Läuft deine Website mit WordPress, Joomla oder einem Onlineshop? Dann nimm dir jetzt drei Minuten. Im Oktober 2026 sind zwei schwere Sicherheitslücken in PHP, der Technik hinter den meisten dieser Websites, vorzeitig an die Öffentlichkeit gelangt. Ein Update gibt es seit dem 21. Oktober. Ob es auf deinem Server ankommt, hängt davon ab, wer sich um deine Website kümmert. Und ob sich überhaupt jemand darum kümmert.
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Team ein Notfall-Update für zwei kritische Sicherheitslücken veröffentlicht. Eigentlich hätte die Welt erst danach davon erfahren sollen. Doch die Lücken sind vorher durchgesickert.
Am 20. Oktober tauchte auf der Plattform Hacker News ein Beitrag auf, der zwei schwere Fehler in PHP ankündigte, samt Kennnummern und Veröffentlichungsdatum. Der Beitrag verschwand schnell wieder, aber Screenshots machten längst die Runde. Die Sicherheitsfirma watchTowr bestätigte noch am selben Tag: Die Lücken sind echt, und mindestens eine davon lässt sich nachstellen.
Das PHP-Team reagierte und zog das Update um einen Tag vor. Sicherheitsforscher haben dem Problem inzwischen einen Namen gegeben: PHP2Shell.
Warum das ernst ist: Beide Lücken sind sogenannte Remote Code Execution, kurz RCE. Das heißt, ein Angreifer kann im schlimmsten Fall aus der Ferne eigenen Code auf deinem Server ausführen, ohne Passwort. PHP selbst bewertet beide mit 9,2 von 10 Punkten auf der offiziellen Gefahrenskala (CVSS). Die Kennungen lauten CVE-2026-109618 und CVE-2026-109619.
Warum das Update allein nicht reicht: Die E-Commerce-Sicherheitsfirma Sansec rechnete mit Massenangriffen „binnen 15 Minuten“ nach dem Update. Denn mit dem Patch können Angreifer ablesen, wo der Fehler sitzt. Seitdem ist jede Website, auf deren Server noch eine ungepatchte PHP-Version läuft, ein offenes Ziel.
Was hat PHP mit deiner Website zu tun?
PHP ist die Programmiersprache, die im Hintergrund unzählige Websites antreibt. Du siehst sie nicht, aber sie läuft auf dem Server, jedes Mal wenn jemand deine Seite aufruft.
Wenn deine Website mit WordPress, Joomla, Drupal, TYPO3, WooCommerce, Shopware oder Magento läuft, läuft sie mit PHP. Das betrifft sehr viele Unternehmenswebsites, Onlineshops und Buchungsseiten in Österreich. Auch viele Hosting-Oberflächen wie cPanel oder Plesk bauen auf PHP auf.
Stell dir PHP wie das Schloss an deiner Haustür vor. Der Hersteller hat einen Konstruktionsfehler entdeckt, und der Bauplan für den Dietrich ist schon im Umlauf, bevor die neuen Schlösser geliefert sind. Wichtig: Das Problem steckt im Schloss selbst, nicht in deiner Einrichtung. Ein Plugin oder ein Theme-Update hilft hier nicht. Gepatcht werden muss PHP auf dem Server.
Das eigentliche Drama: Alte PHP-Versionen bleiben offen
Das Update kommt nur für die Versionen, die PHP noch offiziell pflegt: 8.2, 8.3, 8.4 und 8.5. Wer älter unterwegs ist, bekommt keinen Fix. Laut ersten Berichten reichen die Lücken bis zu PHP 5 zurück, also bis in die 2000er-Jahre. Offiziell bestätigt ist der genaue Umfang erst mit dem Update.
Wie viele Server das betrifft, hat die Sicherheitsfirma Mallory am 20. Oktober gezählt. Von rund 1,5 Millionen öffentlich erreichbaren Servern, die ihre PHP-Version verraten, laufen knapp 884.000 (59 %) auf einer Version ohne Fix.
| PHP-Version | Server im Netz | Bekommt Update? |
|---|---|---|
| 5.x | 368.570 | Nein |
| 7.x | 329.358 | Nein |
| 8.0 und 8.1 | 185.789 | Nein |
| 8.2 bis 8.5 | 612.269 | Ja |
Quelle: Mallory, 20.10.2026. Weitere rund 740.000 Server verraten ihre Version gar nicht, die echte Zahl dürfte also höher liegen. Und weil auf einem Shared-Hosting-Server oft Dutzende Websites liegen, sind deutlich mehr Websites betroffen als Server.
In Deutschland liegt der Anteil ohne Fix laut Mallory bei 41 %. Für Österreich gibt es keine eigene Zahl, das Bild dürfte ähnlich sein.
Kleiner Ausblick, damit es nicht wieder passiert: PHP 8.2 bekommt nur noch bis 31. Dezember 2026 Sicherheitsupdates. Wer jetzt auf 8.2 aktualisiert, steht zum Jahreswechsel wieder vor demselben Problem.
Was du jetzt tun solltest
Du musst kein Techniker sein, um jetzt das Richtige zu tun. Diese fünf Schritte reichen:
- Herausfinden, ob deine Website PHP nutzt. Läuft sie mit WordPress oder einem Shop-System, lautet die Antwort fast sicher ja.
- Die PHP-Version nachsehen. Bei WordPress steht sie unter Werkzeuge → Website-Zustand → Bericht → Server. Bei den meisten Hostern auch im Kundenbereich.
- Beim Hoster nachfragen. Frag konkret: Ist das PHP-Update vom 21. Oktober auf meinem Server eingespielt? Bei Managed Hosting übernimmt das meist der Anbieter. Bei eigenen Servern bist du selbst dran.
- Bei PHP 8.1 oder älter: auf eine aktuelle Version wechseln. Am besten gleich auf 8.4 oder 8.5. Vorher unbedingt testen, ob Theme und Plugins mitspielen. Geht das nicht sofort, frag deinen Hoster, ob er einen eigenen Sicherheitsfix anbietet. Manche Linux-Distributionen und Hoster tun das.
- Nach dem Update ein Auge drauf haben. Neue, unbekannte Dateien auf dem Server, neue Admin-Konten oder eine plötzlich langsame Seite sind Warnsignale. Dann sofort Backup sichern und Fachleute holen.
Was nicht hilft: ein neues Sicherheits-Plugin oder ein WordPress-Update. Die Lücke sitzt eine Ebene tiefer.
Wie wir dir helfen können
Keine Lust, dich durch Hosting-Menüs zu klicken? Musst du nicht. Wir übernehmen das für dich, egal ob wir deine Website gebaut haben oder nicht.
- Schnell-Check: Wir sehen nach, ob deine Website PHP nutzt, welche Version läuft und ob das Update auf deinem Server angekommen ist. Du bekommst eine klare Antwort: sicher, Update nötig oder dringend.
- Update und Umzug auf eine aktuelle PHP-Version: Wir aktualisieren PHP, testen Theme und Plugins vorher und sorgen dafür, dass nach dem Wechsel alles läuft wie vorher.
- Laufende Website-Betreuung: Damit du von der nächsten Lücke gar nichts mitbekommst. Wir halten WordPress, Plugins und Server aktuell und behalten Sicherheitswarnungen im Blick.
- Neustart mit moderner Technik: Ist deine Website in die Jahre gekommen, kann ein Neubau günstiger sein als das ewige Flicken. Unsere neuen Websites setzen wir mit moderner Technik um, bei der am Server kein PHP mehr läuft. Diese Lücke wäre dort kein Thema.
Lass es nicht drauf ankommen und melde dich: studio@herr-paul.at oder +43 650 9500530. Wir sitzen in Villach und sind für Unternehmen in ganz Kärnten und Österreich da.
Stand: 21. Oktober 2026. Wir aktualisieren den Beitrag, sobald es Neues gibt.