PHP2Shell: Was die BSI-Warnung für Ihre Website bedeutet

Was ist passiert?

Am 21. Oktober 2026 haben die Entwickler von PHP Sicherheitsupdates für zwei schwere Schwachstellen veröffentlicht. Sicherheitsforscher nennen sie „PHP2Shell“, in Anlehnung an die Lücke „Log4Shell“, die vor einigen Jahren weltweit für Aufregung gesorgt hat.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu einen Sicherheitshinweis herausgegeben und ihn in die Stufe 3 von 4 eingeordnet, also orange. Das bedeutet nach der Einteilung des BSI: Maßnahmen müssen unverzüglich ergriffen werden. Einige Betreiber haben ihre Websites vorsorglich vom Netz genommen, bis die Updates eingespielt waren.

Nach dem Stand vom 22. Oktober lagen dem BSI keine bestätigten Meldungen über erfolgreich übernommene Systeme in der Breite vor. Es gibt aber Berichte über automatisierte Angriffsversuche, und das BSI geht davon aus, dass Angreifer die Lücken schnell ausnutzen. Ungepatchte Server bleiben deshalb ein Risiko.

Warum das so ernst ist

PHP ist die Programmiersprache hinter einem großen Teil des Internets. Die beiden Lücken stecken nicht in einer einzelnen Anwendung, sondern in PHP selbst. Nach der Bewertung mit 9,2 von 10 Punkten braucht ein Angreifer dafür weder ein Passwort noch die Mithilfe eines Nutzers.

Gelingt ein Angriff, kann der Angreifer Programme auf dem Server ausführen. Für einen Betrieb heißt das im schlimmsten Fall:

• Die Website wird verändert, lahmgelegt oder leitet Besucher auf fremde Seiten um.
• Kundendaten aus Formularen oder Datenbanken gelangen in fremde Hände.
• Der Server verschickt Spam oder verbreitet Schadsoftware, und Ihre Domain landet auf Sperrlisten.

Werden dabei personenbezogene Daten abgegriffen, kann das zudem eine Datenpanne sein, die Sie innerhalb von 72 Stunden der Datenschutz-Aufsichtsbehörde melden müssen.

Ist meine Website betroffen?

Betroffen ist jede Website, deren Server PHP ausführt und noch nicht aktualisiert wurde. Das BSI nennt ausdrücklich bekannte Systeme, die mit PHP entwickelt wurden, darunter WordPress, Drupal, TYPO3, Joomla und Magento. Dazu kommen viele weitere wie Contao oder Shopware.

So finden Sie heraus, womit Ihre Website läuft:

• Fragen Sie nach: Ihre Agentur oder Ihr Hoster weiß es sofort.
• Schauen Sie in den Quelltext: Steht dort häufig „wp-content“, läuft die Seite mit WordPress und damit mit PHP.
• Schauen Sie in Ihr Hosting-Konto: Viele Anbieter zeigen dort die eingestellte PHP-Version.

Nutzen Sie einen Homepage-Baukasten, kümmert sich der Anbieter um die Technik im Hintergrund. Sie können dort selbst nichts aktualisieren, sollten aber die Hinweise Ihres Anbieters im Blick behalten.

Auch Geräte im Büro

PHP steckt nicht nur in Websites. Laut BSI sind auch Geräte mit Weboberfläche betroffen oder können betroffen sein, etwa Firewalls, Router und NAS-Speicher. Genannt werden unter anderem Produkte von Synology, QNAP, OPNsense, pfSense und cPanel. Steht ein solches Gerät in Ihrem Büro, spielen Sie die Updates des Herstellers ein, besonders wenn die Oberfläche aus dem Internet erreichbar ist.

Was Sie jetzt tun sollten

• Ihren Hoster oder Ihre Agentur schriftlich fragen, ob PHP auf Ihrem Server aktualisiert ist. Abgesichert sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie entsprechende Sicherheitsupdates der Linux-Distributionen.
• Bei einem eigenen Server: PHP über die Paketverwaltung aktualisieren und den Webserver oder PHP-FPM neu starten.
• Alte PHP-Versionen ablösen. Für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 gibt es nur nachgereichte Notfall-Patches. Dauerhaft gehört eine unterstützte Version auf den Server.
• Zusätzlich WordPress, Themes und Plugins aktualisieren. Das schließt andere Lücken, aber nicht diese.
• Prüfen lassen, ob es Anzeichen eines Angriffs gibt: neue oder veränderte PHP-Dateien auf dem Server, unbekannte Administratoren, seltsame Weiterleitungen oder ungewöhnlich viele verschickte E-Mails.
• Die Datensicherung kontrollieren: Gibt es ein aktuelles Backup, das nicht auf demselben Server liegt?
• Die Firmware von NAS, Firewall und Router im Büro aktualisieren.

Bekommen Sie keine klare Antwort, ist das selbst schon eine Antwort. Das BSI rät, verwundbare Systeme notfalls vorübergehend vom Netz zu nehmen, bis die Updates eingespielt sind.

Warum ein Plugin-Update nicht reicht

Viele Website-Betreiber kennen den Hinweis „Bitte aktualisieren Sie Ihre Plugins“. Diesmal liegt das Problem eine Ebene tiefer. Die Lücken stecken in der PHP-Laufzeitumgebung auf dem Server, also in dem Programm, das WordPress und Co. überhaupt erst ausführt. Ein Update der Website-Software ändert daran nichts. Aktualisiert werden muss PHP selbst, und das liegt meist beim Hoster.

Wie wir Websites bauen

Unsere Websites laufen ohne PHP. Wir liefern fertige, statische Seiten von unserem eigenen Server in Deutschland aus. Es gibt kein Redaktionssystem mit Anmeldeseite im Netz und keine Sammlung von Erweiterungen, die einzeln aktualisiert werden müssen. Formulare und den Website-Check verarbeitet ein kleiner eigener Dienst, ebenfalls ohne PHP. Von PHP2Shell sind unsere Websites deshalb nicht betroffen.

Das heißt nicht, dass eine Website je hundertprozentig sicher ist. Aber jede Technik, die nicht da ist, kann auch nicht angegriffen werden. Deshalb bauen wir so schlank wie möglich und halten den Rest im Rahmen der Website-Betreuung aktuell.

Sie sind unsicher, ob Ihre Website betroffen ist? Schreiben Sie uns die Adresse. Wir sagen Ihnen kostenlos, ob sie mit PHP läuft und was Sie Ihren Hoster fragen sollten. Und wenn Ihre Website ohnehin in die Jahre gekommen ist, zeigt Ihnen ein Relaunch, wie es schlanker geht.

Quellen

• BSI-IT-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“, BITS-H Nr. 2026-297981-1232, Version 1.2 vom 22. Oktober 2026
• PHP-Projekt, Sicherheitsmitteilung vom 21. Oktober 2026: php.net
• CERT-EU, Security Advisory 2026-018: cert.europa.eu
• ENISA, gemeinsame Erklärung zu den PHP-Schwachstellen: enisa.europa.eu
• ZDFheute vom 21. Oktober 2026: Sicherheitslücke bei PHP: Millionen Webseiten bedroht