Sicherheitswarnung PHP2Shell, 21. Oktober 2026
Kritische Sicherheitslücke in PHP. Websites auf PHP 8.1 und älter erhalten kein Update und bleiben dauerhaft angreifbar. Jetzt kostenlos prüfen lassen
Kritische PHP-Sicherheitslücke seit 21. Oktober 2026
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt. Angreifer können damit Webserver aus der Ferne übernehmen, ohne Anmeldung und ohne Zutun eines Nutzers. Das deutsche Bundesamt für Sicherheit in der Informationstechnik hat die zweithöchste Warnstufe ausgerufen, mehrere Behörden und Kliniken haben ihre Websites vorsorglich abgeschaltet.
Betroffen sind alle Websites, die mit PHP laufen, also WordPress, Joomla, TYPO3, Drupal, Contao, Onlineshops und die meisten Vereins- und Gemeindeseiten. Sicherheitsupdates gibt es nur für PHP 8.2 bis 8.5. Websites auf PHP 8.1 oder älter bleiben dauerhaft angreifbar, solange sie nicht umgestellt werden.
Schicken Sie uns Ihre Domain. Wir prüfen innerhalb von 24 Stunden, welche PHP-Version läuft, ob das Update eingespielt ist und ob Ihre Website noch geschützt werden kann. Sie erhalten eine klare Antwort und bei Bedarf ein Festpreisangebot. Kein Servicevertrag, keine Bindung.
Häufige Fragen zu PHP2Shell
Die wichtigsten Antworten für Website-Betreiber ohne Technikwissen.
Nur wenn Sie wissen, dass Ihr Server noch nicht aktualisiert wurde und Sie das nicht selbst ändern können. Prüfen Sie zuerst die Version. Bei den meisten Hosting-Paketen ist das Update innerhalb weniger Tage eingespielt.
In WordPress unter Werkzeuge, dann Website-Zustand, Reiter Bericht, Abschnitt Server. Bei Ihrem Hosting-Anbieter im Kundenbereich unter PHP-Einstellungen. Wenn Sie unsicher sind, schicken Sie uns Ihre Domain über die Kontaktseite, wir finden es heraus.
Für diese Versionen gibt es kein Update und wird es keines geben. Die einzige Lösung ist die Umstellung auf PHP 8.3 oder neuer. Dabei können ältere Erweiterungen und Vorlagen ausfallen. Wir prüfen vorab, was betroffen ist, und nennen einen Festpreis.
Wenn Ihre Website auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 läuft, ja. Läuft sie auf einer älteren Version, hat der Anbieter nur die neuen Versionen aktualisiert, Ihre Website bleibt ungeschützt. Fragen Sie konkret nach, welche Version Ihr Paket verwendet.
Ja. Angriffe laufen automatisiert über Millionen von Adressen und unterscheiden nicht nach Größe. Kleine Seiten werden übernommen, um Schadsoftware zu verteilen, Spam zu versenden oder andere Server anzugreifen. Der Betreiber haftet.
Das hängt vom Zustand der Website ab. Eine gepflegte WordPress-Seite ist in wenigen Stunden umgestellt. Bei alten Erweiterungen oder eigenem Code dauert es länger. Sie bekommen vorab einen Festpreis mit Garantie. Keine Nachverrechnung, kein Servicevertrag.
Sie schicken uns Ihre Domain über die Kontaktseite. Wir prüfen die PHP-Version, den Stand des Sicherheitsupdates und die eingesetzten Erweiterungen von außen, ohne Zugangsdaten. Innerhalb von 24 Stunden erhalten Sie das Ergebnis per E-Mail.
Die Sicherheitsfirmen Cloudflare und Patchstack melden bereits erste Angriffsversuche. Eine übernommene Website kostet im Schnitt 1.500 bis 5.000 Euro für Bereinigung und Wiederherstellung, dazu Ausfallzeit und je nach gespeicherten Daten eine Meldepflicht nach DSGVO.
Jetzt prüfen lassen, bevor es ein Angreifer tut
Schicken Sie uns Ihre Domain. Antwort innerhalb von 24 Stunden, Festpreis vorab, kein Servicevertrag.