PHP2Shell: Was die grösste Website-Sicherheitslücke 2026 für dich bedeutet

Was ist PHP und warum ist das so ein grosses Problem?

PHP läuft auf dem Server im Hintergrund und sorgt dafür dass Websites funktionieren. WordPress, Drupal, viele Shop-Systeme, fast alles basiert darauf. Das ist auch der Grund warum diese Lücken so breit gewirkt haben. Wenn PHP ein Problem hat, hat das Internet ein Problem.

Wer eine moderne Plattform wie Framer oder Webflow nutzt, ist hier auf der sicheren Seite. Diese Tools basieren nicht auf PHP. Aber alle anderen sollten jetzt kurz aufmerksam werden.

Was genau ist passiert?

Zwei Sicherheitslücken wurden entdeckt, zusammen als PHP2Shell bezeichnet. Der Name ist Programm: Im schlimmsten Fall hätte ein Angreifer darüber direkten Zugriff auf den Server bekommen können. Passwörter, Kundendaten, alles was auf dem Server liegt wäre potenziell erreichbar gewesen.

Das Besondere: Die Lücken wurden von einer KI entdeckt. Nicht von einem Hacker, nicht von einem Sicherheitsforscher. Von einer KI. Das zeigt wie sich auch dieser Bereich gerade verändert.

Am 21. Oktober haben das PHP-Projekt, das BSI und die EU-Cybersicherheitsbehörde gleichzeitig Alarm geschlagen. Die Empfehlung war klar: Sofort updaten oder die Website vorsorglich offline nehmen. Viele haben Letzteres gemacht.

In Deutschland, Frankreich, Belgien und mehreren anderen Ländern gingen Regierungswebsites vom Netz. In der Schweiz traf es über 100'000 Websites. Und am 23. Oktober kam noch eine dritte Lücke dazu.

Bist du betroffen?

Kommt drauf an.

• WordPress, Drupal oder andere PHP-Systeme: Ja, potenziell. Die Frage ist ob dein Hosting-Anbieter das Update inzwischen eingespielt hat. Die meisten grossen Anbieter haben das gemacht, aber prüfen schadet nicht.

• Framer, Webflow oder ähnliches: Nein. Kein PHP, kein Problem. Das ist einer der Punkte warum ich für meine Kunden auf Framer setze.

• Statische Websites ohne serverseitigen Code: Ebenfalls nicht betroffen.

Den Unterschied zwischen Framer und WordPress erkläre ich ausführlicher in diesem Artikel.

Was musst du jetzt tun?

Wenn deine Website auf PHP läuft, hier die wichtigsten Schritte:

• PHP-Version prüfen. Sicher sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 vom 21. Oktober. Alles darunter ist verwundbar. Du findest die Version meistens im Backend deines Hosting-Anbieters.

• Hosting-Anbieter fragen. Ein kurzes Ticket oder eine E-Mail reicht. Einfach fragen ob die PHP-Sicherheitslücken PHP2Shell auf ihren Servern gepatcht sind.

• Website auf Anzeichen prüfen. Unbekannte PHP-Dateien, neue Admin-Konten die du nicht erstellt hast, geänderte Dateien im Theme. Das sind typische Hinweise dass jemand drin war.

• Passwörter erneuern. Sicherheitshalber. CMS, Hosting, Datenbank. Alles.

• Backup erstellen. Falls noch keins vorhanden ist, jetzt. Sofort.

Was du generell tun musst wenn deine Website kompromittiert wurde, steht hier.

Was bleibt von diesem Vorfall?

Ein paar Dinge die ich danach klarer sehe als vorher:

Wenn 70 Prozent des Webs auf einer einzigen Technologie basieren, reicht eine Lücke um das globale Internet ins Wanken zu bringen. Das ist keine Panikmache, das ist einfach die Realität.

Moderne Plattformen, die Hosting, Updates und Sicherheit selbst übernehmen, sind in solchen Momenten klar im Vorteil. Wer sich selbst um PHP-Updates kümmern muss, hat ein Risiko, welches andere gar nicht haben.

Und KI findet Sicherheitslücken inzwischen schneller als Menschen. Das ist gut, weil es heisst dass Lücken früher gefunden und geschlossen werden. Aber es bedeutet auch, dass Angreifer dieselbe KI nutzen können. Das Rennen läuft weiter.

Zusammenfassend

PHP2Shell war der grösste Website-Sicherheitsvorfall seit Jahren. Die Lücken sind geschlossen, die meisten Anbieter haben gepatcht. Aber wer noch nicht geprüft hat ob seine PHP-Version aktuell ist, sollte das jetzt nachholen. Und wer sowieso schon länger überlegt ob WordPress noch das Richtige ist, hat jetzt einen weiteren Grund zum Nachdenken.