PHP Sicherheitslücke PHP2Shell: Warum deine Website jetzt mehr braucht als Glück

Mittwoch, 21. Oktober 2026, 16 Uhr. Während die meisten gerade ihren Nachmittagskaffee getrunken haben, lief in Hosting-Zentren in ganz Deutschland der Alarm. Die Charité in Berlin, die Uni Mainz und die Ruhr-Universität Bochum haben ihre Websites vorsorglich vom Netz genommen. Hoster haben Funktionen abgeschaltet, Uploads gesperrt und Server im Akkord gepatcht.

Der Grund hat einen Namen, der nach Science-Fiction klingt: PHP2Shell. Und er betrifft nicht nur große Institutionen. Er betrifft ziemlich sicher auch deine Website.

Ich bin Denise, Projektmanagerin und Webdesignerin bei der Oyster Agency. Ich kümmere mich jeden Tag um Websites von Versicherungsmaklern, Finanzberatern und Kanzleien. Und ich sag’s dir ganz ehrlich: In den letzten Monaten hatte ich mehr Hackerangriffe auf dem Tisch als in den vier Jahren davor zusammen. Zeit für Klartext.

Was ist PHP2Shell? Die PHP Sicherheitslücke einfach erklärt

PHP ist die Programmiersprache, auf der ein riesiger Teil des Internets läuft. WordPress, Onlineshops, Kontaktformulare: Unter der Haube arbeitet fast immer PHP. Stell es dir vor wie das Fundament deines Hauses. Du siehst es nie, aber alles steht darauf.

Genau in diesem Fundament wurden zwei kritische Lücken gefunden (CVE-2026-109618 und CVE-2026-109619). Auf der offiziellen Gefahrenskala von 0 bis 10 landen beide bei 9,2. Das bedeutet: Angreifer können im schlimmsten Fall aus der Ferne eigenen Code auf dem Server ausführen. Übersetzt heißt das: Jemand Fremdes bekommt den Generalschlüssel zu deinem Haus.

Das Brisante daran:

• Die Details sind vorzeitig durchgesickert, also bevor überhaupt ein Update verfügbar war.
• Das BSI hat damit gerechnet, dass die Lücken innerhalb weniger Stunden nach dem Update großflächig ausgenutzt werden.
• Laut Berichten sind vor allem kleine Unternehmen und Selbstständige gefährdet, weil ihnen die technischen Ressourcen fehlen.

Das PHP-Team hat am 21. Oktober 2026 die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Klingt erstmal beruhigend. Ist es aber nur, wenn deine Website auch auf einer dieser Versionen läuft.

Ist meine WordPress Website von der PHP Sicherheitslücke betroffen?

Kurze Antwort: Wenn deine Website mit WordPress läuft, lautet die Antwort sehr wahrscheinlich ja. Die Lücke steckt in PHP selbst und damit unter fast jeder WordPress Website.

Die längere Antwort entscheidet darüber, wie gut du heute Nacht schläfst:

• Dein Hoster hat PHP aktualisiert und deine Website läuft auf einer aktuellen Version? Dann bist du gegen PHP2Shell geschützt. Glückwunsch, für dieses Mal.
• Deine Website läuft noch auf PHP 8.1 oder älter? Dann wird es ungemütlich. Für diese Versionen gibt es vom PHP-Projekt kein Update mehr. Die Tür bleibt offen.
• Du hast keine Ahnung, welche PHP Version deine Website nutzt? Damit bist du in bester Gesellschaft. Und genau das ist das Problem.

Denn hier kommt der Haken, den viele nicht auf dem Schirm haben: Eine alte Website lässt sich oft gar nicht einfach auf eine neue PHP Version umstellen. Veraltete Themes und Plugins brechen dann zusammen. Die Seite zeigt nur noch Fehlermeldungen oder eine weiße Fläche. Viele Websites hängen deshalb jahrelang auf alten PHP Versionen fest. Und genau die sind jetzt das leichteste Ziel.

Hacker mit KI: Warum Angriffe auf Websites jetzt schneller und gefährlicher werden

Jetzt wird es spannend. Und ein bisschen gruselig.

PHP2Shell wurde laut BSI unter anderem mit Beteiligung von OpenAI entdeckt, also dem Unternehmen hinter ChatGPT. Künstliche Intelligenz durchsucht Code inzwischen in einem Tempo nach Schwachstellen, bei dem kein Mensch mehr mitkommt. Für Sicherheitsforscher ist das großartig.

Der Haken: Die gleiche Technik steht auch den Bösen zur Verfügung.

Früher brauchte ein Angreifer Fachwissen, Zeit und Geduld. Heute reicht oft ein KI-Werkzeug, das automatisch tausende Websites abklappert und gezielt nach offenen Türen sucht. Rund um die Uhr. Ohne Kaffeepause. Ohne schlechtes Gewissen.

Was das für dich bedeutet:

• Die Zeit zwischen „Lücke bekannt“ und „Lücke ausgenutzt“ schrumpft. Früher waren es Wochen, heute oft Stunden.
• Niemand ist mehr „zu klein, um interessant zu sein“. Die Bots unterscheiden nicht zwischen Konzern und Maklerbüro. Sie suchen einfach alles ab, was erreichbar ist.
• Es gibt mehr Lücken als je zuvor. Wenn KI schneller Schwachstellen findet, kommen auch schneller neue Sicherheitswarnungen. Für veraltete Websites ist das wie ein Dauerregen ohne Dach.

„Mich hackt doch keiner, ich bin ja nur ein kleines Büro“ war schon immer ein Irrtum. Heute ist er ein teurer.

Website gehackt: Was das für Makler, Finanzberater und Kanzleien wirklich bedeutet

Ein Hack ist nicht einfach „die Website ist mal kurz weg“. Für deine Branche ist er ein Dominoeffekt:

• Deine Leads brechen ein. Wenn deine Website deine stärkste Anfragequelle ist, fließt ab der ersten Minute kein Neugeschäft mehr rein.
• Dein Vertrauen bekommt Risse. Deine Kunden vertrauen dir ihre Altersvorsorge, ihre Versicherungen oder ihren Rechtsstreit an. Eine Website, die nicht erreichbar ist oder plötzlich Spam zeigt, sagt ihnen das Gegenteil von „hier bist du in sicheren Händen“.
• Google warnt vor dir. Infizierte Seiten bekommen schnell den Hinweis „Diese Website wurde möglicherweise gehackt“. Wer klickt da noch drauf? Deine mühsam aufgebauten Rankings sind dann schneller weg, als du „Suchmaschinenoptimierung“ sagen kannst.
• Deine E-Mails landen im Spam. Gehackte Server werden gerne zum Spam-Versand missbraucht. Danach landet deine Domain auf Sperrlisten, und deine Angebote kommen beim Kunden nicht mehr an.
• Die DSGVO klopft an. Über deine Kontaktformulare laufen sensible Daten. Die DSGVO verlangt Schutz nach dem Stand der Technik. Werden Daten abgegriffen, musst du die Datenpanne in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde melden. Eine Website ohne Updates ist so ziemlich das Gegenteil von „Stand der Technik“.

Kurz gesagt: Ein Hack kostet dich nicht nur Geld. Er kostet dich das Wertvollste, was du in deiner Branche hast. Vertrauen.

Aus unserem Alltag: Mehr Hackerangriffe als in den letzten vier Jahren zusammen

Genug Theorie. So sieht das in der Praxis aus.

Fall 1: „Updates? Brauchen wir nicht.“

Ein Kunde hatte sich gegen einen Wartungsvertrag entschieden. Zu teuer, läuft doch. Entsprechend wurden keine Updates gemacht. Dann kam die letzte große Sicherheitslücke in WordPress. Die Website wurde infiziert und war am Ende komplett weg.

Wir konnten sie retten, über Umwege beim Hoster. Das ging aber nur, weil wir den Angriff rechtzeitig bemerkt haben. Dieser Hoster bewahrt Backups nämlich nur kurz auf. Ein paar Tage später, und es hätte nichts mehr zum Wiederherstellen gegeben.

Der Schaden war trotzdem groß. Mehrere Tage keine Website. Und weil die Website seine stärkste Anfragequelle war, sind Leads und Umsatz in dieser Zeit eingebrochen. Dazu kommen alle Interessenten, die in diesen Tagen vor einer kaputten Seite standen. Die sind nicht nur weg. Die erzählen es weiter.

Fall 2: Gestern, während PHP2Shell

Am 21. Oktober waren auch einige Websites unserer Wartungskunden für mehrere Stunden offline. Nicht wegen eines Hacks, sondern weil die Hoster aus Sicherheitsgründen Funktionen abgeschaltet hatten. Völlig richtig von ihnen.

Der Unterschied: Wir haben das in Echtzeit gesehen. Wir wussten, was los ist, wir waren mit unseren Kunden im Kontakt und konnten erklären, dass alles unter Kontrolle ist. Niemand musste panisch beim Hoster anrufen oder um Mitternacht in Foren nach Antworten suchen. Genau dafür gibt es Wartung: nicht nur Technik, sondern auch jemanden, der den Überblick behält, wenn es draußen stürmt.

Ein Rechenbeispiel: Was ein Hack wirklich kostet

Nehmen wir einen Finanzberater, dessen Website rund 15 Anfragen im Monat bringt. Die Website ist fünf Jahre alt, läuft auf einer veralteten PHP Version, Updates gab es seit zwei Jahren keine. Eines Morgens ruft ein Bestandskunde an: „Auf deiner Seite stehen komische Werbelinks für Potenzmittel.“

Posten	Aufwand	Kosten
Schadcode finden und entfernen	ca. 8 Stunden	1.200 €
Neue Zugänge, Prüfung aller Benutzer, Absicherung	ca. 3 Stunden	450 €
Google-Warnung entfernen lassen, Spam-Seiten aus dem Index	ca. 2 Stunden	300 €
Eine Woche ohne Anfragen	ca. 4 verlorene Anfragen	je nach Abschluss schnell mehrere tausend Euro
Summe direkt	ca. 13 Stunden	1.950 € plus verlorenes Geschäft

Und jetzt der böse Teil: Weil die Website so alt ist, läuft sie auf aktuellem PHP gar nicht mehr. Die nächste Lücke kommt bestimmt. Am Ende steht trotzdem ein Relaunch an. Nur eben unter Zeitdruck und nachdem das Geld für die Feuerwehr schon weg ist.

WordPress Wartungsvertrag: Warum Updates allein keine Sicherheit sind

„Updates klicke ich doch selbst, da ist ja so ein Button.“ Höre ich oft. Und ja, den Button gibt es. Aber Wartung ist ungefähr so sehr „auf einen Button klicken“, wie Autofahren „aufs Gaspedal treten“ ist.

Was dabei wirklich passiert:

• Updates müssen zusammenpassen. WordPress, Theme, Plugins und PHP sind wie ein Orchester. Ein falsches Update zur falschen Zeit, und plötzlich spielt keiner mehr im Takt. Formulare senden nicht mehr, Seiten brechen, das Layout zerfällt.
• Jemand muss hinschauen, bevor es knallt. Sicherheitswarnungen erscheinen täglich. Die entscheidende Frage ist: Betrifft das deine Website, und wie schnell muss gehandelt werden?
• Jemand muss merken, wenn die Seite weg ist. Nicht erst, wenn ein Kunde anruft. Sondern sofort.
• Jemand muss wissen, was zu tun ist. Im Ernstfall zählt jede Stunde. Wer dann erst googeln muss, hat schon verloren.

Was kostet ein WordPress Wartungsvertrag?

Bei uns kostet die Wartung 150 € im Monat. Ich weiß, das klingt erstmal nach einer Menge. Also röseln wir das mal auf:

• 150 € im Monat sind rund 5 € am Tag. Das ist weniger als dein Cappuccino beim Bäcker.
• 150 € sind genau eine einzige Arbeitsstunde von uns. Eine Hack-Bereinigung dauert schnell 10 bis 15 Stunden, das sind 1.500 bis 2.250 €. Du rechnest selbst.
• 1.800 € im Jahr sind für einen Makler oder Finanzberater oft weniger als ein einziger Neukunde wert ist, der über die Website kommt.
• Dein Auto bringst du zum TÜV und zur Inspektion, obwohl es gerade fährt. Deine Website arbeitet 24 Stunden am Tag für dein Neugeschäft. Warum sollte sie weniger Pflege verdienen?

Wartung ist keine Ausgabe. Sie ist die günstigste Versicherung, die du für dein wichtigstes Vertriebsinstrument abschließen kannst. Und wem erkläre ich das? Du verkaufst schließlich Absicherung.

Wenn Wartung nicht mehr reicht: Warum eine alte Website einen Relaunch braucht

Jetzt kommt ein Satz, den du von einer Agentur vielleicht nicht erwartest: Wir nehmen nicht jede Website in die Wartung.

Klingt komisch? Ist aber ehrlich. Eine Website, die seit Jahren keine Updates gesehen hat, auf veraltetem PHP läuft und mit einem Flickenteppich aus Plugins zusammengehalten wird, lässt sich nicht einfach „warten“. Das ist, als würdest du bei einem Haus mit morschem Fundament die Fenster putzen. Sieht kurz hübsch aus. Löst aber nichts.

Bei solchen Websites passiert Folgendes:

• Jedes Update kann die Seite zerlegen, weil die alten Bausteine nicht mehr zusammenpassen.
• Ein Wechsel auf eine sichere PHP Version ist ohne großen Umbau nicht möglich.
• Du zahlst für Wartung und bist trotzdem nicht sicher. Das ist rausgeschmissenes Geld, und das wollen wir dir nicht verkaufen.

Deshalb betreuen wir nur Websites, die wir selbst mit einem modernen, schlanken und sauber aufgebauten System entwickelt haben. Da wissen wir genau, was drinsteckt, und können Verantwortung übernehmen.

Ist deine Website in die Jahre gekommen, ist ein Website Relaunch oft die bessere Investition. Und mal ehrlich: Wenn sie technisch veraltet ist, ist sie es meist auch optisch und inhaltlich. Ein Relaunch macht deine Website also nicht nur sicherer, sondern auch schneller, besser bei Google und überzeugender für deine Interessenten. Mehr zu unseren Websites

So kümmern wir uns um deine Website

Du musst kein IT-Experte werden. Dafür gibt es uns. Bei unseren Wartungskunden sieht das so aus:

• Zentrale Verwaltung: Alle Websites laufen bei uns in einem professionellen Verwaltungssystem zusammen. Wir sehen auf einen Blick, wo etwas zu tun ist.
• Regelmäßige Updates: Geprüft, abgestimmt und mit Blick darauf, dass danach noch alles läuft.
• Regelmäßige Backups: Wir sichern deine Website regelmäßig mit eigenen Backups, statt uns allein auf den Hoster zu verlassen. Geht doch mal etwas schief, holen wir sie zurück. Ohne Zittern, ob der Hoster noch eine Kopie hat.
• Monitoring rund um die Uhr: Geht deine Website offline, wissen wir es, bevor dein erster Interessent es merkt.
• Ein Team, das den Überblick behält: Wenn es wie bei PHP2Shell draußen stürmt, sind wir im Kontakt mit dir und deinem Hoster. Du kannst in Ruhe weiterarbeiten.

Warum das Profis machen sollten? Weil es nicht darum geht, einmal im Monat einen Button zu drücken. Es geht um Erfahrung, Routine und darum, im Ernstfall in Minuten statt in Tagen zu reagieren. Du lässt deine Steuererklärung ja auch nicht vom Praktikanten machen, nur weil es ELSTER gibt.

Fazit: Die nächste PHP Sicherheitslücke kommt bestimmt

PHP2Shell war kein Einzelfall. Es war ein Vorgeschmack. Mit KI werden Lücken schneller gefunden und schneller ausgenutzt. Die Frage ist nicht mehr, ob deine Website angegriffen wird, sondern ob dann jemand da ist, der aufpasst.

Du hast zwei Möglichkeiten: Du hoffst, dass es dich nicht trifft. Oder du sorgst dafür, dass es dir egal sein kann.