LagebildStand: wird täglich aktualisiert
PHP2Shell: Ist Ihre Website betroffen?
Seit dem 21. Oktober gibt es Updates für zwei kritische Lücken in PHP. PHP ist die Technik, auf der WordPress, WooCommerce, TYPO3 und die meisten Unternehmenswebsites laufen. An Ihrer Website selbst müssen Sie dafür meist nichts ändern: Die Korrektur gehört auf den Server, und dort spielt sie Ihr Hoster ein. Mit drei kurzen Fragen finden Sie heraus, was bei Ihnen noch zu tun ist.
- seit 2016 in Hamburg
- Hoster-Stand unserer Wartungskunden seit 21.10. dokumentiert
- 4,9 bei Google
Wo stehen Sie? Drei kurze Fragen zeigen Ihren nächsten Schritt.
Frage 1 von 3
Wo liegt Ihre Website?
- Bei einem Hoster (IONOS, Strato, all-inkl, Raidboxes, Mittwald, Hetzner Webhosting o. ä.)
Weiter mit Frage 2.
- Auf einem eigenen Server oder bei einem IT-Dienstleister
Dann ist Ihr Administrator oder IT-Dienstleister der richtige Ansprechpartner, denn er spielt die Korrektur ein. Schicken Sie ihm am besten die Vorlage unten und bitten Sie um eine kurze schriftliche Bestätigung mit Datum.
- Weiß ich nicht
Das geht vielen Unternehmen so, und genau hier lohnt es sich hinzusehen: Wenn niemand weiß, wo die Website liegt, weiß auch niemand, wer sie absichert. Wir finden es gern für Sie heraus.
Frage 2 von 3
Hat Ihr Hoster schriftlich bestätigt, dass die Korrektur aktiv ist?
- Ja, mit Datum
Heben Sie die Bestätigung gut auf: Sie dokumentiert, dass Sie gehandelt haben. Eine Frage bleibt noch.
- Nein oder nur eine allgemeine Statusmeldung
Dann lohnt eine kurze Nachfrage, und die Vorlage unten nimmt Ihnen das Formulieren ab. Ist die Antwort unverständlich, leiten Sie sie uns einfach weiter; bleibt sie nach einem Werktag aus, schicken Sie uns Ihre Anfrage. Wir ordnen beides kostenlos für Sie ein.
- Mein Hoster ist Raidboxes
Raidboxes hat am 21.10. gepatcht. Als Diamond Partner haben wir das für alle unsere Kunden dort verifiziert.
Frage 3 von 3
Welche PHP-Version läuft?
- 8.2, 8.3, 8.4 oder 8.5
Bestätigt Ihr Hoster das Update, ist der wichtigste Schritt getan. Ohne Bestätigung zeigt die Reihe allein, etwa 8.3, noch nicht, ob die Korrektur drin ist; entscheidend ist die volle Nummer, etwa 8.3.36, oder die Aussage Ihres Hosters. Zwei Dinge empfiehlt das BSI zusätzlich: zu prüfen, ob vor dem Update jemand eingedrungen ist, und Geräte wie Firewall oder NAS beim Hersteller nachzusehen. Gut zu wissen: PHP 8.2 bekommt nur noch bis 31.12.2026 Sicherheitsupdates.
- 8.1, 8.0, 7.4 oder älter
Für diese Versionen gibt es keine regulären Updates mehr. Für PHP 7.4, 8.0 und 8.1 hat das PHP-Team die Korrektur trotzdem nachträglich bereitgestellt (ein sogenannter Backport). Ob Ihr Hoster sie eingespielt hat, klärt die Backport-Frage in der Vorlage unten. Das BSI rät dennoch zum Wechsel auf eine aktuelle PHP-Version, und den übernehmen wir gern.
- Weiß ich nicht
Das lässt sich schnell nachsehen: In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server, oder im Kundenbereich Ihres Hosters. Wenn Sie lieber nicht suchen möchten, lesen wir es für Sie aus.
ab 249 € netto
Lage in 60 Sekunden
Was passiert ist, kurz erklärt
PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2). Über sie können Angreifer ohne Login Code auf einem Webserver ausführen. Das PHP-Projekt hat am 21. Oktober 2026 korrigierte Versionen veröffentlicht.
Betroffen ist praktisch jede Website, die mit PHP läuft, ganz gleich, ob WordPress, ein Shop oder ein eigenes System darauf aufsetzt. Deshalb hilft ein WordPress-Update hier nicht: Die Lücke steckt in PHP selbst.
Geschlossen ist die Lücke, sobald auf dem Server PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 läuft oder Ihr Hoster eine Korrektur eingespielt hat. Das übernimmt Ihr Hoster oder Server-Administrator; über das WordPress-Backend geht es nicht.
Das BSI stuft die Lücken mit Kritikalität 3 von 4 (Orange) ein, das heißt: Maßnahmen müssen unverzüglich ergriffen werden. Einige Betreiber haben ihre Websites vorsorglich vom Netz genommen. Ist die Korrektur bei Ihnen eingespielt, ist das in der Regel nicht nötig.
Für PHP 8.1 und älter gibt es keine regulären Updates mehr. Für 7.4, 8.0 und 8.1 hat das PHP-Team die Korrektur nachträglich bereitgestellt (ein sogenannter Backport); ob Ihr Hoster sie eingespielt hat, klärt die Backport-Frage in der Vorlage unten. Das BSI rät Betreibern dieser Versionen trotzdem zum Wechsel auf eine PHP-Version, die noch unterstützt wird.
Wo die Lücke sitzt und wer sie schließt
Ihre Website
Seiten, Formulare, Shop
Betroffen, egal welches System darauf läuft
CMS oder Shop-System
WordPress · WooCommerce · TYPO3 · Shopware
Ein WordPress-Update hilft nicht
Kein Zugriff über das WordPress-Backend
PHP
Programmiersprache auf dem Server
Lücke8.2.35 · 8.3.36 · 8.4.27 · 8.5.12Zwei Lücken, CVSS 9,2: Code-Ausführung ohne Login
Geschlossen mit diesen Versionen oder einer Korrektur des Hosters
Server beim Hoster
IONOS, Strato, all-inkl, Raidboxes …
Nur Hoster oder Administrator spielen die Korrektur ein
BSI-Kritikalität 3 von 4: Mit Korrektur bleibt die Website online
Hat mein Hoster schon gepatcht? Stand
Hier sammeln wir die öffentlichen Meldungen der großen Hoster, jeweils mit Quelle. Wählen Sie Ihren Hoster: Dann sehen Sie direkt, was er meldet und wie es für Sie weitergeht.
| Hoster | Status | Quelle | Datum |
|---|---|---|---|
| Alfahosting | Korrektur bestätigtSicherheitsupdates für alle PHP-Versionen auf allen betroffenen Servern eingespielt; die Versionsnummer kann gleich bleiben. Eine erste Erledigt-Meldung vom 22.10. nachmittags hatte Alfahosting zunächst korrigiert. | Alfahosting-Statusseite | 22.10.2026, ca. 23:00 Uhr |
| all-inkl | Korrektur bestätigtAlle angebotenen PHP-Versionen auf Webhosting- und Managed-Servern gepatcht, auch ältere ohne offiziellen Support. Empfehlung: Websites auf unbekannte Dateien, Änderungen und neue Benutzerkonten prüfen. | all-inkl-FAQ, aktueller Status | ohne Datumsangabe |
| checkdomain | Korrektur bestätigtAlle angebotenen PHP-Versionen auf den Hosting-Servern gepatcht; die Versionsnummer kann gleich bleiben. vServer und Root-Server: selbst aktualisieren. | checkdomain-Statusseite | 22.10.2026, 15:21 Uhr |
| Contabo | Korrektur bestätigtShared Webhosting (cPanel) laut Statusseite am 21.10. vollständig gepatcht; die Meldung ist dort inzwischen nicht mehr abrufbar. VPS und VDS: selbst aktualisieren. | Contabo-Statusseite | 21.10.2026, 22:57 Uhr |
| dogado | Korrektur bestätigtSicherheitsupdates auf allen betroffenen Webhosting- und Managed-Systemen vollständig installiert; die PHP-Version muss nicht geändert werden. Selbst verwaltete Server: selbst aktualisieren. | dogado-Hilfeartikel | 22.10.2026, 19:50 Uhr |
| DomainFactory | Korrektur bestätigtWartung abgeschlossen: Managed Hosting, Reseller Hosting, Managed Cloud Server, Webhosting (cPanel) und Managed WordPress gepatcht. VPS: selbst aktualisieren. | DomainFactory-Statusseite | 22.10.2026, 17:07 Uhr |
| Hetzner Webhosting | Korrektur bestätigtPHP 5.6, 7.3, 7.4 und 8.0 bis 8.5 auf allen Webhosting- und Managed-Servern gepatcht. Kunden mit Cloud- und Dedicated-Servern informiert Hetzner gesondert per E-Mail. | Hetzner-Statusseite | 22.10.2026, 06:32 Uhr |
| Host Europe | Korrektur bestätigtAlle Systeme gepatcht: Classic Hosting (WebHosting, Webserver), cPanel Hosting und Managed WordPress. Virtuelle Server: selbst aktualisieren. | Host-Europe-FAQ, aktuelle Hinweise | 22.10.2026, 15:30 Uhr |
| hosting.de | Korrektur bestätigtWebhosting und Managed Server gepatcht: PHP 8.2 bis 8.5 mit den offiziellen Updates, 7.4 bis 8.1 per Backport, ältere Versionen mit eigenen Patches. | hosting.de-Blog | 21.10.2026, ca. 22:00 Uhr |
| Hostinger | Korrektur bestätigtPHP-Updates auf allen Managed-Hosting-Servern abgeschlossen. Die Versionsnummer kann alt bleiben (z. B. 8.5.11); maßgeblich ist ein Build-Datum ab 21.10.2026. VPS: selbst aktualisieren. | Hostinger-Statusseite | 22.10.2026, 08:44 Uhr |
| IONOS | Korrektur bestätigtOffizielle Updates auf allen selbst betriebenen Plattformen eingespielt. VPS und eigene Server: selbst aktualisieren. | IONOS-Statusseite | 22.10.2026, 13:03 Uhr |
| Mittwald | Korrektur bestätigtBehoben für nahezu alle betroffenen PHP-Versionen; ausgenommen Versionen unter 5.6. | Mittwald-Statusseite | 22.10.2026, 00:28 Uhr |
| netcup | Korrektur bestätigtAlle Webhosting-Pakete (inklusive Reseller) und alle Managed Server gepatcht. Root-Server und VPS: selbst aktualisieren. | netcup-Statusseite | 21.10.2026, 22:51 Uhr |
| Profihost | Korrektur bestätigtPHP 5.6 bis 8.5 auf allen Systemen aktualisiert. | Profihost-Statusseite | 22.10.2026, 11:41 Uhr |
| Raidboxes | Korrektur bestätigtZuerst alle Boxen ab PHP 8.2, inzwischen auch ältere Versionen per Backport. Kunden müssen nichts tun. | Raidboxes-Helpcenter | 21.10.2026, ab 16:10 Uhr |
| Strato | Korrektur bestätigtOffizielles Update auf allen selbst betriebenen Plattformen eingespielt, ohne Angabe der PHP-Versionen. VPS und eigene Server: selbst aktualisieren. | STRATO-Pressemitteilung | 22.10.2026 |
| Timme Hosting | Korrektur bestätigtPHP 5.6 bis 8.5 auf allen Servern gepatcht. Eigene Firewall-Regeln und Wartungsmodi selbst wieder entfernen. | Timme-Hosting-Statusseite | 21.10.2026, 22:20 Uhr |
| webgo | Korrektur bestätigtAktualisierung vollständig abgeschlossen: Webhosting, Managed vServer (auch HDD und SSD) und Managed Dedicated Server. Root-Server: selbst aktualisieren. | webgo-Blog | 22.10.2026, 23:24 Uhr |
- Was ist ein Backport?
- Manche Hoster und Linux-Distributionen bauen die Korrektur in eine ältere PHP-Version ein, statt die Version zu wechseln. Die Versionsnummer bleibt dann alt, die Lücke ist trotzdem geschlossen. Deshalb zeigen Online-Checker in diesem Fall fälschlich „rot“.
Diese fünf Fragen sollte Ihr Hoster beantworten
Die Anfrage ist schon formuliert: Wählen Sie Empfänger und Hoster, ergänzen Sie Ihre Domain und schicken Sie sie an den Support Ihres Hosters oder an Ihre Agentur. Die schriftliche Antwort dokumentiert, dass Sie gehandelt haben.
Ihre Anfrage
Betreff: Bestätigung PHP2Shell-Korrektur für [Domain] (CVE-2026-109618, CVE-2026-109619)
Sehr geehrtes Support-Team,
für unsere Website [Domain] (Vertrag/Kundennummer [Nummer]) bitte ich um eine schriftliche Auskunft zu den am 21.10.2026 veröffentlichten PHP-Sicherheitsupdates (PHP2Shell, CVE-2026-109618 und CVE-2026-109619):
- Ist die Korrektur für unser Hosting-Paket eingespielt? Seit wann (Datum, Uhrzeit)?
- Welche PHP-Version läuft aktuell für unsere Domain(s)?
- Falls die Versionsnummer nicht einer der korrigierten Versionen (8.2.35, 8.3.36, 8.4.27, 8.5.12) entspricht: Wurde ein Backport eingespielt? Für welche Versionen?
- Gilt die Korrektur für alle Domains und Subdomains unseres Vertrags, auch für [weitere Domains]?
- Gibt es aus Ihrer Sicht Hinweise auf Zugriffe auf unser Paket vor dem Einspielen der Korrektur?
Bitte antworten Sie per E-Mail, da wir die Auskunft intern dokumentieren müssen.
Mit freundlichen Grüßen
[Name, Unternehmen]
Die Antwort steckt voller Fachbegriffe, oder nach einem Werktag kam noch gar nichts? Leiten Sie die Antwort oder Ihre Anfrage einfach an [email protected] weiter. Wir sagen Ihnen kostenlos, was die Antwort aussagt und was offen bleibt, ohne Formular und ohne Verpflichtung. Bitte senden Sie keine Passwörter oder Zugangsdaten mit.
Was wir für die Websites unserer Kunden getan haben
So eine Übersicht können Sie für Ihre eigene Website mit der Vorlage oben in etwa einer Stunde anlegen. Oder Sie geben das an uns ab, dann führen wir sie künftig für Sie.
Wer kümmert sich um Ihre Website?20.10.
Ankündigung des PHP-Projekts, Bestandsaufnahme aller betreuten Websites begonnen.
21.10.
Updates verfügbar. Alle betreuten Websites geprüft und vorsorglich aktualisiert, damit es beim PHP-Wechsel keine Probleme gibt. Websites mit PHP 8.1 oder älter auf eine Version über 8.2 angehoben, damit sie automatisch Sicherheitsupdates erhalten.
22.10.
Mit den Hostern telefoniert, um früh zu erfahren, wann sie die Updates ausspielen und was Kunden tun müssen. Danach unsere Kunden informiert, abhängig von Website und Hosting.
Nächste Aktualisierung: täglich bis 5. November.
Chronologie
Erster Ausnutzungsversuch in einem Amazon-Honeypot, vier Tage vor Veröffentlichung
Amazon Threat Intelligence
PHP-Projekt kündigt Sicherheitsupdates an
php.net
Updates 8.2.35, 8.3.36, 8.4.27, 8.5.12 veröffentlicht; BSI-Kritikalität Orange; CERT-EU warnt; einige Betreiber nehmen Websites vorsorglich vom Netz
php.net, BSI, CERT-EU
Hoster melden Patch-Stände; Berichte über Angriffsversuche nehmen zu; laut BSI bisher keine erfolgreiche Ausnutzung in der Breite bekannt
Hoster-Statusseiten, BSI
PHP-Projekt veröffentlicht ergänzenden Hinweis (CVE-2026-115560): seltener Angriffsweg über die Session-Verarbeitung; bis zum nächsten regulären Update
session.setzen. Wer das seit dem 21.10. gesetzt hat, muss nichts tun.upload_progress. enabled=0 php.net
FAQ
Häufige Fragen zu PHP2Shell
Leider nicht, und WordPress.org sagt das auch selbst: Für diese Lücke ist kein WordPress-Update nötig oder geplant. Die Korrektur gehört auf den Server, in PHP, und dort spielt sie Ihr Hoster ein.
In den meisten Fällen nicht. Hat Ihr Hoster die Korrektur bestätigt, ist eine Abschaltung in der Regel nicht nötig. Solange die Korrektur fehlt, etwa bei PHP 8.1 ohne Backport, empfiehlt das BSI, eine vorübergehende Trennung vom Netz zu erwägen. Fragen Sie in diesem Fall zuerst Ihren Hoster, ob er die Korrektur für Ihre Version nachträglich einspielt. Den Wechsel auf eine unterstützte PHP-Version erledigen wir in der Regel innerhalb von drei Werktagen.
Nicht unbedingt. Oft ist die Korrektur trotzdem drin: Viele Hoster und Linux-Distributionen spielen Korrekturen ein, ohne die Versionsnummer zu ändern. Kostenlose Online-Checker sehen aber nur diese Nummer, nicht die Korrektur dahinter. Verlässlich ist deshalb die schriftliche Aussage Ihres Hosters oder ein Blick auf den Server.
Der Shop selbst nicht: Shopify läuft nicht auf PHP. Apps von Drittanbietern laufen auf deren eigenen Servern, teils mit PHP; bei wichtigen Apps lohnt eine Nachfrage beim Anbieter. Betroffen sind WooCommerce, Shopware, Magento und andere PHP-basierte Shops, sofern der Server nicht gepatcht ist. Ratgeber: WordPress-Alternativen für Unternehmen
Das lässt sich von außen leider nicht feststellen. Wichtig ist: Ein später Patch bedeutet nicht, dass etwas passiert ist, und ein früher Patch nicht, dass nichts passiert ist. Fällt Ihnen etwas auf, etwa fremde Dateien, neue Admin-Benutzer oder eine Warnung Ihres Hosters, empfehlen wir einen Spezialisten für Incident Response und übernehmen danach gern die Wiederherstellung.
Die sollten Sie unbedingt mitdenken: Jede davon kann auf einem anderen Server oder mit einer älteren PHP-Version laufen. Die Kampagnenseite von 2022 ist genauso betroffen wie die Hauptseite, gerät aber leicht in Vergessenheit. Im Patch-Nachweis erfassen wir die Domains, die Sie uns nennen, und weitere, die wir in Ihrem Hosting-Konto sehen.
Das kommt gerade öfter vor, viele Agenturen haben alle Hände voll zu tun. Schicken Sie die Vorlage oben trotzdem und nennen Sie eine Frist von einem Werktag. Bleibt die Antwort aus, fragen Sie direkt bei Ihrem Hoster nach; der Vertrag läuft meist auf Ihr Unternehmen, nicht auf die Agentur. Wissen Sie nicht, wer Ihr Hoster ist, finden wir es im kostenlosen Website-Check für Sie heraus.
Sie möchten das lieber nicht selbst klären?
Kein Problem. Wir sehen mit Zugang zu Ihrem Hosting nach, welcher Patch-Stand eingespielt ist, holen die schriftliche Auskunft Ihres Hosters ein und fassen alles in einem einseitigen Prüfprotokoll zusammen, das Sie weitergeben können. Festpreis ab 249 € netto, Zwischenstand 48 Stunden nach Zugang. Preise zzgl. USt., Angebot nur für Unternehmen.
Partner & Head of Development
Oder rufen Sie an:
Mo–Fr 9–18 UhrJetzt erreichbar
Alexander Fichtl und sein Team beantworten Ihre Fragen gern direkt am Telefon.
Fachlich verantwortlich: Alexander Fichtl, Partner & Head of Development · Zuletzt aktualisiert:
