PHP2Shell: Wer für die Sicherheitslücke Ihrer Website zuständig ist

Stand dieses Beitrags: 22. Oktober 2026. Die Lage kann sich ändern. Maßgeblich ist die Mitteilung des PHP-Projekts unter php.net.

Was ist passiert, und warum betrifft es Ihre Firmenwebsite?

Am 21. Oktober 2026 hat das PHP-Projekt Updates gegen zwei kritische Sicherheitslücken veröffentlicht. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden in Berichten „PHP2Shell“ genannt. Beide sind mit 9,2 von 10 Punkten bewertet. Ein Angreifer kann damit aus der Ferne Programmcode auf dem Webserver ausführen, ohne Anmeldung und ohne Zutun eines Nutzers (BSI-Warnung vom 21. Oktober 2026).

PHP ist die Programmiersprache hinter einem großen Teil des Web, darunter WordPress, viele Shopsysteme und Kundenportale. Das PHP-Projekt nennt alle Installationen als gefährdet, die Webanfragen beantworten. Am höchsten schätzt es das Risiko bei Apache mit mod_php ein (php.net, Sicherheitshinweis vom 21. Oktober 2026). Reine HTML-Seiten ohne PHP sind nicht betroffen.

Was die Lücke für ein Unternehmen bedeutet

• Ihre Website könnte übernommen, verändert oder für Spam und Schadsoftware missbraucht werden.
• Daten, die über Formulare oder Kundenkonten laufen, könnten abfließen.
• Nach Medienberichten haben einige Organisationen ihre Seiten vorsorglich vom Netz genommen (Baden liefert, Oktober 2026). Auch ein Ausfall ist also ein reales Geschäftsrisiko.

Eine Panik ist nicht nötig. Dass jede Seite angegriffen wurde, ist nicht belegt. Cloudflare berichtet von Angriffsverkehr gegen Kundenseiten und filtert ihn seit dem 21. Oktober. Dass Websites tatsächlich übernommen wurden, bestätigt laut den Berichten bisher keine Quelle (Baden liefert).

Wer ist zuständig: Hoster, Agentur oder Sie?

Zuständig für das Einspielen des Updates ist, wer den Server betreibt. Bei den meisten Firmenwebsites ist das der Hoster. Die Agentur ist zuständig, wenn sie den Server verwaltet oder Wartung vereinbart ist. Sie selbst sind verantwortlich dafür, dass jemand zuständig ist und es nachweisen kann.

Ihre Situation	Wer spielt das Update ein	Was Sie tun
Webhosting-Paket (Shared Hosting)	Der Hoster, laut den Berichten bei PHP 8.2 bis 8.5 in der Regel selbst	Schriftliche Bestätigung einholen
Managed Hosting oder Wartungsvertrag über die Agentur	Agentur oder deren Hosting-Partner	Nachfragen, bis wann und mit welcher Version
Eigener Server oder virtueller Server (VPS)	Wer ihn administriert, über die Paketverwaltung des Betriebssystems	Zuständigen benennen und Termin festhalten
Software mit eingebautem PHP, etwa Firewall-Oberflächen oder Netzwerkgeräte	Der Hersteller	Beim Hersteller nach einem Update fragen

Die Einteilung folgt den Hinweisen von Patrick Hilker und des PHP-Projekts. Ihr Vertrag kann abweichen. Im Zweifel steht dort, wer für Betrieb und Sicherheit zuständig ist.

WordPress selbst braucht laut den Berichten kein eigenes Update, weil die Lücke in PHP liegt. Auch ein aktuelles WordPress schützt Sie also nicht, wenn darunter ein ungepatchtes PHP läuft.

Heute: Version und Bestätigung klären

Heute genügen zwei Antworten: Welche PHP-Version läuft, und hat der Hoster das Update eingespielt? Beides lässt sich in wenigen Minuten klären, ohne technische Vorkenntnisse.

So finden Sie die PHP-Version heraus

1. Im Kundenbereich Ihres Hosters finden Sie bei der Domain meist den Punkt „PHP-Version“ oder „PHP-Einstellungen“.
2. Bei WordPress zeigt der Bereich „Werkzeuge → Website-Zustand → Info“ die PHP-Version an.
3. Wenn beides nicht klappt, fragen Sie Ihre Agentur oder Ihren Hoster direkt.

Eine Einschränkung: Linux-Distributionen wie Debian oder Ubuntu übernehmen Korrekturen oft in ältere Versionsnummern. Eine unauffällige Nummer bedeutet deshalb nicht automatisch Schutz, und eine alte Nummer nicht automatisch Gefahr. Verlässlich ist nur die Bestätigung des Hosters.

Was Sie dem Hoster schreiben können

• Sind CVE-2026-109618 und CVE-2026-109619 für meinen Tarif geschlossen?
• Mit welcher PHP-Version oder welchem Paketstand läuft meine Domain jetzt?
• Wann wurde das Update eingespielt, und wurden die PHP-Prozesse neu gestartet?

Bitten Sie um eine Antwort per E-Mail. Sie dient später als Nachweis, falls jemand fragt, was Sie unternommen haben.

Diese Woche: Läuft Ihre Seite auf PHP 8.1 oder älter?

Dann ist das Problem größer als diese eine Lücke. Das PHP-Projekt liefert für PHP 8.1 und älter keine regulären Updates mehr. Wegen der Schwere der Lücken hat es für 7.4, 8.0 und 8.1 ausnahmsweise Quellcode-Korrekturen bereitgestellt, die Hoster einbauen können. Es empfiehlt, den Anbieter zu fragen oder auf eine unterstützte Version zu wechseln (php.net).

Die aktuell gepatchten Zweige sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.2 erhält nach den Berichten nur noch bis zum 31. Dezember 2026 Sicherheitsupdates (Baden liefert). Den aktuellen Stand aller Zweige zeigt die Übersicht der unterstützten Versionen.

Was bei einem Versionswechsel zu beachten ist

• Vorher ein Backup anlegen, das sich wirklich zurückspielen lässt.
• Den Wechsel zuerst in einer Testumgebung prüfen. Ältere Themes, Plugins oder eigener Code können mit neuem PHP Fehler zeigen.
• Nach dem Wechsel die wichtigsten Seiten durchklicken: Startseite, Kontaktformular, Shop-Kasse, Login.

Planen Sie den Wechsel als kleines Projekt mit Verantwortlichem und Termin. Wer ihn auf „irgendwann“ schiebt, trifft die nächste Lücke mit demselben Problem.

Danach: Wurde Ihre Seite schon angegriffen?

Das Update schließt die Lücke, entfernt aber keine Hintertür, die schon eingebaut wurde. Das betont unter anderem Patrick Hilker. Laut Medienberichten waren Details der Lücke schon vor dem Update durchgesickert (Nuremberg Times, 21. Oktober 2026). Eine Prüfung im Nachgang ist deshalb sinnvoll, besonders bei Seiten, die bis zum Einspielen des Updates ungeschützt liefen.

Diese Hinweise sollte jemand mit Zugriff auf den Server prüfen:

• Unbekannte PHP-Dateien, vor allem in Upload-Ordnern.
• Neue Administrator-Konten, die niemand angelegt hat.
• Geänderte Dateien im Theme oder in Plugins, ohne dass jemand daran gearbeitet hat.
• Auffällige Weiterleitungen, fremde Inhalte oder Spam-Seiten auf Ihrer Domain.
• Ungewöhnlich viele Anfragen in den Server-Protokollen rund um den 20. und 21. Oktober.

Wenn es einen Verdacht gibt

Holen Sie umgehend Fachleute für die Prüfung dazu und sichern Sie den Zustand, bevor aufgeräumt wird. Wurden personenbezogene Daten abgegriffen, kann eine Meldung an die Datenschutzaufsicht nötig sein. Nach Art. 33 DSGVO soll sie unverzüglich und möglichst binnen 72 Stunden erfolgen, nachdem die Verletzung bekannt wurde (Art. 33 DSGVO). Ob das in Ihrem Fall zutrifft, klären Sie mit Ihrem Datenschutzbeauftragten oder einer Rechtsberatung. Dieser Beitrag ersetzt keine Rechtsauskunft.

Welche Fragen Sie Ihrer Agentur stellen sollten

Eine Agentur, die Ihre Website betreut, sollte diese Fragen ohne Zögern beantworten. Das gilt für jede Agentur, auch für uns. Die Antworten zeigen, ob die Zuständigkeit geklärt ist oder erst jetzt auffällt.

• Wer ist für Server, PHP-Version und Updates meiner Website zuständig, und steht das im Vertrag?
• Welche PHP-Version läuft aktuell, und wann wurde sie zuletzt aktualisiert?
• Wie schnell reagieren Sie bei einer kritischen Lücke, und was kostet ein Noteinsatz?
• Gibt es ein Backup, das regelmäßig getestet wird, und einen dokumentierten Weg zurück?
• Wer prüft nach einem Update, ob die Seite kompromittiert wurde?
• Wie und wann informieren Sie mich im Ernstfall?

Eine ehrliche Antwort kann auch lauten: Das lag bisher nicht bei uns. Dann wissen Sie wenigstens, an wen Sie sich wenden müssen. Wie sich Zuständigkeiten und Zugänge zwischen Auftraggeber und Agentur sauber regeln lassen, beschreibt der Beitrag Wem gehört Ihr Marketing?

Was Sie besser lassen: Notmaßnahmen auf eigene Faust

Ändern Sie keine Server-Einstellungen, wenn Sie nicht wissen, was sie bewirken. Das PHP-Projekt beschreibt Schutzmaßnahmen für den Fall, dass ein Update nicht sofort möglich ist, etwa niedrigere Upload-Grenzen. Es sagt aber ausdrücklich, dass sie nur einzelne Angriffswege verengen und eine Installation nicht sicher machen. Es gibt keine vollständige Abhilfe außer dem Update (php.net).

Solche Einstellungen haben Nebenwirkungen. Zu niedrige Upload-Grenzen können zum Beispiel Formulare mit Dateianhang oder Shop-Funktionen stören. Überlassen Sie sie deshalb dem Hoster oder der Agentur und halten Sie fest, wer sie wann gesetzt hat.

Genauso wenig hilft es, die Seite vorsorglich abzuschalten, wenn der Hoster das Update bereits bestätigt hat. Abschalten ist eine Notlösung für Server, bei denen kein Update verfügbar ist. Das BSI rät laut Hilker dazu nur, solange kein Update verfügbar ist.

Was Sie aus dem Vorfall mitnehmen sollten

Die nächste Lücke kommt bestimmt, entscheidend ist, dass dann niemand erst fragen muss, wer zuständig ist. Drei Dinge sollten Sie nach dieser Woche schriftlich haben:

1. Wer betreibt Ihren Server, und wer spielt Updates ein?
2. Welche PHP-Version läuft, und bis wann wird sie vom PHP-Projekt unterstützt?
3. Wie sieht der Ablauf bei einem Notfall aus, mit Ansprechpartner, Erreichbarkeit und Backup?

Das ist keine Technik-Frage, sondern eine Betriebsfrage, vergleichbar mit der Wartung einer Maschine. Wer die Website als Vertriebskanal nutzt, sollte ihren Betrieb klar geregelt haben. Bei einem größeren Umbau der Seite lässt sich die Zuständigkeit gleich mit klären, wie es der Beitrag zur Relaunch-Planung beschreibt.

Bei dieser PHP-Lücke müssen Sie nichts selbst reparieren, aber Sie sollten wissen, wer es tut. Klären Sie PHP-Version und Zuständigkeit, lassen Sie sich das Update schriftlich bestätigen und prüfen Sie nach dem Update, ob Spuren eines Angriffs zu finden sind. Wenn Sie unsicher sind, wie Ihre Website betrieben wird und wer dafür verantwortlich ist, besprechen wir das gern in einem kostenlosen, unverbindlichen Strategiegespräch, auch per Videocall. Sie bekommen eine ehrliche Einordnung, ob Handlungsbedarf besteht oder nicht.