Kurz gesagt: Die großen Hoster haben die kritische PHP-Lücke inzwischen geschlossen. Wer seine Webseite in einem normalen Hosting-Paket hat, muss in der Regel nichts tun.
Am 21. Oktober 2026 hat das PHP-Projekt zwei schwere Sicherheitslücken geschlossen, die unter dem Namen „PHP2Shell“ durch die Fachpresse gingen. Viele Hoster haben am selben Tag Formulare eingeschränkt oder Webseiten für einige Stunden vom Netz genommen. Falls eure Seite am Mittwoch, den 21. Oktober, für einige Zeit nicht erreichbar war oder ein Kontaktformular gehakt hat: Das war Absicht und diente eurem Schutz.
In diesem Beitrag fassen wir zusammen, was passiert ist, wie der Stand bei den Hostern ist, mit denen wir arbeiten, und woran ihr erkennt, ob eure Seite abgesichert ist.
Was ist PHP2Shell?
PHP ist die Programmiersprache, auf der ein Großteil aller Webseiten läuft, darunter alle WordPress-, TYPO3- und Joomla-Seiten. Die Lücke steckt nicht in WordPress oder einem Plugin, sondern in PHP selbst, also eine Ebene darunter. Ein WordPress-Update hilft deshalb nicht, nur ein PHP-Update auf dem Server.
Die beiden Schwachstellen haben die Kennungen CVE-2026-109618 und CVE-2026-109619. Das BSI schätzt sie als kritisch ein (9,2 von 10 Punkten): Angreifer könnten aus der Ferne und ohne Login eigenen Code auf dem Webserver ausführen. Der Name ist eine Anspielung auf die bekannte Lücke „Log4Shell“ von 2021. (BSI-Warnung)
So lief es ab:
- 20. Oktober: Das PHP-Projekt kündigt das Sicherheitsupdate an. BSI und CERT-EU warnen.
- 21. Oktober, ca. 15:30 Uhr: Die korrigierten PHP-Versionen erscheinen, kurz vor dem angekündigten Termin um 16 Uhr. Kurz darauf kursieren erste Angriffsbeispiele. (CERT-EU)
- 21./22. Oktober: Die Hoster spielen die Updates ein, teils mit vorübergehenden Abschaltungen.
Diese PHP-Versionen sind abgesichert:
| PHP-Zweig | Sicher ab Version |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 und älter | keine offizielle Version, nur Nachbesserungen einzelner Hoster |
Wichtig ist die genaue Nummer: „PHP 8.3“ allein sagt noch nichts, abgesichert ist erst 8.3.36.
Stand bei den einzelnen Hostern
Alle vier Hoster, bei denen wir Kundenseiten betreuen, haben die Updates selbst eingespielt. Kunden mussten dafür nichts tun. Stand: 22. Oktober 2026, Nachmittag.
| Hoster | Was passiert ist | Stand |
|---|---|---|
| mittwald | Ab 14:16 Uhr Formulare und Uploads eingeschränkt, ab 16:17 Uhr alle Webseiten vorsorglich vom Netz. Am Abend schrittweise wieder online. | Behoben seit 22.10., 0:28 Uhr. Ausnahme: sehr alte Versionen unter PHP 5.6. Kein Hinweis auf Angriffe auf der eigenen Infrastruktur. |
| IONOS | Ab 17:44 Uhr Updates auf allen Systemen, dabei kurze Unterbrechungen. Vorher schon Firewall-Regeln und angepasste PHP-Einstellungen. | Abgeschlossen am 22.10., 13:03 Uhr. Gilt für Webhosting, Managed WordPress und MyWebsite. |
| Raidboxes | Keine öffentliche Statusmeldung. Laut Support-Auskunft wurden die PHP-Versionen 8.2 bis 8.5 aktualisiert. | Unsere eigenen Prüfungen zeigen gepatchte Versionen (z. B. 8.3.36 vom 21.10.). |
| Host Europe | Schutzmaßnahmen schon vor dem Patch aktiv, Update direkt nach Veröffentlichung am 21.10. begonnen. | Laut Host Europe sind die Systeme geschützt, auch während das Update läuft. |
Wichtig für eigene Server: Alle Hoster weisen darauf hin, dass sie nur ihre Hosting-Pakete aktualisieren. Wer einen eigenen VPS oder dedizierten Server betreibt, muss PHP dort selbst aktualisieren.
Andere Hoster: Auch Hetzner, netcup, webgo und manitu haben die Updates am 21. und 22. Oktober eingespielt. Für STRATO und ALL-INKL.COM lagen am 22. Oktober Ankündigungen vor, aber noch keine öffentliche Abschlussmeldung.
Die Original-Meldungen: mittwald Statusseite · IONOS Statusseite · Raidboxes Statusseite · Host Europe FAQ
Was wir bei BRANDORT gemacht haben
Wir haben uns nicht allein auf die Statusmeldungen verlassen, sondern die Webseiten unserer Kundinnen und Kunden selbst geprüft.
- PHP-Versionen kontrolliert: Für die betreuten Seiten haben wir die genaue PHP-Version abgelesen, nicht nur den Zweig.
- Veraltete Versionen angehoben: Alle WordPress-Seiten bei Raidboxes laufen jetzt mindestens auf PHP 8.3.
- Funktionstests gemacht: Nach den Umstellungen haben wir geprüft, ob Seiten und Formulare wieder normal laufen.
- Kunden informiert: Wer betroffen sein könnte, hat von uns eine persönliche Nachricht bekommen.
Ein Patch schützt erst ab dem Moment, in dem er eingespielt ist. Bei Seiten mit Shop oder Datei-Uploads werfen wir deshalb zusätzlich einen Blick auf Auffälligkeiten aus den Tagen davor.
Was ihr jetzt tun solltet
Eure Seite wird von uns betreut? Dann müsst ihr nichts tun. Wir haben eure Umgebung geprüft und melden uns, falls doch etwas anzupassen ist.
Ihr betreut eure Seite selbst? Dann helfen diese drei Schritte:
- PHP-Version prüfen. In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server, sonst im Kundenbereich eures Hosters. Vergleicht die Nummer mit der Tabelle oben.
- PHP 8.1 oder älter? Umstellen lassen. Für diese Versionen gibt es keine offizielle Korrektur mehr. Ein Sprung auf PHP 8.3 oder 8.4 sollte vorher getestet werden, weil alte Plugins oder Themes dabei streiken können.
- Auf Auffälligkeiten achten. Unbekannte Admin-Konten, fremde Weiterleitungen oder neue .php-Dateien im Upload-Ordner sind Warnzeichen. Dann bitte Passwörter ändern und Hilfe holen.
Vorsicht vor Phishing: Betrüger nutzen solche Meldungen gern für gefälschte E-Mails „von eurem Hoster“. Klickt keine Links in Mails zur PHP-Lücke an und gebt dort keine Zugangsdaten ein. Darauf weist auch IONOS ausdrücklich hin.
Kein Grund zur Panik, aber ein guter Anlass: PHP 8.2 bekommt ab dem 1. Januar 2027 keine Sicherheitsupdates mehr. Wer noch darauf läuft, sollte den Wechsel auf 8.3 oder 8.4 jetzt einplanen.
Fazit
PHP2Shell war eine der schwersten PHP-Lücken der letzten Jahre. Die Hoster haben schnell reagiert, und die meisten Webseiten sind inzwischen abgesichert. Unsicher bleiben vor allem Seiten auf alten PHP-Versionen und selbst verwaltete Server.
Ihr seid unsicher, wie es um eure Seite steht? Schreibt uns oder ruft an. Wir schauen es uns an und sagen euch ehrlich, ob etwas zu tun ist.