PHP ist eine Programmiersprache, mit der sich dynamische Websites entwickeln lassen. Sie verarbeitet beispielsweise Formulareingaben oder lädt Inhalte aus einer Datenbank. Der PHP-Code läuft dabei auf dem Webserver, nicht im Browser. Dieser erhält das Ergebnis, etwa eine fertig zusammengestellte Webseite. PHP arbeitet also im Hintergrund und ermöglicht viele Funktionen, die wir beim Surfen selbstverständlich nutzen.
22. Oktober 2026
Geschrieben von Dave
PHP-Sicherheitslücke: Was ist PHP überhaupt und wen betrifft es?
Zahlreiche Websites wurden vorsorglich abgeschaltet, das Bundesamt für Sicherheit in der Informationstechnik warnt vor kritischen Schwachstellen: Die PHP-Sicherheitslücke beschäftigt derzeit viele Website-Betreiber. Doch was steckt hinter der Warnung und wie findet ihr heraus, ob eure eigene Website betroffen ist?
Was ist PHP?
PHP ist eine Programmiersprache, die auf dem Webserver arbeitet. Sie verarbeitet etwa Formulareingaben und lädt Inhalte aus Datenbanken.
Was bedeutet die Sicherheitslücke für eure Website?
Angreifer könnten die Schwachstelle nutzen, um Schadcode auf eurem Webserver auszuführen. Eine verwundbare Website ist aber nicht automatisch bereits angegriffen worden.
Unter dem Namen PHP2Shell werden zwei kritische Schwachstellen zusammengefasst: CVE-2026-109618 und CVE-2026-109619. Sie können es Angreifern unter bestimmten Voraussetzungen ermöglichen, ohne Anmeldung eigenen Schadcode auf einem Webserver auszuführen. Dadurch könnten Inhalte verändert oder Daten ausgelesen werden, auf die der betroffene Serverprozess zugreifen kann. Eine verwundbare PHP-Version bedeutet allerdings nicht automatisch, dass eure Website bereits angegriffen wurde.
Was solltet ihr jetzt tun?
Klärt mit eurem Hoster, ob PHP aktualisiert werden muss. Updates für WordPress, Themes oder Plugins allein schließen diese Schwachstellen nicht.
Klärt mit eurem Hoster oder der zuständigen IT-Betreuung, ob das erforderliche PHP-Sicherheitsupdate bereits eingespielt wurde. Ein Update von WordPress, Themes oder Plugins allein schließt diese PHP-Lücken nicht. Aktualisiert werden muss die zugrunde liegende PHP-Installation. Auch vorläufige Schutzmaßnahmen ersetzen das Update nicht vollständig. PHP
Steht ein Wechsel der PHP-Version an, erstellt vorher ein aktuelles Backup und prüft die Verträglichkeit mit eurer Website. Kontrolliert anschließend insbesondere wichtige Funktionen wie Formulare, Anmeldung und Bestellprozess. Euer Hosting-Anbieter oder eure Webagentur kann die Umstellung begleiten, wenn ihr die Serverumgebung nicht selbst verwaltet.
Wie könnt ihr eure PHP Version prüfen?
Bei WordPress findet ihr die PHP-Version im Bereich „Website-Zustand“. Ob die notwendigen Sicherheitsupdates installiert sind, kann euer Hosting-Anbieter bestätigen.
Bei WordPress findet ihr die PHP-Version unter „Werkzeuge → Website-Zustand → Bericht → Server“. Dort lässt sich nachsehen, welche Version eure Website tatsächlich verwendet. Die Angabe allein bestätigt allerdings noch nicht, dass alle notwendigen Sicherheitskorrekturen installiert sind. Fragt deshalb bei eurem Hosting-Anbieter nach, ob eure Website gegen beide PHP2Shell-Schwachstellen abgesichert wurde. Manche Anbieter liefern Korrekturen über eigene, angepasste Softwarepakete aus.
Welche Websites sind betroffen?
Ob WordPress-Blog, Unternehmenswebsite oder Onlineshop: Entscheidend ist, welche PHP-Version verwendet wird und ob die nötigen Sicherheitskorrekturen installiert sind.
Grundsätzlich kommen Websites und Webanwendungen infrage, die eine betroffene, noch nicht abgesicherte PHP-Version verwenden. Dazu können auch WordPress-Websites gehören, denn WordPress basiert auf PHP. Ob ihr einen kleinen Blog oder eine Unternehmenswebsite betreibt, ist dabei nicht entscheidend. Wichtig sind die eingesetzte PHP-Version und die Serverumgebung. Die Schwachstellen liegen in PHP selbst und nicht ausschließlich in einem bestimmten Plugin oder Redaktionssystem.
Müssen Website Besucher etwas unternehmen?
Besucher müssen auf ihren Geräten kein PHP-Update installieren. Für die Absicherung des Webservers sind Website-Betreiber und Hosting-Anbieter zuständig.
Die Schwachstellen befinden sich auf den Servern, nicht unmittelbar auf den Smartphones oder Computern der Besucher. Für das normale Surfen ist deshalb kein spezielles PHP-Update auf dem eigenen Gerät nötig. Indirekte Folgen sind trotzdem möglich: Onlinedienste können ausfallen, und bei erfolgreich angegriffenen Websites könnten gespeicherte Kundendaten betroffen sein. Die technische Absicherung liegt zunächst bei den Website-Betreibern und ihren Hosting-Anbietern.
Warum Hosting Kunden bei Hüper sicher sind?
Sicherheit ist kein Zufall – sondern Vorsorge.
Eine Website ist kein einmal abgeschlossenes Projekt. Technologien entwickeln sich weiter, Sicherheitslücken werden entdeckt und Systeme regelmäßig aktualisiert. Wer seine Website langfristig sicher und zuverlässig betreiben möchte, sollte deshalb auch nach dem Launch am Ball bleiben.
Mit einem Wartungsvertrag behalten wir für euch unter anderem Updates, Sicherheit und den technischen Zustand eurer Website im Blick. So lassen sich mögliche Risiken frühzeitig erkennen und Probleme häufig vermeiden, bevor sie überhaupt entstehen.
Unser Ziel ist einfach: Ihr sollt euch auf euer Tagesgeschäft konzentrieren können, ohne ständig prüfen zu müssen, ob eure Website technisch noch aktuell ist.
Unser Fazit
Zur Website-Wartung gehört auch PHP. Prüft eure Version und lasst euch vom Hoster bestätigen, ob eure Website die erforderlichen Sicherheitsupdates erhalten hat
Die PHP-Sicherheitslücke zeigt, warum Website-Wartung nicht beim Redaktionssystem aufhört. Entscheidend ist, dass auch die PHP-Installation auf dem Server die notwendigen Sicherheitskorrekturen erhält. Prüft deshalb eure eingesetzte Version und lasst euch den Update-Status vom Hoster bestätigen. So klärt ihr, ob eure Website gegen die beiden bekannten Schwachstellen geschützt ist oder noch Handlungsbedarf besteht.
