Ratgeber

PHP-Sicherheitslücke PHP2Shell: Ist meine Praxis-Website betroffen?

Was Sie in zehn Minuten prüfen können, wer das Update einspielt, was sich am 31.12.2026 ändert – und warum hinter jeder Sicherheitslücke dieselbe Frage steht: Wer kümmert sich?

Kurz gesagt: „PHP2Shell“ heißen zwei kritische Lücken in PHP, der Programmiersprache hinter WordPress, TYPO3 und Joomla; seit dem 21. Oktober 2026 gibt es Updates, und einspielen muss sie in den meisten Fällen Ihr Hoster, nicht Sie. Was Sie selbst tun können: in zehn Minuten herausfinden, welche PHP-Version Ihre Website nutzt, und sich vom Hoster bestätigen lassen, dass das Update installiert ist. Bei PHP 8.1 oder älter gibt es kein reguläres Update mehr – fragen Sie noch heute nach, ob Ihr Hoster die Korrektur nachgerüstet hat; bei PHP 8.2 endet der Support am 31.12.2026.

Seit dem 21. Oktober stehen Praxisinhaber:innen vor derselben Frage: Muss ich jetzt etwas tun – und wenn ja, was? Für die meisten ist das, was zu tun ist, überschaubar: zehn Minuten und eine E-Mail an den Hoster. Diese Seite geht beides Schritt für Schritt durch. Sie nennt den Termin, der über diese Lücke hinaus bleibt, und endet bei der Frage, die hinter jeder Sicherheitslücke steht: Wer kümmert sich eigentlich um Ihre Website?

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Lücken in PHP, der Programmiersprache, mit der WordPress und viele andere Systeme auf dem Server arbeiten (CVE-2026-109618 und CVE-2026-109619, je 9,2 von 10 Punkten). Über sie können Angreifer ohne Passwort eigenen Code auf dem Server ausführen; eine der beiden kann zudem Inhalte aus dem Arbeitsspeicher preisgeben, die zu anderen Anfragen gehören, nach Einschätzung von Sicherheitsfirmen womöglich auch Passwörter. Am 21. Oktober hat das PHP-Projekt korrigierte Versionen veröffentlicht.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt mit der zweithöchsten Stufe, und viele Behörden, Hochschulen und Kliniken haben ihre Websites vorsorglich vom Netz genommen, darunter die Stadt Mainz und die Unikliniken Heidelberg und Mannheim. Die Patientenversorgung war nach Angaben der beiden Kliniken nicht berührt.

Die Lücke steckt nicht in Ihrer Praxistür, sondern in der Wasserleitung des ganzen Hauses. Ihr eigenes Schloss hilft da nicht – die Hausverwaltung muss ran. Kein WordPress-Update und kein Sicherheits-Plugin schließt diese Lücke, nur ein PHP-Update auf dem Server, und dafür ist in den meisten Fällen Ihr Hoster zuständig.

Öffentlich bestätigte erfolgreiche Einbrüche gibt es bislang nicht; Angreifer versuchen allerdings massenhaft, die Lücken auszunutzen. Einen ersten Versuch hat Amazon nach eigenen Angaben schon am 17. Oktober beobachtet, vier Tage bevor das Update erschien (Stand: 26.10.2026, Quellen am Ende der Seite).

Am 23. Oktober hat das PHP-Projekt vor einer dritten, verwandten Lücke gewarnt (CVE-2026-115560). Sie setzt eine ungewöhnliche Einstellung voraus, die WordPress und Joomla von Haus aus nicht nutzen. Ein Update gibt es dafür noch nicht; Hoster können sie mit einer Einstellung abschalten. Angriffe darauf sind bisher nicht bekannt.

Gefunden haben die beiden Lücken Forschungsteams von Calif, Wiz und OpenAI, jeweils mit Hilfe von KI-Modellen; gemeldet wurden sie ab August vertraulich an das PHP-Team. Das BSI geht davon aus, dass Angreifer neue Updates mit KI-gestützten Werkzeugen inzwischen innerhalb kurzer Zeit auswerten können. Ich ziehe daraus vor allem einen Schluss: Updates gehören in eine feste Routine, nicht in den Notfallmodus.

Ist meine Praxis-Website betroffen?

Betroffen ist Ihre Website, wenn auf dem Server PHP läuft – bei WordPress, TYPO3 und Joomla ist das immer der Fall. Wer handeln muss, hängt von Ihrer PHP-Version ab und davon, wer den Server betreibt.

  • Baukasten wie Wix, Jimdo oder Squarespace: Handeln müssen Sie nicht, das übernimmt die Plattform. Den Server betreibt der Anbieter, nicht Sie.
  • WordPress, TYPO3, Joomla o. Ä. in einem Hosting-Paket, auf PHP 8.2 oder neuer: Ihr Hoster spielt das Update ein. Sie fragen nach, ob es erledigt ist. Bei PHP 8.2 kommt der 31.12.2026 dazu, siehe weiter unten.
  • Website auf PHP 8.1 oder älter: Hier gibt es kein reguläres Update. Fragen Sie noch heute nach, ob Ihr Hoster die Korrektur für Ihre Version nachgerüstet hat. Bestätigt er das nicht, gehört der Wechsel auf PHP 8.3 oder neuer in diese Woche, nicht in die Planung.
  • Eigener (gemieteter) Server oder Server Ihrer Agentur: PHP sofort aktualisieren – Sie selbst, Ihr IT-Dienstleister oder die Agentur, je nachdem, wer den Server betreibt.

Sie wissen nicht, was davon auf Ihre Seite zutrifft? Fragen Sie dort nach, wo Sie die Rechnung für Website oder Domain bekommen, oder bei der Agentur, die Ihre Seite gebaut hat.

Was ist bei Ihnen zu tun?

Zwei Fragen, danach sehen Sie Ihre nächsten Schritte. Der Lotse läuft nur in Ihrem Browser: Er speichert nichts, sendet nichts und prüft keine Website.

1. Worauf läuft Ihre Website?

Hosting-Paket heißt: Ihre Website liegt bei einem Hoster, der Ihnen oder Ihrer Agentur den Platz dafür vermietet.

2. Welche PHP-Version nutzt sie?

In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server, sonst im Kundenmenü Ihres Hosters. Es zählen die ersten beiden Zahlen: Bei 8.3.36 wählen Sie 8.3.

Ihre nächsten Schritte

Wählen Sie oben, worauf Ihre Website läuft.

Wie prüfe ich die PHP-Version meiner Website?

Zehn Minuten, drei Schritte:

  1. System klären. Läuft Ihre Seite in einem Baukasten, sind Sie hier fertig. Bei WordPress, TYPO3, Joomla und ähnlichen Systemen geht es weiter.
  2. PHP-Version nachsehen. In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server, sonst im Kundenmenü Ihres Hosters. Das Update vom 21. Oktober trägt die Nummern 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Steht bei Ihnen eine davon oder eine höhere Nummer derselben Reihe, ist es eingespielt. Steht dort eine niedrigere Nummer oder eine ältere Version, kann der Hoster die Korrektur trotzdem nachgerüstet haben; an der Nummer allein lässt sich das nicht ablesen.
  3. Den Hoster fragen. Mit der Vorlage unten bestätigt er Ihnen Version und Update und sagt, ob ihm Hinweise vorliegen, dass jemand in Ihr Paket eingedrungen ist. Betreut eine Agentur Ihre Seite, schicken Sie die Mail an die Agentur.

Mail-Vorlage für Ihren Hoster

Tragen Sie drei Angaben ein und kopieren Sie den fertigen Text in eine neue Mail. Ihre Angaben bleiben in Ihrem Browser; ich sehe sie nicht.

So, wie man sie im Browser eintippt.

Steht im Kundenmenü oder auf der Rechnung. Nicht zur Hand? Dann bleibt [Paketname] im Text stehen, und Sie ergänzen es in der Mail.

Im Mailprogramm öffnen

Öffnet eine neue Mail mit Betreff und Text. Die Adresse Ihres Hosters tragen Sie selbst ein.

Betreut eine Agentur Ihre Seite, geht die Mail an die Agentur.

Was die Antwort bedeutet: Bestätigt Ihr Hoster PHP 8.3 oder neuer, das eingespielte Update und keine Hinweise auf eine Kompromittierung, ist für diese Lücke nichts weiter zu tun. Bei PHP 8.2 kommt der 31.12.2026 dazu, bei 8.1 und älter gilt der nächste Abschnitt. Meldet der Hoster Hinweise auf eine Kompromittierung, muss die Seite bereinigt oder sauber neu aufgesetzt werden; ein Neubau folgt daraus nicht. Liefen über sie personenbezogene Daten, etwa aus einem Kontaktformular, lesen Sie zuerst den Abschnitt zur Meldepflicht.

Was tun, wenn meine Website auf PHP 8.1 oder älter läuft?

Für PHP 8.1 und älter gibt es kein reguläres Update mehr. PHP 8.1 bekommt seit dem 31.12.2025 keinen Support, und für die Versionen 7.4 bis 8.1 hat das PHP-Projekt am 21. Oktober nur Korrekturen im Quelltext veröffentlicht, keine neuen Versionen. Geschlossen ist die Lücke bei Ihnen deshalb nur, wenn Ihr Hoster selbst nachrüstet. Manche tun das: Hetzner hat auch PHP 5.6 und 7.3 gepatcht, Mittwald alle Versionen ab 5.6 (Stand: 26.10.2026).

Auf Dauer sollten Sie sich darauf nicht verlassen. Planen Sie den Wechsel auf PHP 8.3 oder neuer und lassen Sie vorher prüfen, ob Theme und Erweiterungen (Plugins) damit laufen; ältere tun das nicht immer. Neu bauen müssen Sie meist nicht – nur, wenn Theme oder Erweiterungen für ein Update zu alt sind.

Muss ich einen Angriff als Datenpanne melden?

Nimmt Ihre Website über ein Formular personenbezogene Daten entgegen, bei Praxen oft auch Gesundheitsdaten wie Beschwerden bei einer Terminanfrage, gehört zu einem Angriff auch die Datenschutzfrage. Wird eine solche Seite kompromittiert, kann eine meldepflichtige Datenpanne vorliegen. Dann muss die Praxis sie unverzüglich und möglichst binnen 72 Stunden, nachdem sie davon erfahren hat, der Datenschutz-Aufsichtsbehörde melden, es sei denn, die Panne führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen (Art. 33 DSGVO). Hat sie voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge, sind auch die Betroffenen unverzüglich zu benachrichtigen (Art. 34 DSGVO). Ziehen Sie, falls vorhanden, Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten hinzu.

Haben Sie selbst einen Verdacht, informieren Sie Ihren Hoster. Meldet er Hinweise auf eine Kompromittierung, lassen Sie die Seite bereinigen, durch ihn oder Ihren Dienstleister. Einen Notdienst biete ich nicht an.

Dieser Abschnitt ist ein allgemeiner Hinweis, keine Rechtsberatung.

Wann endet der Support für PHP 8.2?

Am 31. Dezember 2026. Ab dem 1. Januar 2027 bekommt PHP 8.2 keine Sicherheitsupdates mehr, so wie PHP 8.1 seit dem 31. Dezember 2025. Die Lücke vom Oktober ist der Anlass; dieser Termin ist das, was bleibt.

Für PHP 8.2 gab es das Oktober-Update noch. Für Lücken, die nach dem 31.12. bekannt werden, gibt es für 8.2 kein reguläres Update mehr; Sie wären dann darauf angewiesen, dass Ihr Hoster selbst nachrüstet, wie jetzt bei 8.1 und älter. Läuft Ihre Seite auf PHP 8.2, planen Sie den Wechsel auf 8.3 oder neuer deshalb gleich mit ein, und lassen Sie vorher prüfen, ob Theme und Erweiterungen damit laufen. Zum Vergleich: PHP 8.3 bekommt Sicherheitsupdates bis zum 31.12.2027, PHP 8.4 bis zum 31.12.2028, PHP 8.5 bis zum 31.12.2029. Wer ohnehin wechselt, nimmt am besten die neueste Version, mit der Theme und Erweiterungen laufen.

Damit der Termin nicht untergeht, tragen Sie sich Anfang Dezember einen Kontrolltermin ein: PHP-Version nachsehen und, wenn dort noch 8.2 steht, nachfragen, wann der Wechsel kommt.

Kontrolltermin in den Kalender

Ruhe kommt von Routine. Ein Termin Anfang Dezember erinnert Sie daran, die PHP-Version noch einmal nachzusehen, bevor PHP 8.2 am 31.12. ausläuft.

Die Datei öffnen Sie mit Ihrem Kalenderprogramm. Ohne Anmeldung.

Muss ich jetzt von WordPress weg?

Nein, nicht wegen dieser Lücke. Wer gepflegt auf PHP 8.3 oder neuer läuft, kann bleiben; für TYPO3 und Joomla gilt dasselbe.

Genauer hinsehen sollten Sie bei den Erweiterungen. 2025 steckten laut Patchstack 91 Prozent der neu bekannt gewordenen Sicherheitslücken im WordPress-Umfeld in Plugins, 9 Prozent in Themes und nur sechs im System selbst; fast die Hälfte war bei Bekanntwerden noch nicht behoben. Und weil Erweiterungen von vielen Entwickler:innen kommen, kann Schadcode auch über ein ganz normales Update eintreffen – so geschehen 2024 bei mehreren Plugins auf WordPress.org.

Gepflegt heißt deshalb: System, Theme und Erweiterungen bekommen ihre Updates, es sind nur so viele Erweiterungen wie nötig, keine davon ist verwaist, und eine Person weiß, dass das ihre Aufgabe ist.

Über einen Neubau lohnt es sich nachzudenken, wenn Ihre Seite an vielen Erweiterungen hängt, einzelne davon nicht mehr gepflegt werden oder sie technisch nicht mehr trägt.

Ist eine Website ohne PHP sicherer?

Ich baue Praxis-Websites ohne PHP, mit dem Framework Next.js. Deshalb gehört diese Frage hierher: Ist Next.js sicherer als WordPress? Keine Technik ist immun. Next.js hatte im Dezember 2025 mit React2Shell selbst eine Lücke der Höchststufe, und auch ich musste im Oktober 2026 Updates nachholen. Das Werkzeug, mit dem ich meine Seiten auf den Server bringe, läuft allerdings selbst auf PHP, in einer betroffenen Version; ich habe es am 22. Oktober aktualisiert. Den Unterschied macht, wie viel Code öffentlich erreichbar ist und wie verlässlich jemand nachsieht.

Sicherheitslücken wird es immer geben, auch in der Technik, mit der ich baue. Entscheidend ist, wie wenig Angriffsfläche eine Website bietet – und dass jemand zuständig ist und regelmäßig nachsieht.

Wer kümmert sich eigentlich um meine Website?

Hinter jeder Sicherheitslücke steht dieselbe Frage. Drei mögliche Antworten:

  • Jemand kümmert sich schon. Spielt jemand regelmäßig die Updates ein und hat Ihr Hoster das PHP-Update bestätigt, ist nichts weiter zu tun. Dann brauchen Sie mich nicht.
  • Niemand ist zuständig. Dann sollte es jemand werden: Ihre Agentur, ein Bekannter oder ich. Für Praxis-Websites, die nicht bei mir entstanden sind, gibt es meine Betreuung, auch für WordPress. Im Paket Wartung spiele ich Sicherheits- und technische Updates ein, lege verschlüsselte Backups extern ab, überwache die Seite und kontrolliere das SSL-Zertifikat. Dazu gehört auch der Wechsel auf eine PHP-Version, die noch Sicherheitsupdates bekommt. Müssen dafür Theme oder Erweiterungen ersetzt werden, nenne ich Ihnen den Aufwand vorher. Es kostet 160 € im Monat bei sechs Monaten Mindestlaufzeit, danach ist es monatlich kündbar. Einmal im Monat sehe ich zu einem festen Termin nach und außer der Reihe, wenn eine Lücke bekannt wird, die Ihre Seite betreffen kann. Betrifft sie Ihre Seite, bekommen Sie von mir eine kurze Notiz, was ich geprüft und getan habe.
  • Die Seite trägt nicht mehr. Sind Theme oder Erweiterungen für ein aktuelles PHP zu alt, sprechen wir im kostenlosen Erstgespräch über den passenden Weg, 15 Minuten am Telefon. Für Psychotherapie-, Ernährungs- und Coaching-Praxen kann das mein Paket Die Praxis-Website sein, auf Wunsch mit Übernahme Ihrer bisherigen Inhalte (Content Audit & Migration).

Alle Preise sind Endpreise. Nach § 19 UStG berechne ich keine Umsatzsteuer.

Checkliste zum Ausdrucken

Alle Schritte dieser Seite auf einer A4-Seite, mit der Mail-Vorlage, dazu ein Blatt für Ihren QM-Ordner: Checkliste als PDF herunterladen. Ohne Anmeldung, gern zum Weitergeben.

Häufige Fragen

Schützt mich ein Sicherheits-Plugin?

Schließen kann es diese Lücke nicht. Ein Sicherheits-Plugin ist Teil Ihrer Website; die Lücke steckt eine Ebene darunter, in PHP selbst – in der Wasserleitung, nicht in der Wohnung. Geschlossen wird sie nur durch ein PHP-Update auf dem Server. Dasselbe gilt für ein WordPress-Update: wichtig, aber nicht für diese Lücke.

Woran erkenne ich, ob meine Seite angegriffen wurde?

Von außen oft gar nicht. Am ehesten erkennen kann es, wer Zugriff auf den Server hat, also Ihr Hoster oder wer den Server betreibt; verlässliche Erkennungsmerkmale für diese Lücke gibt es laut BSI bisher nicht. Deshalb fragt die Mail-Vorlage ausdrücklich nach Hinweisen auf eine Kompromittierung. Gibt es welche, lassen Sie die Seite bereinigen; liefen über sie personenbezogene Daten, gilt der Abschnitt zur Meldepflicht.

Mein Hoster antwortet nicht. Was jetzt?

Rufen Sie beim Support an; dieselben drei Fragen gehen auch am Telefon. Die PHP-Version sehen Sie meist auch selbst im Kundenmenü. Mehrere Hoster haben den Stand außerdem auf ihrer Statusseite veröffentlicht. Kommt auf keinem Weg eine Antwort, sollte jemand mit Zugang zu Ihrem Paket selbst nachsehen.

Quellen

Stand aller Quellen: 26.10.2026, 13:20 Uhr