Grafik: René Sonderegger, mit KI-Unterstützung erstellt
Zwei schwere Lücken in der Programmiersprache PHP, zusammen «PHP2Shell» genannt, bedrohen seit dem 20. Oktober 2026 einen grossen Teil aller Websites. Betroffen sind Seiten mit WordPress, Onlineshops und viele Kontaktformulare. Ein Update ist seit dem 21. Oktober verfügbar. Jetzt kommt es darauf an, dass Ihr Hoster es einspielt und Sie kurz nachprüfen.
Was ist passiert?
Details zu den beiden Lücken (CVE-2026-109618 und CVE-2026-109619) wurden bekannt, bevor es eine Korrektur gab. Angreifer können damit unter Umständen eigenen Code auf einem Webserver ausführen, die Website übernehmen und Daten abgreifen. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt offiziell, und es gibt bereits erste Angriffe. Viele Betreiber, auch Medienhäuser, haben Logins und Kommentarfunktionen vorsorglich abgeschaltet.
Bin ich betroffen?
Wahrscheinlich ja, wenn Ihre Website mit WordPress, Joomla, TYPO3, Shopware oder einem anderen System auf PHP-Basis läuft. Das gilt auch für Mitgliederbereiche, Kursplattformen und Buchungssysteme. Reine HTML-Seiten ohne PHP sind nicht direkt betroffen. Die Lücke steckt in PHP selbst, nicht in WordPress oder einem Plugin. Ein WordPress-Update allein hilft deshalb nicht.
Was Sie jetzt tun sollten
1. Hoster fragen. Klären Sie bei Ihrem Hosting-Anbieter, ob die korrigierten PHP-Versionen eingespielt sind (laut Fachpresse 8.5.12, 8.4.27, 8.3.36 oder 8.2.35). Bei verwalteten Angeboten übernimmt das in der Regel der Hoster.
2. PHP-Version prüfen. Im Kundenkonto Ihres Hosters sehen Sie pro Website, welche PHP-Version läuft. Ist es eine alte Version (8.1 oder älter), wechseln Sie nach Rücksprache auf eine aktuelle. Vorher eine Sicherung machen.
3. Sicherung erstellen. Sichern Sie Website und Datenbank jetzt, bevor Sie etwas ändern. Bewahren Sie die Sicherung getrennt vom Server auf.
4. Auffälligkeiten prüfen. Gibt es neue Benutzer mit Admin-Rechten, unbekannte Dateien oder seltsame Weiterleitungen? Ändern Sie nach dem Update die Passwörter für den Admin-Zugang und den Hosting-Login.
5. Ruhig bleiben. Funktionen wie Login oder Upload können ein paar Tage eingeschränkt sein. Das ist eine Schutzmassnahme, kein Ausfall.
Was sagt das Datenschutzgesetz?
Wer Personendaten bearbeitet, muss sie mit angemessenen technischen und organisatorischen Massnahmen schützen (Art. 8 DSG). Dazu gehört, bekannte Sicherheitslücken rasch zu schliessen. Stellen Sie fest, dass Unbefugte auf Daten zugegriffen haben, und besteht ein hohes Risiko für die Betroffenen, müssen Sie das dem EDÖB so rasch als möglich melden (Art. 24 DSG). Halten Sie fest, was Sie wann geprüft und getan haben. Das hilft im Ernstfall.
Kurz zusammengefasst
- PHP2Shell betrifft PHP selbst, also fast jede WordPress-Seite.
- Entscheidend ist das PHP-Update beim Hoster, nicht ein WordPress-Update.
- Sicherung machen, Auffälligkeiten prüfen, Passwörter ändern, Schritte dokumentieren.
Sie sind unsicher, ob Ihre Website oder Ihr Mitgliederbereich betroffen ist? Schreiben Sie mir. Im kostenlosen Erstgespräch schauen wir es gemeinsam an.
Quellen: watson.ch · heise.de · cms-admins.de · sicher-im-netz.de · Stand 21.10.2026