Am 21. Oktober 2026 wurden zwei schwere Sicherheitslücken in PHP bekannt, genannt „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). Angreifer können damit ohne Passwort Schadcode auf Webservern ausführen und Websites übernehmen.

Alle Websites, die mit PHP laufen und noch nicht aktualisiert wurden. Dazu gehören die meisten Seiten mit WordPress, Joomla, TYPO3, Drupal, Shopware oder PrestaShop.

Was muss ich jetzt tun?

Fragen Sie Ihren Hoster oder Webentwickler, ob PHP aktualisiert wurde. Sicher sind PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 und neuer. Für PHP 8.1 und älter gibt es kein offizielles Update mehr.

Aktuell: PHP2Shell

Ist Ihre Website von der PHP-Lücke betroffen?

Der kostenlose Schnell-Check zeigt in wenigen Sekunden, ob Ihre Website mit PHP läuft und was jetzt zu tun ist.

PHP2Shell in drei Sätzen (Stand: 22. Oktober 2026)

Was ist passiert?: Am 21. Oktober 2026 wurden zwei schwere Sicherheitslücken in PHP bekannt, genannt „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). Angreifer können damit ohne Passwort Schadcode auf Webservern ausführen und Websites übernehmen.
Wer ist betroffen?: Alle Websites, die mit PHP laufen und noch nicht aktualisiert wurden. Dazu gehören die meisten Seiten mit WordPress, Joomla, TYPO3, Drupal, Shopware oder PrestaShop.
Was muss ich jetzt tun?: Fragen Sie Ihren Hoster oder Webentwickler, ob PHP aktualisiert wurde. Sicher sind PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 und neuer. Für PHP 8.1 und älter gibt es kein offizielles Update mehr.

Darüber berichtet die Presse

Millionen Angriffe nach Veröffentlichung schwerer PHP-Lücken (Der Standard, 22. Oktober 2026)
Angriffe in Millionenhöhe, teils schon vor der offiziellen Veröffentlichung. Gefährdet sind Server ohne Update.
Was heißt das für Sie? Angreifer warten nicht. Wer PHP noch nicht aktualisiert hat, sollte das heute erledigen lassen, nicht erst nächste Woche.
Kinobetreiber Cineplexx nahm Website vom Netz (Kronen Zeitung, 22. Oktober 2026)
Auch österreichische Unternehmen gehen auf Nummer sicher.
Was heißt das für Sie? Wenn selbst große Firmen vorsorglich offline gehen, sollten auch KMU heute bei ihrem Hoster nachfragen, ob PHP aktualisiert ist.
Zahlreiche Websites nach Entdeckung von Sicherheitslücke eingeschränkt (DIE ZEIT, 22. Oktober 2026)
Auch in Deutschland sind viele Websites eingeschränkt oder offline.
Was heißt das für Sie? Auch Krankenhäuser und Behörden sind betroffen. Die Lücke trifft jede Branche, nicht nur IT-Firmen.
PHP2Shell: KI-Modelle fanden die Mega-Sicherheitslücke (Trending Topics, 21. Oktober 2026)
Wie die Lücken mit Hilfe von KI entdeckt wurden und warum viele Websites in Österreich offline gingen.
Was heißt das für Sie? KI hilft beim Finden von Lücken, auch Angreifern. Sicher bleibt, wer laufend aktualisiert oder gar kein PHP mehr auf dem Server hat.
Gravierende PHP-Sicherheitslücke bedroht Millionen Webseiten (SRF, 21. Oktober 2026)
Auch in der Schweiz gingen Websites vorsorglich offline. Das Update gibt es nur für PHP 8.2 bis 8.5.
Was heißt das für Sie? Für PHP 8.1 und älter gibt es kein Update. Läuft Ihre Website noch darauf, muss sie umgestellt oder neu gebaut werden.
NÖN, OTS und weitere NÖ Websites offline (MeinBezirk, 21. Oktober 2026)
In Niederösterreich gingen unter anderem die NÖN und der Presseaussendungs-Dienst OTS vorsorglich vom Netz.
Was heißt das für Sie? Auch regionale Anbieter sind betroffen. Größe oder Bekanntheit schützt nicht.
php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP (heise online, 21. Oktober 2026)
Fachmedium für IT: Beide Lücken stecken in der Speicherverwaltung von PHP. Betroffen sind Versionen bis zurück zu PHP 5.
Was heißt das für Sie? Ein WordPress- oder Plugin-Update hilft nicht. Das Update muss Ihr Hoster auf dem Server einspielen.
„PHP2Shell“: Sicherheitslücken bedrohen Websites (ORF, 21. Oktober 2026)
CERT.at warnt. Uni Wien, TU Wien und die NÖN haben ihre Websites vorübergehend vom Netz genommen.
Was heißt das für Sie? Wenn CERT.at warnt, ist es ernst. Der Schnell-Check oben zeigt in Sekunden, ob Ihre Website mit PHP läuft.

Erklärvideos

PHP2Shell - Pflichtvideo für Admins: So kannst Du dich in Zukunft besser schützen (YouTube, Linux Guides)
Auf Deutsch: wie man prüft, ob ein Server betroffen ist, und die Lücke schließt.
php2shell What to do: Are You Affected and How to Patch Fast (YouTube, Aikido Security)
Auf Englisch: kurze Anleitung, wie man die Betroffenheit prüft und schnell aktualisiert.
PHP2Shell Explained: The Vulnerabilities, the Risk, and Remediation (YouTube, Sonatype)
Auf Englisch: was die beiden Lücken sind, wie groß das Risiko ist und wie man sie behebt.
PHP2Shell Explained: The PHP Bug That Put 70% of Websites at Risk (YouTube, SimplyExplain)
Auf Englisch und einfach erklärt. Räumt auch mit übertriebenen Schlagzeilen auf.

Zwei Wege, aber nur einer davon ist nachhaltig.

Kurzfristig: PHP aktualisieren

Schließt diese Lücke. Aber PHP, WordPress und jedes Plugin brauchen laufend Updates. Wer das nicht dauerhaft erledigt, ist bei der nächsten Lücke wieder betroffen.

Nachhaltig: Neue Website ohne PHP

Ihre Website wird vorab fertig gebaut und als einfache Dateien ausgeliefert. Auf dem Server läuft kein Programm, das Angreifer ausnutzen können. Keine PHP-Updates, keine Plugins.

Kein PHP, keine Plugins, nichts zum Nachpatchen
Lädt deutlich schneller
Für Google und KI-Suchen wie ChatGPT optimiert
Ihre Inhalte und Ihre Webadresse bleiben
Texte selbst ändern über ein einfaches Redaktionssystem
Kontaktformular funktioniert weiterhin

In drei Schritten zur Website ohne PHP

Schnell-Check: Kostenlos, hier oben auf der Seite. Sie sehen sofort, ob Ihre Website mit PHP läuft.
Gespräch und Angebot: 15 Minuten mit Markus, den Termin buchen Sie direkt online. Danach bekommen Sie ein unverbindliches Angebot.
Neue Website geht online: Wir übernehmen Inhalte und Umzug. Alte Links leiten wir weiter, damit Ihre Google-Platzierung erhalten bleibt.

Weiterlesen

Häufige Fragen

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619), die am 21. Oktober 2026 veröffentlicht wurden. Angreifer können damit ohne Anmeldung eigenen Code auf dem Webserver ausführen.

Wie finde ich heraus, ob meine Website betroffen ist?

Mit unserem Schnell-Check oben auf dieser Seite. Er zeigt, ob Ihre Website Hinweise auf PHP hat und ob eine veraltete Version sichtbar ist. Sicherheit gibt Ihnen am Ende Ihr Hoster: Fragen Sie, ob das PHP2Shell-Update eingespielt ist.

Welche PHP-Versionen sind sicher?

PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 und neuer. PHP 8.1 und ältere Versionen bekommen keine offiziellen Updates mehr und sollten ersetzt werden.

Reicht es nicht, PHP zu aktualisieren?

Für diese Lücke ja. Eine PHP-Website braucht aber laufend Updates: PHP selbst, das CMS und jedes Plugin. Eine Website ohne PHP hat dieses Problem nicht.

Was bedeutet „Website ohne PHP“?

Die Seiten werden vorab fertig gebaut und als einfache Dateien ausgeliefert, ähnlich wie ein PDF. Auf dem Server läuft kein PHP und kein CMS, das man angreifen könnte. So ist auch joize.at gebaut.

Kann ich die Texte dann noch selbst ändern?

Ja. Sie bekommen ein einfaches Online-Redaktionssystem. Es läuft getrennt von Ihrer Website, deshalb ist es kein Einfallstor.

Verliere ich meine Google-Platzierung?

Nein. Ihre Webadresse bleibt gleich, und alte Links leiten wir auf die neuen Seiten weiter. Meist wird die Platzierung sogar besser, weil die Seite schneller lädt.

Ist der Schnell-Check erlaubt und sicher?

Ja. Wir rufen nur Ihre Startseite einmal ab, wie ein normaler Besucher, und werten aus, was öffentlich sichtbar ist. Wir greifen nichts an und ändern nichts.

Kontakt

Lieber gleich sprechen? 15 Minuten mit Markus. Kostenlos und unverbindlich. Wählen Sie einfach einen freien Termin. Termin buchen (Markus Bruckgraber, Co-Founder)

Joize FlexCo, Vorarlberg. E-Mail: hello@joize.at