Stand: 21. Oktober 2026. Gerade sind in ganz Deutschland viele Websites kurz offline, auch Seiten von Behörden und Kommunen. Der Grund ist eine kritische Sicherheitslücke in PHP, der Programmiersprache hinter WordPress und vielen anderen Systemen. Hier erfährst du ohne Fachchinesisch, was passiert ist, ob deine Website betroffen sein kann und was du heute erledigen solltest.
Das Wichtigste in Kürze
- Zwei kritische Lücken in PHP (CVE-2026-109618 und CVE-2026-109619, Spitzname „php2shell“) erlauben Angriffe aus dem Internet, ohne dass sich jemand anmelden muss.
- Betroffen sein kann jede Website, die auf PHP läuft, zum Beispiel WordPress, WooCommerce, Joomla, TYPO3, Shopware oder Contao.
- Seit dem 21. Oktober gibt es Updates: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
- Wenn deine Seite gerade offline ist, hat dein Hoster sie meist vorsorglich vom Netz genommen. Das ist verantwortungsvoll und kein Grund zur Panik.
Was ist php2shell?
PHP ist eine Programmiersprache, die auf dem Server läuft und Websites erzeugt. Ein großer Teil aller Websites weltweit nutzt sie, allen voran WordPress. Am 21. Oktober 2026 hat das PHP-Projekt zwei Sicherheitslücken geschlossen, die beide mit 9,2 von 10 Punkten als kritisch bewertet sind.
Das Gefährliche daran: Ein Angreifer kann mit einer präparierten Anfrage unter Umständen eigenen Code auf dem Server ausführen, also die Kontrolle über deine Website übernehmen. Dafür braucht er weder ein Passwort noch ein Benutzerkonto. Die offizielle Sicherheitsmeldung von PHP beschreibt genau das.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt, dass nach aktuellem Stand alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar sind. Es rechnet damit, dass Angreifer die Lücken sehr schnell ausnutzen.
Warum sind gerade so viele Websites offline?
Die EU-Cybersicherheitsstelle CERT-EU rät: Wer nicht sofort aktualisieren kann, soll betroffene Anwendungen vom öffentlichen Netz trennen, bis das Update eingespielt und geprüft ist. Genau das haben mehrere große Hoster getan. Sie haben PHP-Seiten vorübergehend abgeschaltet, um ihre Kundschaft zu schützen.
Für dich heißt das: Wenn deine Seite gerade die Fehlermeldung 503 (vorübergehend nicht erreichbar) zeigt, ist sie sehr wahrscheinlich nicht gehackt. Sie ist geschützt und kommt zurück, sobald dein Hoster PHP aktualisiert hat.
Ist meine Website betroffen?
Das kannst du in wenigen Minuten herausfinden:
- Welches System nutzt deine Website? WordPress, WooCommerce, Joomla, TYPO3, Shopware, Contao, Magento und viele Foren- oder Wiki-Systeme laufen auf PHP. Auch selbst programmierte Seiten mit Dateien, die auf .php enden, gehören dazu.
- Welche PHP-Version läuft? Bei WordPress findest du sie unter Werkzeuge → Website-Zustand → Bericht → Server. Bei den meisten Hostern steht sie auch im Kundenbereich unter PHP-Einstellungen.
- Ist sie aktuell? Sicher sind nur PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer. PHP 8.1 und älter bekommt vom PHP-Projekt keine Updates mehr.
5 Schritte, die du heute erledigen solltest
- Hoster fragen: Ist PHP auf meinem Paket schon aktualisiert? Viele Hoster informieren per Mail oder auf ihrer Statusseite.
- WordPress und Plugins updaten: Spiel alle Updates für WordPress, Theme und Plugins ein, sobald deine Seite wieder erreichbar ist.
- Ungenutzte Plugins löschen: Was du nicht brauchst, kann auch keine Lücke haben. Deaktivieren reicht nicht, lösche sie.
- Backup prüfen: Gibt es eine aktuelle Sicherung von Dateien und Datenbank? Liegt sie außerhalb des Servers?
- Passwörter ändern und 2-Faktor einschalten: Für den Admin-Zugang, den Hoster und den FTP-Zugang. Das schützt dich auch, falls jemand vor dem Update schon Zugangsdaten abgegriffen hat.
Was du jetzt besser lässt
- Keine Hauruck-Umzüge: Ein überstürzter Wechsel zu einem anderen Hoster löst das Problem nicht, denn dort läuft ebenfalls PHP.
- Keine Notlösungen statt Updates: Einstellungen am Server können das Risiko senken, ersetzen aber kein Update. Darauf weist auch das CERT-EU ausdrücklich hin.
- Keine Links in Warn-Mails anklicken: Betrüger nutzen solche Lagen gern für gefälschte Warnungen. Logge dich immer direkt beim Hoster ein, nicht über einen Link in einer Mail.
Und bei YJAR?
Bei vielen Projekten setzen wir auf Eigenentwicklung ohne PHP, für Websites, Plattformen und Shops. Unsere Websites und Eigenentwicklungen laufen wie gewohnt. Das ist kein Zufall: Moderne, schlanke Technik hat weniger Angriffsfläche und braucht keine Sammlung von Plugins.
Trotzdem gilt: Keine Technik ist für immer sicher. Entscheidend ist, dass jemand Updates im Blick hat und im Ernstfall schnell handelt. Genau das übernehmen wir für unsere Partner in Haßfurt, im Landkreis Haßberge und in ganz Franken. Mehr dazu findest du bei Websites, Shops und Apps und bei eigener Software und Plattformen.
Unsicher, ob deine Website betroffen ist? Wir schauen kostenlos drauf und sagen dir ehrlich, ob du handeln musst. Kostenloses Erstgespräch buchen.
Häufige Fragen
Ist meine WordPress-Seite gehackt, wenn sie gerade offline ist?
Sehr wahrscheinlich nicht. Viele Hoster haben PHP-Seiten vorsorglich abgeschaltet, um genau das zu verhindern. Sobald PHP aktualisiert ist, geht die Seite wieder online.
Muss ich selbst etwas am Server ändern?
Bei einem normalen Hosting-Paket aktualisiert dein Hoster PHP. Deine Aufgabe sind WordPress, Theme, Plugins, Passwörter und das Backup. Hast du einen eigenen Server, musst du PHP selbst aktualisieren.
Welche PHP-Versionen sind sicher?
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. PHP 8.2 bekommt nur noch bis Ende 2026 Sicherheitsupdates, ein Wechsel auf 8.4 oder 8.5 lohnt sich also bald.
Betrifft die Lücke auch Websites ohne PHP?
Nein. Websites, die ohne PHP gebaut sind, zum Beispiel mit modernen JavaScript-Frameworks, sind von diesen beiden Lücken nicht betroffen. Auch sie brauchen aber regelmäßige Updates.