Fatale Sicherheitslücke in Wordpress & co.
Der PHP-Checker: Ist deine Website angreifbar?
PHP2Shell
Seit dem Abend des 20. Oktober ist klar: Millionen Websites weltweit sind angreifbar. Das BSI warnt vor zwei kritischen Lücken in PHP, über die Angreifer WordPress-, TYPO3- oder Shopware-Seiten ohne Passwort vollständig übernehmen können. Unser Checker zeigt in wenigen Sekunden, ob deine Seite gefährdet ist. Framer-Seiten sind von der Lücke nicht betroffen.
Schnell-Check: Ist die eigene Seite gefährdet?
Nach Eingabe der Domain prüft der Checker, mit welcher Technik die Seite gebaut ist und, sofern der Server es verrät, welche PHP-Version dort läuft. Er greift die Seite dabei nicht an, sondern liest nur, was jeder Browser beim Besuch ohnehin zu sehen bekommt. Er zeigt deshalb, wie wahrscheinlich eine Seite verwundbar ist, aber nicht, ob sie bereits angegriffen wurde.
PHP-Sicherheitscheck
Läuft deine alte Seite noch auf WordPress oder PHP? Hier ohne Anmeldung prüfen, ob dein Server betroffen ist.
So ist das Ergebnis zu lesen
Rot: Die Seite läuft auf einer PHP-Version ohne Schutz. Hier sollte noch heute gehandelt werden.
Gelb: Die Seite läuft auf PHP, der Server verrät die Version aber nicht. Das ist der häufigste Fall und keine Entwarnung. Weiter unten steht, wie sich die Version herausfinden lässt.
Grün: Die Seite läuft auf einer geschützten Version oder gar nicht auf PHP, etwa weil sie mit einem Baukasten wie Framer gebaut ist.
Was ist passiert?
Das BSI warnt vor zwei kritischen Schwachstellen in PHP, einer der meistgenutzten Programmiersprachen im Web. Auf ihr basieren Content-Management-Systeme wie WordPress, TYPO3, Joomla und Drupal, aber auch Onlineshops, Lernplattformen wie Moodle und zahlreiche individuell entwickelte Webanwendungen. Über die Lücken können Angreifer ohne Anmeldung aus der Ferne eigenen Code auf betroffenen Servern ausführen. Damit lassen sich Websites vollständig übernehmen, Datenbanken mit Kundendaten auslesen oder Server für weitere Angriffe missbrauchen.
Details zu den Lücken wurden am Abend des 20. Oktober bekannt, noch bevor Updates verfügbar waren. Das PHP-Projekt veröffentlichte die Korrekturen am 21. Oktober, erste Angriffsversuche meldete der Netzwerkdienstleister Cloudflare bereits am Morgen desselben Tages. Unter Fachleuten firmieren die Schwachstellen als PHP2Shell, offiziell als CVE-2026-109618 und CVE-2026-109619.
Was das BSI sagt
Das BSI stuft die Lage mit der Warnstufe 3 von 4 (Orange) ein und fordert, unverzüglich zu handeln. Laut BSI und der EU-Cybersicherheitsbehörde CERT-EU könnten alle PHP-Versionen der vergangenen rund 20 Jahre betroffen sein. Die Behörde rechnet damit, dass die Lücken innerhalb weniger Stunden nach Erscheinen der Updates großflächig ausgenutzt werden, auch weil Angreifer die Korrekturen mit KI-Werkzeugen schnell analysieren können. Wo Updates nicht kurzfristig möglich sind, empfiehlt das BSI, den Webserver vorübergehend vom Netz zu nehmen. Kommunen, Behörden, Universitäten und Krankenhäuser haben ihre Online-Angebote bereits teilweise abgeschaltet.
Was ist PHP?
PHP läuft nicht im Browser der Besucher, sondern auf dem Webserver. Bei jedem Seitenaufruf setzt es die Seite aus Vorlagen, Inhalten und Datenbank zusammen, bevor sie ausgeliefert wird. Eine Lücke an dieser Stelle betrifft deshalb nicht einzelne Plugins oder Themes, sondern alles, was darauf aufbaut.
Welche Websites sind betroffen?
Am häufigsten trifft es WordPress, schlicht weil es das mit Abstand meistgenutzte System ist. Das schließt Online-Shops mit WooCommerce ein. Gefährdet ist aber grundsätzlich jede Website, die auf einem Server mit PHP läuft, zum Beispiel:
Websites mit TYPO3, Joomla, Drupal oder Contao
Online-Shops mit Shopware oder Magento
Individuell programmierte Seiten und Web-Anwendungen, etwa von einer Agentur gebaut
Foren, Buchungs- und Terminsysteme, Kundenportale
Scheinbar einfache Seiten, bei denen nur ein Kontaktformular im Hintergrund mit PHP arbeitet
Nichts zu tun gibt es bei Websites, die bei einem Baukasten-Anbieter liegen, der die Server selbst betreibt, etwa Framer, Webflow, Wix oder Squarespace. Dort ist die Technik unter der Haube Sache des Anbieters.
Framer-Seiten sind nicht betroffen
Während Agenturen und Hoster heute im Akkord Server aktualisieren und Behörden ihre Seiten vom Netz nehmen, ist für Websites, die mit Framerᶠ gebaut sind, nichts zu tun. Framer-Seiten laufen nicht auf einem selbst verwalteten PHP-Server, sondern werden als fertige Dateien über Framers eigene Infrastruktur ausgeliefert. Es gibt keine PHP-Version zu prüfen, kein Plugin zu aktualisieren, keinen Hoster anzuschreiben und keinen Grund, die Seite offline zu nehmen. Updates auf Server-Ebene sind Sache des Anbieters und laufen im Hintergrund, ohne dass Betreiber davon etwas mitbekommen.
Unverwundbar ist auch eine Framer-Seite nicht. Was selbst eingebaut wird, etwa eigener Code oder Widgets von Drittanbietern, bleibt in der Verantwortung des Betreibers. Aber eine Lücke wie diese, die Millionen Seiten auf einen Schlag trifft, weil sie alle dieselbe Technik auf selbst verwalteten Servern nutzen, gibt es in diesem Modell nicht.
Das ist der eigentliche Punkt hinter PHP2Shell. Bei einer klassischen WordPress-Seite verteilt sich die Verantwortung auf Betreiber, Hoster, Plugin-Entwickler und das PHP-Projekt, und eine Lücke an irgendeiner dieser Stellen genügt. Wer heute eine neue Seite baut, sollte sich fragen, ob er diese Kette überhaupt braucht. Für die meisten Unternehmensseiten, Portfolios und Landingpages lautet die Antwort nein.
Was ist Framer?
Framerᶠ ist ein Website-Baukasten, mit dem sich professionelle Seiten visuell gestalten lassen, ohne zu programmieren. Hosting, Sicherheitsupdates und SSL-Zertifikat sind inklusive, Plugins im WordPress-Sinn gibt es nicht. Framer eignet sich vor allem für Unternehmensseiten, Portfolios, Landingpages und Blogs. Auf FramerVerstehen.de erklären wir Schritt für Schritt und auf Deutsch, wie die Arbeit damit funktioniert.
Framer kostenlos ausprobieren: Jetzt startenᶠ
Umstieg von WordPress?
Wer nach dieser Erfahrung über einen Umzug nachdenkt, muss nicht bei null anfangen: Framer hat selbst eine ausführliche Anleitung zur Migration von WordPress nach Framerᶠ veröffentlicht.
Warum ein WordPress-Update hier nicht hilft
Die Lücke steckt nicht in WordPress, nicht in einem Plugin und nicht im Theme, sondern eine Ebene darunter. Ein Klick auf „Aktualisieren“ im WordPress-Dashboard ändert daran nichts, und auch Sicherheits-Plugins schützen nicht, weil der Angriff passieren kann, bevor WordPress überhaupt startet. Aktualisiert werden muss PHP auf dem Server, und den verwaltet in den allermeisten Fällen nicht der Website-Betreiber, sondern der Hoster.
Was jetzt zu tun ist
Bei Rot
Selbst einspielen lässt sich ein Update in der Regel nicht, weil der Server dem Hoster gehört. Anbieter wie IONOS oder Strato sollten den Patch schnell liefern.
Bis das Update bestätigt ist, haben einige Betreiber Seiten vom Netz genommen.
Eher offline nehmen, wenn die Seite Kundenkonten oder Logins hat, ein Online-Shop ist, über Formulare persönliche Daten sammelt (Anfragen, Bewerbungen, Anmeldungen) und viele Besucher hat.
Eher abwägen bei einer reinen Visitenkarte ohne Formulare mit wenigen Besuchern. Auch dann gilt: Eine übernommene Seite kann missbraucht werden, um Schadsoftware zu verteilen oder Besucher auf Betrugsseiten zu schicken.
Wichtig: Ein Wartungsmodus-Plugin in WordPress schützt nicht, denn auch hinter der Wartungsseite läuft PHP weiter. Offline nehmen heißt, die Seite auf Server-Ebene abzuschalten. Das übernimmt der Dienstleister oder Hoster auf Anfrage, alternativ lässt sich die Domain im Kundenbereich des Hosters deaktivieren.
3. Nach dem Update erneut prüfen. Den Checker noch einmal laufen lassen und die wichtigsten Seiten, Formulare und, falls vorhanden, den Bestellvorgang durchklicken. Bei einem Sprung auf eine deutlich neuere PHP-Version können ältere Plugins hakeln.
4. Bei Verdacht auf einen Angriff Fachleute hinzuziehen. Unbekannte Admin-Konten, veränderte Inhalte oder seltsame Weiterleitungen sind Warnzeichen. Sind dabei personenbezogene Daten von Kunden in falsche Hände geraten, kann das zudem eine Meldepflicht nach der DSGVO auslösen, in der Regel innerhalb von 72 Stunden.
Bei Gelb
Dass ein Server seine Version nicht verrät, ist eigentlich gute Praxis. Es bedeutet nur, dass einmal nachgesehen oder nachgefragt werden muss:
Bei WordPress: Im Dashboard unter Werkzeuge, dann Website-Zustand, dann Info, dann Server steht die PHP-Version.
Im Kundenbereich des Hosters: meist unter „PHP-Einstellungen“.
Wenn beides nicht weiterhilft: die Vorlage von oben an Dienstleister oder Hoster schicken. Das ist ohnehin der sicherste Weg.
Geschützt sind diese Versionen:
Version beginnt mit | sicher ab |
|---|---|
8.5 | 8.5.12 |
8.4 | 8.4.27 |
8.3 | 8.3.36 |
8.2 | 8.2.35 |
8.1 oder niedriger | kein Update verfügbar, Wechsel nötig |
Vorsicht bei Artikeln, die nur „PHP 8.2 bis 8.5“ als sicher nennen: Entscheidend ist die komplette Nummer. Eine Seite mit 8.3.35 läuft zwar auf einer aktuellen Reihe, ist aber genau ein Update vom Schutz entfernt.
Bei Grün
Kein Handlungsbedarf. Wer mehrere Websites oder Subdomains betreibt, sollte sie einzeln prüfen, denn sie liegen nicht immer auf demselben Server.
FAQ: Häufige Fragen zu PHP2Shell
Wie ernst ist die Lage wirklich? Sehr ernst. Das BSI stuft die Lücken mit Orange ein, der zweithöchsten Stufe, und es gibt bereits Berichte über Angriffe. Weil so viele Websites betroffen sind, lohnt sich für Angreifer das automatisierte Durchsuchen des Internets nach ungeschützten Seiten.
Muss eine betroffene Seite wirklich offline? Nicht zwingend. Hat der Hoster das Update bereits eingespielt, ist das nicht nötig. Ist das unklar und verarbeitet die Seite Kundendaten, ist es bis zur Bestätigung die vorsichtigere Wahl.
Der Hoster kümmert sich laut eigener Aussage automatisch. Reicht das? Meist ja, aber „automatisch“ kann auch „in den nächsten Tagen“ bedeuten. Ein zweiter Durchlauf des Checkers nach ein, zwei Tagen oder eine konkrete Nachfrage schafft Gewissheit.
Schützt ein Sicherheits-Plugin? Nein. Die Lücke liegt unterhalb von WordPress und kann ausgenutzt werden, bevor ein Plugin überhaupt lädt.
Was ist mit Seiten, die mit Wix, Webflow oder Squarespace gebaut sind? Dort ist nichts zu tun. Bei diesen Anbietern betreibt der Anbieter die Server und kümmert sich um solche Updates.
Prüft der Checker auch andere Sicherheitslücken? Nein, ausschließlich die PHP-Lücken CVE-2026-109618 und CVE-2026-109619.
Hinweis: Der Checker liefert eine technische Einschätzung auf Basis der Informationen, die ein Server öffentlich mitschickt. Er ersetzt keine Sicherheitsprüfung durch Fachleute.
ᶠAffiliate-Link