Sicherheitswarnung · Oktober 2026
PHP-Sicherheitslücke „PHP2Shell“ — ist Ihre Website geschützt?
Eine kritische Lücke in PHP erlaubt es Angreifern, Websites ohne Anmeldung zu übernehmen. Ich prüfe Ihre Website und stelle sie auf eine sichere PHP-Version um. Übermitteln Sie mir dazu hier die wichtigsten Zugangsdaten – oder stellen Sie einfach kurz eine Frage.
9,2 / 10
Schweregrad (CVSS) – kritisch
ohne Login
Angriff aus der Ferne möglich
fast alle
PHP-Versionen betroffen
Häufige Fragen
Was ist „PHP2Shell“ überhaupt?+
Zwei Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619), die am 21. Oktober 2026 veröffentlicht wurden. PHP ist die Programmiersprache, auf der rund drei Viertel aller Websites laufen – darunter jede WordPress-Seite. Über die Lücken können Angreifer aus der Ferne und ohne Anmeldung eigenen Code auf dem Webserver ausführen. Das BSI hat eine offizielle Warnung herausgegeben.
Was passiert, wenn ich nicht aktualisiere?+
Die Website bleibt angreifbar. Typische Folgen eines erfolgreichen Angriffs: eingeschleuste Schadsoftware, die Ihre Besucher infiziert, Spam- oder Phishing-Seiten unter Ihrer Domain, abgegriffene Formular- und Kundendaten (mit Meldepflichten nach der DSGVO), Spam-Versand über Ihren Server, eine Warnung oder Abstrafung durch Google oder eine Sperrung durch den Hoster. Öffentlicher Angriffscode ist bereits im Umlauf – die Lücke wird also aktiv gesucht.
Könnte ich bereits Opfer geworden sein?+
Möglich, aber nicht wahrscheinlich, wenn Ihr Hoster schnell reagiert hat. Warnzeichen sind zum Beispiel:
- unbekannte Benutzer im WordPress-Backend
- Weiterleitungen auf fremde Seiten, vor allem vom Handy oder aus Google heraus
- Hinweise wie „Diese Website wurde möglicherweise gehackt“ in den Google-Ergebnissen
- fremde Dateien auf dem Webspace oder plötzlich geänderte Inhalte
- eine Nachricht Ihres Hosters über Spam-Versand oder verdächtige Aktivitäten
Wenn Ihnen so etwas auffällt, schreiben Sie es bitte ins Formular – ich schaue mir das gezielt an.
Kümmert sich mein Hoster nicht automatisch darum?+
Teilweise. Viele Hoster haben bereits aktualisiert, andere ziehen gerade erst nach oder kämpfen mit Überlastung. Läuft Ihre Website noch auf einer älteren PHP-Version (7.4, 8.0, 8.1), gibt es dafür oft keine regulären Updates mehr – dann muss die Website auf eine aktuelle Version (8.2 oder neuer) umgestellt werden. Genau das prüfe und erledige ich.
Kann bei der Umstellung etwas kaputtgehen?+
Selten, aber ältere Themes oder Plugins sind nicht immer mit neuen PHP-Versionen kompatibel. Deshalb prüfe ich vorher, was installiert ist, und kontrolliere die Website nach der Umstellung. Falls etwas hakt, lässt sich die PHP-Version beim Hoster jederzeit zurückstellen.
Warum soll ich das Passwort nicht hier eintragen?+
Formulardaten landen in E-Mails und in einer Datenbank. Wenn Benutzername und Passwort getrennt übermittelt werden, ist ein einzelner abgefangener Weg wertlos. Schicken Sie das Passwort deshalb in einer eigenen E-Mail an kontakt@kevin-biernacik.de – ohne Benutzername oder Domain. Nach Abschluss der Arbeiten empfehle ich, das Passwort zu ändern.
Was kostet das?+
Prüfung und Umstellung kosten pauschal 35 € netto pro Domain (zzgl. 19 % USt., also 41,65 € brutto). Sollte wider Erwarten Mehraufwand nötig sein, melde ich mich vorher – zusätzliche Kosten nur nach Absprache. Kunden mit Wartungsvertrag zahlen nichts extra – dort kümmere ich mich ohnehin so schnell wie möglich darum.
Ich habe einen Wartungsvertrag – muss ich etwas tun?+
Nein. Ihre Website ist bereits auf meiner Liste. Melden Sie sich nur, wenn Ihnen etwas Ungewöhnliches auffällt.