PHP-SicherheitslückeIst deine Website betroffen?
Seit dem 21. Oktober 2026 wird eine kritische Lücke in PHP ausgenutzt. Über sie können Angreifer Webserver übernehmen. Betroffen sind WordPress, Joomla und alle anderen Systeme auf PHP. Unser kostenloser Check zeigt dir in rund 10 Sekunden, ob dein Server noch offen ist.
Ist deine Website betroffen?
Gib deine Adresse ein. In rund 10 Sekunden siehst du, ob dein Server die Lücke noch offen hat.
Referenzen: Websites ohne PHP
Handle sofort, wenn etwas davon zutrifft
Ein Update von WordPress allein schliesst die Lücke nicht. Sie steckt im Server darunter.
Du weisst nicht, ob deine Website betroffen ist? Der Check sagt es dir in 10 Sekunden.
php2shell: die Lücke in Zahlen
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken geschlossen: CVE-2026-109618 und CVE-2026-109619, bekannt als php2shell. Über sie können Angreifer eigenen Code auf einem Webserver ausführen und ihn im schlimmsten Fall ganz übernehmen. Betroffen ist jede PHP-Version ab 5.4.
Laut SRF hat Cloudflare seit der Veröffentlichung Millionen von Angriffsversuchen gezählt. Mehr als 60 Prozent aller Websites haben irgendwie mit PHP zu tun, darunter jede Website auf WordPress.
Wer einen eigenen Server betreibt, muss PHP selbst aktualisieren und danach vorsorglich alle Passwörter ändern. Wer bei einem Hoster mietet, fragt dort nach. Ein abgeschalteter Server hilft nur, wenn er vorher nicht schon angegriffen wurde.
- Bekannt seit
- 21. Oktober 2026
- Betroffen
- PHP ab Version 5.4
- Gepatcht ab
- 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35
- Ohne Patch
- PHP 8.1 und älter
Was der PHP-Check prüft
Der Check ruft deine Startseite auf und liest, was dein Server dabei über sich verrät: das System hinter der Website, die PHP-Version und ob sie vor oder nach dem Patch liegt. Er greift nichts an und probiert keine Lücke aus.
Viele Hoster verstecken die PHP-Version. Dann sagt der Check dir, dass deine Website auf PHP läuft, und wir klären mit dir am Telefon, ob der Patch eingespielt ist und ob es Spuren eines Angriffs gibt.
Warum unsere Websites ohne PHP laufen
WordPress läuft auf rund 40 Prozent aller Websites und ist damit das lohnendste Ziel für Angreifer. Jedes Plugin ist eine weitere Tür, und jede Lücke in PHP betrifft alle gleichzeitig.
Wir bauen Websites mit Next.js. Die Seiten werden vorab erzeugt und ausgeliefert, ohne dass bei jedem Aufruf ein PHP-Programm auf dem Server läuft. Es gibt kein Plugin-Flickwerk, das veraltet. Hosting, Updates und Sicherheit übernehmen wir, mit Hosting in der DACH-Region.
Wer nach dieser Woche genug hat, zieht mit uns um. Texte, Bilder und Adressen übernehmen wir, alte Links leiten wir weiter, damit du bei Google nichts verlierst.
So wird deine Website wieder sicher
Du prüfst, wir rufen an. Danach entscheidest du, ob dein Hoster nachbessert oder du umsteigst.
- CheckIn 10 Sekunden wissen, wo du stehstAdresse eingeben, Ergebnis lesen. Kostenlos und ohne Anmeldung.
- RückrufWir sagen dir, was zu tun istAm Telefon klären wir, was dein Hoster tun muss, wie du Spuren eines Angriffs erkennst und welche Passwörter du ändern solltest.
- EntscheidAbsichern oder umsteigenReicht der Patch beim Hoster, bist du fertig. Läuft deine Website auf einer alten PHP-Version oder willst du das Thema los sein, planen wir den Umstieg.
- UmstiegNeue Website ohne PHPWir bauen deine Website auf unserer Technik neu und ziehen sie um. Online in vier bis sechs Wochen.
Lieber gleich reden?
Noah Benz geht mit dir am Telefon durch, was der Check gefunden hat.
Häufige Fragen
Deine Frage ist nicht dabei? Noah beantwortet sie im Erstgespräch.
Ja, solange der Server darunter nicht gepatcht ist. WordPress läuft auf PHP, und php2shell betrifft jede PHP-Version ab 5.4. Gepatcht sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Unser Check zeigt dir, was dein Server verrät.
Nein. Die Lücke steckt in PHP, also im Server, nicht in WordPress. Ein Update von WordPress oder den Plugins schliesst sie nicht. Den Patch spielt dein Hoster ein, bei einem eigenen Server du selbst.
Frag bei deinem Hoster nach, ob er sie wegen der Lücke abgeschaltet hat. Läuft sie auf PHP 8.1 oder älter, kommt sie erst nach einem Umstieg auf eine gepatchte Version sicher zurück. Ruf uns an, wenn du nicht weiterkommst: 052 508 14 81.
Er ruft die Startseite einmal auf, so wie ein Besucher, und liest die Angaben, die dein Server ohnehin mitschickt. Er greift nichts an. Adresse und Ergebnis kommen bei uns an, damit wir dir weiterhelfen können.
Typische Spuren sind unbekannte Admin-Konten, neue Dateien im Webverzeichnis, Weiterleitungen auf fremde Seiten und Treffer bei Google, die nicht von dir stammen. Ändere vorsorglich alle Passwörter, auch die der Datenbank und des Hostings.
Weil jede Lücke in PHP, in WordPress oder in einem der Plugins alle Websites darauf gleichzeitig trifft. Unsere Websites laufen mit Next.js ohne PHP und ohne Plugins. Inhalte änderst du trotzdem selbst im Redaktionssystem.
Wix oder WordPress für KMU