ratgeber / sicherheit

PHP2Shell einfach erklärt.

Du hast eine Website, aber kein Hosting bei mir und bist kein IT-Nerd? Hier steht ohne Fachchinesisch, was passiert ist, was du jetzt tun musst, was dein Hoster dazu sagt und was zu tun ist, wenn deine Website nach dem Update nicht mehr läuft. Stand: 22. Oktober 2026, mittags.

Du willst es technisch genau wissen oder betreibst einen eigenen Server? Dann lies den ausführlichen Ratgeber zu PHP2Shell.

Mit Hilfe von KI erstellt, von mir kontrolliert und bearbeitet.

das wichtigste in kürze

In PHP, der Software, mit der die meisten Websites laufen, auch WordPress, gab es zwei schwere Sicherheitslücken. Angreifer können darüber ohne Passwort fremde Programme auf dem Server starten. Die Lösung ist ein Update von PHP. Bei normalem Webhosting spielt das dein Hoster ein, nicht du. Die meisten großen Hoster in Deutschland und Österreich haben das Update laut eigenen Angaben eingespielt oder sind gerade dabei. Die Links findest du unten. Ein WordPress-Update, ein Sicherheits-Plugin oder der Wartungsmodus helfen gegen diese Lücke nicht. Läuft deine Website nach einer Umstellung auf eine neuere PHP-Version nicht mehr, ist die Website-Software veraltet. Dann braucht die Website ein Update. Die alte PHP-Version zurückzuholen ist keine Lösung.

was ist passiert?

Stell dir PHP als Motor deiner Website vor. WordPress, dein Theme und deine Plugins sind die Karosserie. Die Lücke steckt im Motor. Darum hilft es nichts, an der Karosserie zu schrauben: Der Motor selbst muss repariert werden, und der gehört bei normalem Webhosting deinem Hoster.

Am 21. Oktober 2026 hat das PHP-Team die reparierten Versionen veröffentlicht. Betroffen sind praktisch alle PHP-Versionen der letzten 14 Jahre. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt mit der Stufe Orange: Maßnahmen müssen unverzüglich ergriffen werden. Viele Behörden, Universitäten und Kliniken, etwa die Charité, haben ihre Websites vorsorglich abgeschaltet, bis das Update da war. Angriffsversuche gibt es bereits.

Quellen: php.net, BSI, it-daily, Amazon Threat Intelligence

bin ich betroffen?

Sehr wahrscheinlich ja, wenn deine Website mit WordPress, WooCommerce, Shopware, Joomla, TYPO3, Contao oder Drupal läuft. Alle diese Systeme brauchen PHP. Entscheidend ist aber nicht deine Website, sondern ob dein Hoster PHP schon aktualisiert hat.

Nutzt du einen Website-Baukasten, bei dem du keine PHP-Version einstellen kannst, kümmert sich der Anbieter um die Technik. Frag im Zweifel dort nach.

was du jetzt tun solltest

Finde heraus, wo deine Website liegt. Das steht auf der Rechnung für dein Hosting oder deine Domain. Hat eine Agentur deine Website gebaut und kümmert sich ums Hosting, frag dort nach. Schau unten in der Liste nach, was dein Hoster sagt. Bei normalem Webhosting und Managed WordPress patcht der Hoster selbst. Hast du einen eigenen Server (VPS, Root-Server, Cloud-Server), bist du selbst oder dein Dienstleister zuständig. Findest du nichts, frag deinen Hoster. Eine Vorlage für die Nachricht steht weiter unten. Schau im Kundenmenü deines Hosters nach der PHP-Version. 8.2 oder neuer ist gut. Bei älteren Versionen frag nach, ob sie die Korrektur bekommen haben. Wundere dich nicht, wenn sich die Nummer nicht ändert: Manche Hoster reparieren die Version, ohne die Nummer zu ändern, etwa netcup und easyname. Klick deine Website einmal durch: Startseite, Kontaktformular und, falls vorhanden, Shop und Login. Hat dein Hoster erst spät aktualisiert, ändere zur Sicherheit die Passwörter für deinen WordPress-Admin und dein Hosting-Konto und schau, ob es Administratoren gibt, die du nicht kennst.

wenn deine website nach dem update nicht mehr läuft

Wichtig: Wenn deine Website nach einer Umstellung auf eine neuere PHP-Version nicht mehr läuft, ist nicht das Update schuld, sondern deine veraltete Website. Sie braucht ein Update. Bleib nicht dauerhaft auf einer alten PHP-Version, damit bleibt die Tür für Angreifer offen.

Warum das passieren kann: PHP 8.1 und älter bekommen vom PHP-Team keine Updates mehr. Viele Hoster haben auch diese alten Versionen selbst repariert, zum Beispiel Hetzner, netcup, easyname, mittwald und DomainFactory. Andere stellen ältere Versionen um oder raten zum Wechsel. Host Europe zum Beispiel stellt im Classic Hosting am 9. November 2026 alle Domains automatisch von PHP 8.2 auf 8.4 um.

Ist deine Website-Software alt, versteht sie das neue PHP nicht mehr. Typische Anzeichen sind eine weiße Seite, eine Meldung wie „Es gab einen kritischen Fehler auf deiner Website“ oder ein Shop, der beim Bezahlen hängen bleibt. WordPress selbst empfiehlt PHP 8.3 oder neuer und warnt, dass ältere Versionen deine Website für Sicherheitslücken öffnen können.

So gehst du vor

Leg zuerst eine Sicherung an. Die meisten Hoster bieten das im Kundenmenü an. Aktualisiere WordPress, dein Theme und alle Plugins. Plugins, die seit Jahren kein Update bekommen haben, solltest du ersetzen. Stell danach die PHP-Version auf 8.3 oder 8.4 und prüf die Website. Kommst du nicht mehr ins WordPress-Backend, kann dein Hoster die PHP-Version oft kurz zurückstellen, damit du die Updates einspielen kannst. Frag vorher, ob diese alte Version die Korrektur bekommen hat, und stell danach sofort wieder auf die neue Version um. Ein Theme oder Plugin wurde extra für dich programmiert und bekommt keine Updates? Dann muss ein Entwickler ran. Genau dabei helfe ich dir gern.

Ein kostenpflichtiger „PHP Extended Support“, wie ihn etwa IONOS, STRATO, World4You, easyname und mittwald anbieten, verschafft dir Zeit für alte PHP-Versionen. Er ersetzt aber kein Update deiner Website. Ob die Extended-Support-Versionen bei IONOS, STRATO und World4You gegen PHP2Shell repariert sind, habe ich auf deren Seiten nicht gefunden. Frag dort nach.

Quellen: php.net, unterstützte Versionen, WordPress-Anforderungen, Host Europe, STRATO, World4You, IONOS, Hoster-Meldungen siehe unten

was dein hoster sagt

Hier steht, was zehn große Hoster aus Deutschland und Österreich bis zum Vormittag des 22. Oktober 2026 auf ihren eigenen Seiten veröffentlicht haben. Die Lage kann sich stündlich ändern, schau im Zweifel auf der Statusseite deines Hosters nach.

Hoster Was der Hoster sagt Links

IONOS Update auf allen eigenen Plattformen eingespielt, unter anderem Webhosting, Managed WordPress und MyWebsite. „Kundinnen und Kunden müssen nicht selbst tätig werden.“ Wer einen VPS oder eigenen Server hat, muss selbst aktualisieren. Meldung, PHP-Version, Status

STRATO Das Update wird seit dem 21. Oktober auf allen Systemen eingespielt, Abschluss innerhalb von 24 Stunden erwartet. Kurze Ausfälle sind möglich. Wer einen VPS oder eigenen Server hat, muss selbst aktualisieren. Hinweis im Hilfe-Center, PHP-Version, Kontakt

ALL-INKL.COM Keine öffentliche Meldung gefunden. Laut Presseberichten hat ALL-INKL Schutzmaßnahmen aktiviert, einige Dienste wie das Kundenmenü vorübergehend eingeschränkt und in der Nacht zum 22. Oktober gepatcht. Bericht, PHP-Version, Kontakt

Hetzner Alle Webhosting- und Managed-Server sind gepatcht, auch die alten Versionen 5.6 und 7.3 bis 8.1. Für eigene Server (Dedicated, Cloud) bist du selbst zuständig. Meldung, PHP-Version, Status

Host Europe Patches werden seit dem 21. Oktober, 18 Uhr, ausgerollt, Managed WordPress ist vollständig gepatcht. Kurze Neustarts sind möglich. Wer einen VPS hat, muss selbst aktualisieren. Im Classic Hosting wird PHP 8.2 am 9. November 2026 automatisch auf 8.4 umgestellt. Meldung, PHP-Version, Status

DomainFactory Webhosting: „Sie müssen nichts weiter unternehmen.“ Managed WordPress ist gepatcht. Mit dem Zusatz „Legacy PHP“ bekommen auch Versionen unter 8.2 die Korrektur. Wer einen VPS hat, muss selbst aktualisieren. Meldung, PHP-Version, Status

mittwald Hat am 21. Oktober vorsorglich alle Systeme heruntergefahren. Seit der Nacht zum 22. Oktober sind fast alle PHP-Versionen gepatcht, ausgenommen Versionen unter 5.6. Kunden müssen nichts tun. Meldung, PHP-Version, Status

netcup Hat Webhosting und Managed Server vorsorglich vom Netz genommen. Seit dem 21. Oktober, 23:45 Uhr, ist alles gepatcht und wieder online, auch ältere PHP-Versionen. Kunden müssen nichts tun. Die angezeigte Versionsnummer kann gleich bleiben. Meldung und Status, PHP-Version

World4You (AT) Keine Meldung gefunden. World4You stellt die PHP-Version laut FAQ nicht automatisch um, für alte Versionen gibt es einen kostenpflichtigen Extended Support. Frag beim Support nach dem Stand. PHP-Version, Support

easyname (AT) Webspace: „Für Kundinnen und Kunden besteht kein Handlungsbedarf.“ PHP 5.6 bis 8.5 sind gepatcht, 5.2 bis 5.5 folgen. Kurze Neustarts ohne Ankündigung sind möglich. Wer einen eigenen Server hat, muss selbst aktualisieren. Meldung, PHP-Version (englisch), Status

Dein Hoster fehlt? Dann schau auf seiner Website nach einer Statusseite oder einem Hinweis zu „PHP-Sicherheitslücke“ oder „CVE-2026-109618“. Findest du nichts, schreib ihm.

vorlage für deine nachricht an den hoster

Kopier den Text in eine E-Mail oder ins Kontaktformular deines Hosters und ergänze deine Domain und Kundennummer:

Hallo, zu meiner Website [deine Domain], Kundennummer [Nummer]: Ist PHP in meinem Paket gegen die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 („PHP2Shell“) aktualisiert? Welche PHP-Version nutzt meine Website, und hat genau diese Version die Korrektur bekommen? Muss ich selbst etwas tun? Vielen Dank.

was nicht hilft

Ein WordPress-Update. Die Lücke steckt in PHP, nicht in WordPress. Aktuell halten solltest du WordPress trotzdem. Sicherheits-Plugins wie Wordfence. Sie starten erst, wenn der Angriff schon gelaufen ist. Der Wartungsmodus von WordPress. Die Website ist dann für Besucher zu, PHP läuft aber weiter. Die alte PHP-Version dauerhaft behalten, weil die Website damit noch läuft.

häufige fragen

Meine Website war gestern nicht erreichbar. Wurde ich gehackt?

Nicht unbedingt. Viele Hoster, etwa mittwald und netcup, haben ihre Server vorsorglich abgeschaltet oder für das Update neu gestartet. Eine Abschaltung allein heißt nicht, dass deine Website angegriffen wurde.

Die PHP-Version in meinem Kundenmenü hat sich nicht geändert. Bin ich ungeschützt?

Nicht zwingend. Manche Hoster reparieren die bestehende Version, ohne die Nummer zu ändern. Ob das bei dir so ist, steht in der Meldung deines Hosters oder du fragst nach.

Muss ich für das Update etwas bezahlen?

Bei normalem Webhosting nein, das Update spielt dein Hoster ein. Kosten können entstehen, wenn du eine alte PHP-Version über einen Extended Support weiter nutzt oder wenn deine Website wegen veralteter Software überarbeitet werden muss.

Hilft es, wenn ich die alte PHP-Version wieder einstelle?

Nur ganz kurz, um deine Website zu aktualisieren, und nur, wenn genau diese Version die Korrektur bekommen hat. Dauerhaft ist das keine Lösung.