PHP-Sicherheitslücke: Weißt du, wer sich um deine Website kümmert?

Seit Mittwoch, dem 21. Oktober 2026, liest man überall von einer weltweiten Sicherheitslücke, die angeblich das ganze Internet bedroht. Gemeint ist „PHP2Shell“: zwei schwere Fehler in PHP, der Software, auf der die meisten Websites laufen, darunter jede WordPress-Seite. Für dich als Unternehmer zählt dabei vor allem eine Frage: Weißt du, ob deine Website betroffen ist, und wen du fragen müsstest?

Ich habe die Meldungen sortiert und für meine Kunden geprüft. Hier steht, was wirklich passiert ist, was übertrieben ist und was du jetzt tun solltest.

Was bei der PHP-Lücke wirklich passiert ist

Über die beiden Fehler könnten Angreifer ohne Passwort eigenen Code auf einem Webserver ausführen oder dessen Speicher auslesen, in dem zum Beispiel Passwörter und Zugangsschlüssel stehen. Betroffen sind fast alle PHP-Versionen seit 2012. Die Updates gibt es seit dem Nachmittag des 21. Oktober.

Das Bundesamt für Sicherheit in der Informationstechnik warnt mit Stufe 3 „Orange“, der zweithöchsten Stufe, und empfiehlt, ungepatchte Server notfalls vom Netz zu nehmen. Genau das haben viele getan, von Behörden bis zu großen Hostern. Deshalb wirkt es gerade so, als würde das halbe Internet ausfallen.

Sicherheitsfirmen wie Cloudflare und watchTowr melden seit Mittwoch erste Angriffsversuche. Ein erfolgreicher Einbruch über die Lücke war bis Donnerstagmittag nirgends bestätigt.

Übertrieben ist dagegen einiges, was gerade geteilt wird. Für „Millionen Hackerangriffe“ gibt es keine Quelle. Und die oft genannten 500 Millionen betroffenen Websites stammen von einer WordPress-Lücke aus dem Juli.

Neu an dieser Lücke ist die Rolle der KI. Gefunden und gemeldet haben die Fehler Sicherheitsforscher, unter anderem ein KI-Sicherheitsteam von OpenAI. Die Fehler steckten über zehn Jahre im Code. Laut den Forschern hat KI eine Arbeit, für die ein Team sonst Monate gebraucht hätte, auf etwa eine Woche verkürzt. Das gilt für Verteidiger und für Angreifer gleichermaßen, wie auch t3n schreibt.

Was ich an diesem Tag selbst erlebt habe

Mein eigenes Webmail war seit Mittwochnachmittag nicht erreichbar, weil mein Hoster seine Server vorsorglich abgeschaltet und nach und nach aktualisiert hat. Meine Website lief weiter, an meine Mails kam ich nur noch über eine Mail-App auf dem Handy.

Danach habe ich die Websites von drei Kunden geprüft, mit drei verschiedenen Ergebnissen:

1. Eine Seite läuft auf WordPress, und ihr Hoster hatte das Update schon am Mittwochabend eingespielt. Sie ist abgesichert.
2. Eine Seite ist als reine HTML-Seite ohne PHP gebaut. Sie ist gar nicht betroffen.
3. Eine Seite läuft auf WordPress bei einem Hoster, der sich bis Donnerstagmittag nicht öffentlich geäußert hatte. Hier muss der Kunde selbst nachfragen.

Alle drei wussten Bescheid, bevor sie sich Sorgen machen mussten.

Die eigentliche Frage: Wer schaut nach deiner Seite?

Die PHP-Lücke ist der Anlass, das eigentliche Thema liegt eine Ebene tiefer. Viele Unternehmer lassen ihre Website einmal bauen und gehen danach davon aus, dass sie einfach läuft. Wenn dann eine Meldung wie diese durch die Nachrichten geht, fehlen drei Antworten:

1. Worauf läuft meine Seite: WordPress, ein Baukasten oder reines HTML?
2. Wer ist mein Hoster, und was sagt er zu der Lücke?
3. Wer kümmert sich, wenn etwas zu tun ist: ich selbst, meine Agentur oder niemand?

Wenn du eine dieser Fragen heute nicht beantworten kannst, hast du deinen blinden Fleck gefunden. Die nächste Lücke kommt bestimmt, und mit KI werden alte Fehler schneller entdeckt als bisher.

Was du jetzt konkret tun solltest

1. Finde heraus, ob deine Seite auf WordPress oder einem anderen PHP-System läuft. Ein schneller Hinweis: Endet die Adresse deines Anmeldebereichs auf /wp-admin, ist es WordPress.
2. Schau auf der Website oder der Statusseite deines Hosters nach, ob er das PHP-Update eingespielt hat. Steht dort nichts, frag per Mail nach.
3. Sobald dein Hoster das Update bestätigt, setzt du die Passwörter für dein Website-Backend und für hinterlegte Zugangsschlüssel neu. Das ist reine Vorsicht, weil die Lücke Speicher auslesen konnte.
4. Halte WordPress, Theme und Plugins aktuell und sorge für eine funktionierende Datensicherung. Diese Lücke schließt du damit allein nicht, viele andere schon.
5. Lege schriftlich fest, wer bei der nächsten Meldung für deine Seite zuständig ist, und speichere dir die Kontaktdaten deines Hosters.

Eine Website ist ein laufendes System. Sicher ist sie dann, wenn jemand weiß, worauf sie läuft, und nachschaut, sobald die Nachrichten laut werden.

Häufige Fragen

Ist meine WordPress-Seite von PHP2Shell betroffen?

Jede WordPress-Seite läuft auf PHP. Ob sie angreifbar ist, hängt davon ab, ob dein Hoster das Update eingespielt hat. Viele große Hoster haben das am 21. und 22. Oktober 2026 erledigt oder sind gerade dabei.

Reicht ein WordPress-Update gegen die Lücke?

Ein WordPress-Update reicht hier allein nicht, weil der Fehler in PHP selbst steckt, also eine Ebene unter WordPress. Das Update muss auf dem Server eingespielt werden, bei normalem Webhosting macht das dein Hoster.

Muss ich meine Website jetzt vom Netz nehmen?

Das BSI empfiehlt das für Server, die sich nicht zeitnah aktualisieren lassen. Wenn du ein normales Webhosting-Paket nutzt, entscheidet und patcht dein Hoster. Frag ihn nach dem Stand.

Hat KI die Sicherheitslücke verursacht?

Die Fehler steckten über zehn Jahre im Code von PHP. KI hat Sicherheitsforschern geholfen, ihre Tragweite nachzuweisen, und das Team von Google Gemini hat an der Behebung mitgearbeitet. Sie macht solche Lücken aber auch für Angreifer schneller ausnutzbar.

Stand: 22.10.2026, 13 Uhr. Quellen: BSI-Cybersicherheitswarnung · The Hacker News · t3n · Börse Express (wp2shell)