Am 21. Oktober 2026 waren in Deutschland plötzlich zahlreiche Websites nicht mehr erreichbar. Behörden, Hochschulen, Krankenhäuser und Unternehmen nahmen ihre Systeme vorsorglich vom Netz. Der Grund waren zwei kritische Sicherheitslücken in PHP, der Programmiersprache, auf der ein großer Teil aller Websites läuft. In den Medien heißen sie „PHP2Shell“.

Inzwischen gibt es Sicherheitsupdates, und viele Seiten sind wieder online. Erledigt ist das Thema damit aber nicht. Der Fall zeigt, wie wenig Zeit zwischen einem Update und den ersten Angriffen bleibt. Für Betriebe, deren Website oder Shop nicht regelmäßig gewartet wird, wird das zum echten Risiko. Den ersten Überblick zu den Lücken finden Sie in unserem Beitrag Kritische PHP-Schwachstellen: Was Unternehmen heute tun sollten. Hier geht es darum, was Sie jetzt und künftig tun sollten.

Was hinter PHP2Shell steckt

Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Sie sind jeweils mit 9,2 von 10 Punkten bewertet, also als kritisch. Laut BSI könnten Angreifer damit aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Sie müssen sich dafür nicht anmelden, und niemand muss etwas anklicken.

Sehr weite Verbreitung: Laut heise sind sämtliche PHP-Versionen der letzten 20 Jahre betroffen.
Niedrige Hürde: Die Entdecker konnten mit zehntausenden Anfragen in nur 38 Sekunden Code auf einem fremden Server ausführen.
Nicht nur Websites: Gefährdet sind auch NAS-Systeme und andere vernetzte Geräte mit einer Weboberfläche auf PHP-Basis. Das BSI meldet zudem, dass immer mehr Hersteller von Netzwerkkomponenten eigene Warnungen herausgeben, weil PHP in ihren Produkten steckt.

Die Angriffe laufen bereits

Kurz nach der Veröffentlichung begannen massenhaft Angriffsversuche. Cloudflare sprach laut Reuters von Millionen Angriffsversuchen. Sie setzten schon etwa zehn Stunden vor der Veröffentlichung der Details ein. Amazon spricht von einer breiten Ausnutzung „in freier Wildbahn“. Bestätigte erfolgreiche Angriffe in der Breite waren dem BSI am 22. Oktober noch nicht bekannt. Das ist beruhigend, aber kein Grund zum Abwarten.

Die wirtschaftlichen Folgen waren sofort spürbar. Laut Monitoringdienst UptimeRobot stieg die Zahl der nicht erreichbaren überwachten .de-Websites vom 20. auf den 21. Oktober um rund 113 Prozent. Nicht jeder Ausfall geht dabei auf PHP2Shell zurück. Ein Anbieter von Rechnungssoftware schaltete seine Anwendung komplett ab. Bei einem Hoster verhinderten ältere Anwendungen ein schnelles Update, sodass Systeme auf andere Server umziehen mussten. Für einen Onlineshop heißt jede Stunde offline: keine Bestellungen.

Warum das kein Einzelfall bleibt

Die Lücken wurden mit Unterstützung künstlicher Intelligenz gefunden und ausgewertet. Genau das verändert die Lage. Sobald ein Sicherheitsupdate erscheint, können Angreifer die alte mit der neuen Version vergleichen und so die Schwachstelle finden. Früher brauchte man dafür viel Erfahrung und Zeit. Mit KI geht das deutlich schneller.

Cloudflare-Chef Matthew Prince erwartet deshalb „ein paar Jahre, in denen es sich jede Woche so anfühlen wird, als würde der Himmel einstürzen“. Sein Unternehmen kenne bereits weitere schwere Schwachstellen in anderen wichtigen Softwarekomponenten. Auch andere Fachleute sind sich einig: Die Zeit zwischen dem Entdecken einer Lücke und dem ersten Angriff wird immer kürzer.

Der Sicherheitsexperte Tobias Glemser bringt es in seinem Kommentar bei heise auf den Punkt: „Nicht patchen ist keine Option.“

Checkliste: Das sollten Sie jetzt prüfen

1. Herausfinden, wo bei Ihnen PHP läuft

Viele Betriebe wissen gar nicht, welche ihrer Systeme PHP nutzen. Typische Kandidaten sind:

Website und Blog: Zum Beispiel mit WordPress oder einem anderen Content-Management-System.
Onlineshop und Kundenportal: Alles, was Kunden über das Internet erreichen.
Geräte mit Weboberfläche: Zum Beispiel NAS-Speicher im Büro, die Sie über den Browser verwalten.

Praxistipp: Legen Sie eine kurze Liste an: welches System, wer es betreut, wo es gehostet wird. Diese Liste hilft auch bei der nächsten Sicherheitslücke.

2. PHP-Version prüfen

Sicher sind laut heise die aktualisierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Sie wurden am 21. Oktober veröffentlicht.

Im Hosting-Panel: Bei vielen Hostern sehen Sie die PHP-Version Ihrer Website direkt in der Verwaltungsoberfläche.
Auf eigenen Servern: Ihre IT kann die Version mit dem Befehl php -v abfragen.
Wichtig: Ein Update von WordPress oder eines Plugins reicht nicht. Die Lücke steckt in PHP selbst, also in der Software auf dem Server.

3. Beim Hoster oder Dienstleister nachfragen

Bei gemanagtem Hosting kümmert sich normalerweise der Anbieter um die Updates. Laut heise schadet es trotzdem nicht, nachzufragen.

Konkret fragen: Ist das PHP-Update eingespielt, und auf welcher Version läuft meine Seite?
Ältere Anwendungen ansprechen: Läuft Ihre Website auf einer alten PHP-Version, die nicht zu den vier sicheren Versionen gehört? Dann klären Sie, wie und bis wann eine Umstellung möglich ist.

4. Updates einspielen und Dienste neu starten

Wer eigene Server, NAS-Geräte oder Container betreibt, muss selbst handeln.

Server: Alle großen Linux-Distributionen liefern aktualisierte Pakete. Nach dem Update müssen die PHP-Dienste neu gestartet werden, sonst läuft weiter die alte Version.
NAS-Geräte: Bei Anbietern wie QNAP oder Synology finden Sie Updates in der Softwareverwaltung.
Container: Anwendungen in Docker-Containern brauchen aktualisierte Images.

5. Backup prüfen

Bevor größere Updates oder eine Umstellung der PHP-Version anstehen, sollte eine aktuelle Datensicherung vorhanden sein. Bewährt hat sich die 3-2-1-Regel aus unserem Ratgeber IT-Sicherheit für kleine Betriebe: 7 Maßnahmen.

Praxistipp: Testen Sie, ob sich die Sicherung Ihrer Website tatsächlich wiederherstellen lässt.

6. Nach dem Update kontrollieren

Läuft die neue Version wirklich? Prüfen Sie die Versionsnummer nach dem Update noch einmal.
Funktioniert alles? Testen Sie Website, Kontaktformulare und Shop-Bestellungen.
Gibt es Auffälligkeiten? Unbekannte Dateien oder Benutzerkonten sind ein Warnsignal. Im Zweifel greift Ihr IT-Notfallplan.

Fazit: Wartung ist kein Extra, sondern Pflicht

PHP2Shell war ein Weckruf, und es wird nicht der letzte sein. Fachleute rechnen in den kommenden Jahren mit vielen weiteren schweren Lücken, die dank KI schneller gefunden und ausgenutzt werden. Ob Ihre Website im Ernstfall offline gehen muss oder einfach weiterläuft, hängt vor allem davon ab, ob sie regelmäßig gewartet wird. Eine einmal gebaute und dann vergessene Website ist heute ein Risiko für Ihren Betrieb.

Sie sind unsicher, ob Ihre Website oder Ihr Shop betroffen ist? Wir von xKMU digital solutions aus Weimar unterstützen kleine Betriebe bei Hosting, Websites und IT-Sicherheit, verständlich und ohne Fachchinesisch. Sprechen Sie uns an: Wir prüfen Ihre PHP-Version, spielen Updates ein und sorgen dafür, dass Ihre Seite auch bei der nächsten Lücke sicher weiterläuft.