PHP-Sicherheitslücke: Jetzt prüfen.
Problem gezielt beheben.
„Allen PHP-Nutzern wird dringend empfohlen, umgehend zu aktualisieren.“
Ein ungepatchter PHP-Server kann Unternehmen und Kundendaten gefährden. Lassen Sie erste Hinweise kostenlos prüfen – wir klären die nächsten Schritte und übernehmen auf Wunsch die passende technische Lösung.
Ihr nächster Schritt: Jetzt Domain kostenlos prüfen. Wir klären persönlich, ob Handlungsbedarf besteht, und übernehmen nach Beauftragung die passende Problemlösung.
- Kostenloser Erstcheck
- Konkrete nächste Schritte
- Auf Wunsch komplette Umsetzung durch uns
So lösen wir das Problem
- 01
Gefahr erkennen
Website kostenlos prüfen
Domain eingeben und sofort sehen, welche Hinweise öffentlich erkennbar sind.
- 02
Risiko klären
Wir prüfen das tatsächliche Risiko und klären die Sofortmaßnahmen
Kostenlose persönliche Risiko-Einschätzung, konkreter nächster Schritt und unverbindliches Lösungsangebot. Akute PHP-Lücken patcht zuerst Ihr Hoster.
- 03
Lösung umsetzen
Wir lösen das passende Website-Problem für Sie
Nach Auftrag: technische Erneuerung mit Inhaltsübernahme, Test und Veröffentlichung. Geeignete Standard-Websites: 890 €, 48 Stunden ab Freigabe.
Sie müssen nichts programmieren. Wir besprechen die Maßnahmen und übernehmen die vereinbarte Umsetzung.
Die Lösung
Wir bringen Ihre Website auf einen aktuellen technischen Stand
- Risiken veralteter PHP-Frontend-Technik vermeiden
- Ihr bestehendes Angebot und Design erhalten und modern umsetzen
- Für Kunden erreichbar bleiben
- Risiko- und Detail-Check + Lösungsvorschlag
- 0 €
- Umsetzung geeigneter Standard-Websiteeinmalig, netto zzgl. MwSt. · i. d. R. 48 Stunden ab Freigabe und vollständigen Zugängen
- 890 €
Kein Kaufzwang. Zuerst kostenlos prüfen, danach entscheiden.
Im Neuaufbau enthalten
- Übernahme der wesentlichen Inhalte und Ihres Brandings
- Neues Frontend mit React und TypeScript – ohne PHP im Website-Frontend
- Mobil und auf allen Bildschirmgrößen sauber dargestellt
- Funktionierender Anfrageweg
- Test, Veröffentlichung und Funktionscheck
Zuerst patchen: Eine akute PHP-Lücke muss auf dem bestehenden Live-Server sofort durch Hoster oder Admin geschlossen werden – unabhängig vom Neuaufbau.
Geltung: geeignete Standard-Websites; 48 Stunden ab Freigabe und Übergabe von Inhalten und Zugängen. Keine Shops, Portale oder komplexe Individualprogrammierung.
Nicht enthalten: Server-Notfallpatch, Wiederherstellung nach einem Angriff, Forensik und Incident Response – bei Bedarf nach Prüfung gesondert angeboten. Ebenso Hosting, laufende Betreuung, Datenmigration und Rechtstexte.
React und TypeScript sind keine Immunitätsgarantie. Schnittstellen oder CMS, die weiter PHP nutzen, prüfen wir gesondert.
Kostenloser Detail‑Check und passende Problemlösung
Wir prüfen mit Ihnen den tatsächlichen PHP-Sicherheitsstand, erklären die notwendigen Sofortmaßnahmen und zeigen eine konkrete Lösung. Die Ersteinschätzung und das Angebot sind kostenlos und unverbindlich. Eine technische Umsetzung erfolgt nur nach Ihrer Beauftragung.
Lieber direkt sprechen?
Termin direkt auswählen →Alles Wichtige zur PHP-Sicherheitslücke
Hintergründe, Sofortmaßnahmen und Antworten auf häufige Fragen. Stand: 22. Oktober 2026
PHP2Shell: Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen PHP2Shell bekannt geworden sind: CVE-2026-109618 und CVE-2026-109619. Beide sind mit CVSS v4 9,2 bewertet. Laut Advisory kann ein Angreifer auf ungepatchten PHP-Laufzeiten ohne Anmeldung Code aus der Ferne ausführen (Remote Code Execution).
Remote Code Execution bedeutet: Gelingt ein Angriff, können Befehle mit den Rechten des Webservers laufen. Mögliche Folgen sind veränderte Inhalte, ausgelesene Formular- oder Datenbankdaten oder ein Server, der für weitere Angriffe missbraucht wird. Ob das bei einer konkreten Website passiert ist, lässt sich nur mit Zugriff auf den Server klären.
Welche Systeme betroffen sein können
Entscheidend ist, ob auf dem Server eine ungepatchte PHP-Laufzeit Anfragen verarbeitet – unabhängig davon, wie PHP eingebunden ist: als Apache-Modul (mod_php), über PHP-FPM, php-cgi, LiteSpeed (LSAPI) oder FrankenPHP. Content-Management-Systeme und Shops wie WordPress, Drupal, Joomla, TYPO3 oder Shopware sowie Laravel-Anwendungen sind in PHP geschrieben und hängen daher von der PHP-Version ihres Servers ab. Andere Systeme sind nur betroffen, wenn sie im konkreten Setup PHP ausführen, etwa für ein Kontaktformular oder eine Schnittstelle.
Warum Behörden vorsorglich Websites abschalteten
Laut dpa-Bericht (veröffentlicht im Tagesspiegel, 22.10.2026) nahmen mehrere Bundesländer am 21. und 22. Oktober Websites zeitweise vom Netz, um die Updates einzuspielen; ein Teil war danach wieder erreichbar. Das zeigt, wie ernst Betreiber die Meldung nehmen – es bedeutet nicht, dass diese oder andere Websites angegriffen wurden. Das PHP-Projekt selbst empfiehlt allen PHP-Nutzern, umgehend zu aktualisieren; nur das Update schließt die Lücken vollständig.
Beleg: dpa / Tagesspiegel, 22.10.2026 · php.net-Meldung vom 21.10.2026
Fixstände
| PHP-Zweig | Gepatcht ab | Hinweis |
|---|---|---|
| PHP 8.2 | 8.2.35 | Offizielles Sicherheitsrelease vom 21.10.2026 |
| PHP 8.3 | 8.3.36 | Offizielles Sicherheitsrelease vom 21.10.2026 |
| PHP 8.4 | 8.4.27 | Offizielles Sicherheitsrelease vom 21.10.2026 |
| PHP 8.5 | 8.5.12 | Offizielles Sicherheitsrelease vom 21.10.2026 |
| PHP 8.1 und älter | kein offizielles Release | End of Life – nur ein vom Hoster bestätigter Backport hilft |
PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine regulären Updates mehr. Manche Hoster und Linux-Distributionen spielen eigene Sicherheits-Backports ein – das muss aber im Einzelfall vom Anbieter bestätigt werden.
Wir veröffentlichen bewusst keine technischen Details zur Ausnutzung. Primärquellen: php.net-Meldung · GitHub Security Advisory · unterstützte PHP-Versionen.
Bin ich betroffen? PHP-Version und Hosting prüfen
Unser kostenloser Erstcheck sieht nur, was der Server öffentlich zeigt: einen Header wie X-Powered-By mit Versionsangabe oder Hinweise auf WordPress. Viele Server verbergen diese Angaben. Ob PHP läuft und ob der Patch eingespielt ist, kann eine Prüfung von außen deshalb nicht sicher beweisen. Verlässlich ist nur der Blick in WordPress oder ins Hosting-Kundenmenü.
PHP-Version in WordPress anzeigen
- Im WordPress-Backend als Administrator anmelden.
- Werkzeuge → Website-Zustand öffnen.
- Auf den Reiter Bericht (in manchen Versionen „Info“) wechseln.
- Den Abschnitt Server aufklappen und die Zeile PHP-Version ablesen.
Die Bezeichnungen können je nach WordPress-Version leicht abweichen (WordPress-Dokumentation). Eine ausführlichere Anleitung inklusive Hoster finden Sie unter WordPress-PHP-Version prüfen und aktualisieren.
Bei IONOS und STRATO
IONOS: Im IONOS-Konto unter Hosting → PHP → Verwalten die Domain auswählen; dort steht die aktive Version (IONOS-Hilfe). STRATO: Im Kundenlogin unter Datenbanken und Webspace → PHP-Version einstellen (STRATO-FAQ). Bei Managed-WordPress-Tarifen verwaltet der Anbieter PHP oft selbst – dann lässt sich die Version nicht immer selbst wechseln, und der Support ist der richtige Ansprechpartner.
Lücke ist nicht gleich Sicherheitsvorfall
Eine veraltete PHP-Version bedeutet, dass eine Website angreifbar sein kann – nicht, dass sie gehackt wurde. Eine WordPress-Website ist also nicht automatisch kompromittiert. Umgekehrt beweist ein unauffälliger Erstcheck keine Sicherheit.
Entscheidungshilfe
- Version unter dem Fixstand: sofort Hoster oder Server-Admin beauftragen.
- Version unbekannt: wie oben ablesen oder beim Hoster schriftlich erfragen, ob der Patch bzw. Backport aktiv ist.
- Kein Zugang zu WordPress oder Hosting: Ihren Hoster anrufen und uns über das Kontaktformular um eine Einschätzung bitten.
Was tun bei veralteter PHP-Version?
- Hoster oder Server-Admin kontaktieren. Der erste und wichtigste Schritt ist das Patchen der PHP-Laufzeit selbst. Ein Plugin- oder WordPress-Update allein behebt einen Fehler in PHP nicht.
- Sicher aktualisieren. Vorher ein vollständiges Backup von Dateien und Datenbank anlegen und prüfen, ob Theme und Plugins mit der Zielversion kompatibel sind.
- Backports nachweisen lassen. Läuft PHP 8.1 oder älter, schriftlich bestätigen lassen, dass ein Sicherheits-Backport eingespielt ist – oder auf einen unterstützten Zweig wechseln.
- Danach testen. Startseite, Unterseiten, Kontaktformulare, Shop-Checkout und Logins einmal durchklicken.
- Bei Verdacht Logs prüfen. Ungewöhnliche Dateien, neue Admin-Konten oder auffällige Einträge in Server-Logs mit Hoster oder IT-Sicherheitsdienstleister klären.
- Ergänzend patchen. WordPress-Core, Plugins und Themes aktuell halten – zusätzlich, nicht statt des PHP-Patches.
Eine Neuentwicklung als React-/TypeScript-Frontend entfernt die PHP-Ausführung nur für dieses neue Frontend. Laufen dahinter weiter PHP-Dienste, etwa ein CMS oder eine Schnittstelle, müssen diese genauso gepatcht werden. Keine Technik ist pauschal „unhackbar“.
Problemlösung und technische Erneuerung
PHP patchen schließt die akute Lücke auf Ihrem bestehenden Server – das ist unabhängig von uns sofort zu tun. Website modernisieren ist die zweite, mittelfristige Entscheidung: weniger Abhängigkeit von einer selbst betriebenen PHP-Laufzeit im Frontend, schnellere Ladezeiten und ein klarer Anfrageweg.
Für geeignete Standard-Websites bieten wir den technischen Neuaufbau für 890 € einmalig an (für Unternehmen zzgl. gesetzlicher MwSt.). Die 48-Stunden-Umsetzung beginnt erst mit Ihrer Freigabe und der Übergabe aller Inhalte und Zugänge. Nicht enthalten sind Notfall-Forensik, Schadensbereinigung, Hosting und laufende Wartung; Shops, Portale und komplexe Individualprogrammierung erhalten ein eigenes Angebot.
Auch eine React-/TypeScript-Website ist nicht automatisch immun gegen alle Angriffe: Abhängigkeiten, Hosting und Schnittstellen müssen weiter gepflegt werden. Wir halten die eingesetzten Sicherheitsstandards dafür kontinuierlich aktuell.
Häufige Fragen
Die Sicherheitslücke
Was ist PHP2Shell?
PHP2Shell ist der Name für zwei kritische Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619), die das PHP-Projekt am 21. Oktober 2026 veröffentlicht hat. Sie sind mit CVSS v4 9,2 bewertet und können auf ungepatchten Servern Code-Ausführung aus der Ferne ohne Anmeldung ermöglichen.
Welche PHP-Versionen sind betroffen?
Betroffen sind PHP-Laufzeiten unterhalb der Fixstände 8.2.35, 8.3.36, 8.4.27 und 8.5.12. PHP 8.1 und ältere Zweige erhalten keine offiziellen Updates mehr; dort hilft nur ein vom Hoster bestätigter Backport oder der Wechsel auf einen unterstützten Zweig.
Wie schnell muss ich patchen?
So schnell wie möglich. Bei einer kritischen Lücke mit Code-Ausführung ohne Anmeldung sollten Sie Ihren Hoster noch heute beauftragen oder die Bestätigung des Patches einholen.
Was tun, wenn PHP 8.1 oder 7.4 eingesetzt wird?
Diese Versionen werden vom PHP-Projekt nicht mehr gepflegt. Lassen Sie sich vom Hoster schriftlich bestätigen, dass ein Sicherheits-Backport aktiv ist, oder wechseln Sie nach Backup und Kompatibilitätstest auf einen unterstützten Zweig. Bei sehr alten Websites ist oft eine Modernisierung wirtschaftlicher als die Anpassung an neue PHP-Versionen.
Ist PHP generell unsicher?
Nein. Aktuell gepatchtes PHP lässt sich sicher betreiben, und ein Großteil des Webs läuft darauf. Wichtig ist, Sicherheitsupdates zeitnah einzuspielen und keine Versionen ohne Support zu nutzen.
Prüfen und erkennen
Wie erkenne ich, ob meine WordPress-Seite gefährdet ist?
Entscheidend ist die PHP-Version Ihres Servers. Liegt sie unter dem Fixstand ihres Zweigs und hat der Hoster keinen Backport eingespielt, ist die Website gefährdet. Die Version sehen Sie in WordPress unter Werkzeuge → Website-Zustand oder im Kundenmenü Ihres Hosters.
Wo finde ich die PHP-Version in WordPress?
Unter Werkzeuge → Website-Zustand → Bericht (teils „Info“) → Server → PHP-Version. Dafür brauchen Sie ein Administratorkonto.
Kann ich meine PHP-Version online anhand der Domain erkennen?
Nur manchmal. Gibt der Server die Version öffentlich in einem Header wie X-Powered-By aus, zeigt unser Erstcheck sie an. Viele Server verbergen sie aber, und Backports sind von außen nie erkennbar.
Warum meldet der Check „nicht feststellbar“?
Weil der Server keine Versionsangabe veröffentlicht – das ist eine verbreitete und sinnvolle Einstellung. Es ist weder Entwarnung noch Alarm. Lesen Sie die Version selbst ab oder fragen Sie Ihren Hoster.
Muss ich mich registrieren, um kostenlos zu prüfen?
Nein. Der Erstcheck ist kostenlos und ohne Anmeldung. Kontaktdaten brauchen wir nur, wenn Sie danach einen Detail-Check oder ein Angebot anfragen.
Woran erkenne ich eine bereits gehackte Website?
Ein Check per URL kann eine Kompromittierung nicht ausschließen. Hinweise sind unbekannte Admin-Konten, fremde Dateien, unerwartete Weiterleitungen, Spam-Seiten in Suchergebnissen oder Warnungen des Hosters. Bei Verdacht sollten Hoster oder ein IT-Sicherheitsdienstleister Server-Logs und Dateien prüfen.
Plattformen und Hoster
Ist jede WordPress-Website gehackt?
Nein. WordPress läuft auf PHP und kann angreifbar sein, solange die PHP-Version ungepatcht ist. Ob eine konkrete Website angegriffen wurde, lässt sich nur mit Serverzugang prüfen.
Reicht ein WordPress-Update zur Behebung?
Nein. Die Lücke steckt in der PHP-Laufzeit, nicht in WordPress. Updates von Core, Plugins und Themes sind trotzdem wichtig, ersetzen aber nicht den PHP-Patch durch Hoster oder Server-Admin.
Wie aktualisiere ich PHP bei IONOS?
Im IONOS-Konto unter Hosting → PHP → Verwalten die Domain wählen und die Version prüfen bzw. ändern. Bei Managed WordPress übernimmt IONOS die PHP-Verwaltung teilweise selbst; dann hilft der Support. Vorher ein Backup anlegen.
Wie prüfe ich PHP bei STRATO?
Im STRATO-Kundenlogin unter Datenbanken und Webspace → PHP-Version einstellen. Änderungen erst nach Backup und Kompatibilitätscheck von Theme und Plugins vornehmen.
Sind Shopware, Joomla, Drupal, TYPO3 oder Laravel betroffen?
Diese Systeme sind in PHP geschrieben und laufen auf einer PHP-Laufzeit. Sie sind daher betroffen, wenn deren Version unter dem Fixstand liegt und kein Backport aktiv ist. Ein Update des CMS allein reicht nicht.
Sind Wix, Shopify oder statische React-Websites betroffen?
Bei gehosteten Baukästen wie Wix oder Shopify betreibt der Anbieter die Server; Sie selbst führen dort normalerweise kein PHP aus. Eine statisch ausgelieferte React-Website ohne PHP-Server hat diesen Ausführungspfad nicht. Das ist keine allgemeine Sicherheitsgarantie: Eingebundene Dienste, Formulare oder Schnittstellen können eigene Komponenten und Risiken haben.
Schutz, Kosten und Problemlösung
Wie sichere ich Kundendaten?
Zuerst PHP und alle eingesetzten Systeme patchen, starke Passwörter und Zwei-Faktor-Anmeldung für Admin-Konten nutzen, regelmäßige Backups anlegen und nicht mehr benötigte Plugins oder Formulardaten entfernen. Bei Verdacht auf einen Vorfall Hoster und gegebenenfalls Datenschutzbeauftragte einbeziehen.
Was ist der Unterschied zwischen Patch und Relaunch?
Ein Patch schließt die Lücke auf Ihrem bestehenden Server und ist sofort nötig. Ein Relaunch ersetzt die Website mittelfristig durch eine neue, etwa mit einem Frontend ohne eigene PHP-Laufzeit. Der Relaunch ersetzt den Patch nicht.
Was umfasst die technische Erneuerung für 890 € und wann gilt die 48-Stunden-Zusage?
890 € einmalig für geeignete Standard-Websites, für Unternehmen zzgl. MwSt.: Übernahme der wesentlichen Inhalte und des Brandings, neues React-/TypeScript-Frontend, mobile Darstellung, funktionierender Anfrageweg, Veröffentlichung und Funktionscheck. Die 48 Stunden laufen ab Freigabe und Übergabe aller Inhalte und Zugänge. Hosting, Betreuung, Datenmigration, Rechtstexte, Server-Notfallpatch, Forensik und Schadensbereinigung sind nicht enthalten.
Was, wenn ich eine komplexe Website habe?
Shops, Portale, umfangreiche Individualprogrammierung oder große Websites fallen nicht unter den Standardpreis und die 48-Stunden-Umsetzung. Dafür erhalten Sie ein individuelles Angebot mit eigenem Zeitplan.
Was kostet ein Detail-Check?
Der Detail-Check und das unverbindliche Angebot sind kostenlos und ohne Kaufpflicht. Wir besprechen mit Ihnen die PHP-Konfiguration und was sofort zu tun ist.
Technische Details zur Sicherheitslücke
Das PHP-Projekt meldet zwei kritische Lücken (CVE-2026-109618, CVE-2026-109619, CVSS v4 9,2), die Code-Ausführung aus der Ferne ermöglichen können. Gepatchte Releases: PHP 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12. PHP 8.1 und älter erhalten keine offiziellen Updates; Hoster können eigene Backports einspielen. Das neue Frontend braucht keinen PHP-Server – bestehende Schnittstellen oder CMS können weiterhin PHP nutzen und müssen eigenständig gepatcht werden.
Quellen: php.net · PHP-Releases · Unterstützte Versionen. makemaiweb.com gehört nicht zum PHP-Projekt. Hinweise zur Verarbeitung beim Check in der Datenschutzerklärung.