PHP2Shell: Kritische Sicherheitslücken in PHP – was Websitebetreiber jetzt tun sollten

Stand: 21. Oktober 2026

Die gemeldeten Sicherheitslücken mit dem Namen PHP2Shell betreffen potenziell sehr viele Websites. Besonders wichtig ist die Meldung für Betreiber von WordPress-Websites, Onlineshops und anderen Internetseiten, die PHP verwenden.

Die gute Nachricht: Wer einen normalen Webhosting-Vertrag hat, muss die Sicherheitslücke in der Regel nicht selbst reparieren. Allerdings sollte jeder Websitebetreiber überprüfen, ob sein Anbieter bereits reagiert hat.

1. Was ist passiert?

In der Programmiersprache PHP wurden zwei besonders gefährliche Sicherheitslücken entdeckt.

PHP ist eine Technik, die im Hintergrund vieler Websites arbeitet. Sie wird beispielsweise von WordPress, Joomla, TYPO3 und zahlreichen Onlineshops verwendet.

Die Sicherheitslücken können es Angreifern ermöglichen:

• In eine Website einzudringen, ohne das Passwort zu kennen.

• Vertrauliche Daten wie Passwörter oder Kundendaten auszulesen.

• Schadprogramme auf dem Server auszuführen.

• Websites zu verändern oder für kriminelle Zwecke zu missbrauchen.

• Den Betrieb einer Website zu stören.

Die Sicherheitslücken werden mit 9,2 von 10 Punkten bewertet. Das bedeutet: Sie sind außerordentlich gefährlich.

Sicherheitsupdates wurden am 21. Oktober 2026 veröffentlicht.

Wichtig: Auch eine kleine private Website oder Vereinswebsite kann betroffen sein. Es spielt keine Rolle, ob die Website viele Besucher hat.

3. Welche Maßnahmen sind erforderlich?

Hier kommt es vor allem darauf an, welche Art von Hosting verwendet wird.

4. Welche PHP-Versionen sind sicher?

Nach Angaben der Sicherheitsforscher wurden folgende Versionen veröffentlicht, die die Sicherheitslücken schließen:

5. Was schützt nicht ausreichend?

Einige Maßnahmen sind zwar grundsätzlich sinnvoll, reichen aber bei PHP2Shell nicht aus.

• WordPress aktualisieren: Ein aktuelles WordPress allein behebt die Sicherheitslücke nicht, da sie in PHP selbst steckt.

• Plugins aktualisieren: Auch das beseitigt die PHP-Schwachstellen nicht.

• Eine Firewall einsetzen: Spezielle Schutzfilter können Angriffe abwehren, ersetzen aber kein PHP-Update.

• Eine Datensicherung erstellen: Das hilft bei der Wiederherstellung, verhindert aber keinen Angriff.

Wenn der Hostinganbieter oder Serveradministrator die Sicherheitslücke nicht kurzfristig schließen kann, sollten zusätzliche Schutzmaßnahmen geprüft werden.

Bei besonders gefährdeten Websites, beispielsweise Onlineshops mit Kundendaten, kann es sinnvoll sein, die Website vorübergehend vom Internet zu nehmen, bis sie abgesichert ist.

Wichtig: Ein normaler Wartungsmodus von WordPress bietet dabei keinen zuverlässigen Schutz. Der Zugriff muss bereits auf Serverebene unterbunden werden.

7. Checkliste für Websitebetreiber

8. Musteranfrage an Ihren Hostinganbieter

Wenn Sie nicht wissen, ob Ihr Webhosting bereits abgesichert ist, können Sie folgende Nachricht verwenden:

Fazit

Für die meisten Betreiber einer Website auf normalem Shared Webspace gilt: Sie müssen nicht selbst an den Servereinstellungen arbeiten. Wichtig ist aber, dass Ihr Hostinganbieter das Sicherheitsupdate installiert hat und Ihre Website tatsächlich eine abgesicherte PHP-Version verwendet.

Wer einen eigenen Server gemietet hat oder selbst betreibt, muss aktiv werden. Hier ist unverzüglich sicherzustellen, dass alle betroffenen PHP-Installationen aktualisiert und die erforderlichen Serverdienste neu gestartet werden.

Die Sicherheitslücke ist ernst zu nehmen. Es besteht jedoch kein Grund zur Panik, wenn die erforderlichen Updates zeitnah und vollständig durchgeführt werden.

Weiterführende Informationen: PHP2Shell – Informationen der Sicherheitsforscher und Cloudflare – Schutzmaßnahmen gegen PHP2Shell

Google has officially re-entered the leading tier of artificial intelligence with the release of its Gemini 4 Argon model. Designed for complex problem solving, this new system excels across professional benchmarks in finance, law, and coding.

One of its most striking features is an output token limit of one million tokens, which allows for massive text generation that far exceeds industry standards. The model also powers Google's anti-gravity coding platform and delivers impressive performance in creating 3D printable files and playable applications. Furthermore, Google showcased its versatility by using the model in robotics to teach a machine how to play cornhole through visual learning.

While the model competes directly with offerings from Anthropic and OpenAI in terms of capability and pricing, Google holds a massive advantage. By integrating this intelligence into its ubiquitous global ecosystem, Google can instantly deploy top-tier AI to hundreds of millions of users.

F.W. Murnau und Robert Flaherty schufen ein Meisterwerk, das dramatisches Erzählen gekonnt mit ethnografischer Beobachtung verbindet. Vor der atemberaubenden Kulisse der Südsee folgt die Handlung zwei jungen Liebenden, die es wagen, kulturelle Gesetze herauszufordern. Ihre Flucht vor heiligen Verboten verdeutlicht den universellen Konflikt zwischen persönlichem Begehren und gesellschaftlicher Autorität.

The BBC documentary Tones, Drones and Arpeggios: The Magic of Minimalism shows that minimalism did not begin simply by removing musical ideas; it began by changing what listeners considered an idea in the first place. In its California episode, La Monte Young stretches notes until time itself becomes musical material, while the experimental freedom associated with John Cage opens the door to treating duration, silence, environment, and perception as fundamental parts of composition.

The documentary also shows how Terry Riley transformed repetition and technology into a new kind of listening, using tape loops to expose changing details inside apparently identical sounds and, with In C, giving musicians strict shared rules while leaving remarkable freedom over how the music unfolds. The result is simultaneously spiritual, technological, and social: Indian classical music encourages an experience of time as cyclical rather than linear, while these minimalist ideas eventually travel from experimental studios into the Velvet Underground, The Who, Mike Oldfield, and the phasing techniques that Steve Reich would develop further.