie nur aus und rechnet nichts. Es gibt kein PHP, keine Datenbank und keine Plugins. Eine Lücke wie PHP2Shell findet dort nichts, was sie angreifen könnte. Für die meisten Firmenwebsites mit Startseite, Leistungen, Über uns und Kontakt reicht das vollständig.
Unangreifbar ist auch eine statische Website nicht. Der Webserver selbst braucht Updates, und ein Kontaktformular braucht einen Dienst, der die Nachricht zustellt. Die Angriffsfläche ist aber deutlich kleiner, und Server und Webserver halte ich im Hosting aktuell. Für wen der Umstieg passt: WordPress-Alternative für kleine Unternehmen.
| Kriterium | WordPress-Website | Statische Website von ZICSS |
|---|---|---|
| PHP auf dem Server | ja | nein |
| Datenbank | ja (MySQL oder MariaDB) | nein |
| Plugins von Drittanbietern | üblich | keine |
| Betroffen von PHP2Shell | ja, bis der Hoster PHP aktualisiert | nein |
| Laufende Updates | WordPress, Theme, Plugins und PHP | Server und Webserver, übernehme ich |
| Inhalte ändern | selbst im Backend | per E-Mail an mich |
| Laufende Kosten | Hosting plus Zeit oder Vertrag für Updates | ab 29 €/Monat inkl. Hosting, SSL und täglicher Backups |
„Die meisten Firmenwebsites zeigen Leistungen, Referenzen und eine Telefonnummer. Dafür braucht es keine Datenbank, keine Plugins und kein PHP-Update in der Nacht. Weniger Technik auf dem Server heißt: weniger, das Sie wach hält.“
Was kostet der Umstieg auf eine Website ohne PHP?
Bei mir kostet eine statische Firmenwebsite 600 € einmalig für einen Onepager, 999 € für 3 bis 4 Seiten und ab 1.999 € für individuelle Projekte. Das Hosting auf Servern bei netcup in Nürnberg kostet ab 29 € im Monat, inklusive SSL-Zertifikat, täglicher Backups und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Das Hosting ist monatlich kündbar (4 Wochen zum Monatsende), bei Kündigung erhalten Sie alle Dateien.
Onepager mit Branchen-Template, Kontaktformular, Impressum und Datenschutz. Fertig in 4 Tagen.
3 bis 4 Seiten, Farben passend zum Logo, Google-Business-Profil eingerichtet. Fertig in 7 Tagen.
Terminbuchung, Shop, Mehrsprachigkeit oder CRM-Anbindung. Lieferzeit nach Aufwand.
Alle Preise netto, Abrechnung im Reverse-Charge-Verfahren nach § 13b UStG (was Reverse-Charge bedeutet). Alle Leistungen und Hosting-Tarife: Webdesign ohne WordPress.
Fragen zu PHP2Shell und zum Umstieg
Ist WordPress selbst von PHP2Shell betroffen?
Die Lücke steckt nicht in WordPress, sondern in PHP, der Programmiersprache, auf der WordPress läuft. Ein WordPress- oder Plugin-Update hilft deshalb nicht. Geschützt ist eine WordPress-Seite erst, wenn auf dem Server PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer läuft oder der Hoster bestätigt, dass sein PHP-Paket die Korrekturen enthält.
Mein Hoster hat PHP aktualisiert. Ist meine Website jetzt sicher?
Gegen PHP2Shell ja, sofern die korrigierte Version läuft und PHP danach neu gestartet wurde. Sicher bleibt die Seite aber nur, solange PHP, CMS, Theme und Plugins laufend aktualisiert werden. Die nächste Frist steht schon fest: PHP 8.2 erhält nach dem 31.12.2026 keine Sicherheitsupdates mehr.
Woran erkenne ich, ob meine Website PHP nutzt?
Wenn Ihre Seite mit WordPress, Joomla, TYPO3, Drupal, Shopware oder Contao gebaut ist, läuft sie mit PHP. Hinweise sind Adressen mit .php am Ende oder ein Login unter /wp-admin. Sicher wissen Sie es aus dem Kundenmenü Ihres Hosters, dort steht die PHP-Version. Oder Sie schicken mir die Adresse und ich sehe nach.
Kann eine statische Website gehackt werden?
Kein System ist unangreifbar. Eine statische Website hat aber kein PHP, keine Datenbank, keinen Login und keine Plugins. Damit fehlen genau die Bausteine, über die PHP2Shell und Plugin-Lücken angreifen. Übrig bleiben Server und Webserver, die ich im Hosting aktuell halte.
Kann ich die Inhalte einer statischen Website selbst ändern?
Ein Backend zum Selbstpflegen gibt es bei einer statischen Website nicht. Änderungen schicken Sie mir per E-Mail, kleinere Text- und Bildänderungen erledige ich in der Regel innerhalb von 24 Stunden. Im Hosting Basic sind kleine Textänderungen einmal pro Quartal enthalten, im Hosting Plus ein Update pro Monat. Darüber hinaus berechne ich 50 € pro Stunde im 15-Minuten-Takt.
Wie lange dauert der Wechsel auf eine Website ohne PHP?
Ein Onepager ist in 4 Tagen fertig, eine Website mit 3 bis 4 Seiten in 7 Tagen. Individuelle Projekte mit Terminbuchung, Shop oder Mehrsprachigkeit plane ich nach Aufwand.
Quellen
- PHP-Projekt, News-Archiv 2026, Sicherheitsmeldungen vom 20.10., 21.10. und 23.10.2026: php.net/archive/2026.php
- W3Techs, Usage statistics of PHP for websites, abgerufen am 25.10.2026: w3techs.com/technologies/details/pl-php
- AWS Security Blog, Amazon Threat Intelligence zu PHP2Shell, 21.10.2026: aws.amazon.com/blogs/security
- ZDFheute, Sicherheitslücke bei PHP: Millionen Webseiten bedroht, 21.10.2026: zdfheute.de
Was ist es Ihnen wert, wieder ruhig zu schlafen?
Nennen Sie mir die Adresse Ihrer Website. Im kostenlosen Erstgespräch kläre ich, ob sie auf PHP läuft und was der Umstieg auf eine Website ohne PHP kostet.
Kostenloses Erstgespräch anfragen →