WordPress-Sicherheit nach PHP2Shell: Website jetzt prüfen

Sie betreiben eine Firmenwebsite mit WordPress, TYPO3, Joomla oder einen Shop mit Magento, und heute steht überall, dass Millionen Websites gefährdet sind. Die gute Nachricht zuerst: Es ist kein Fehler in Ihrem Redaktionssystem. Die schlechte: Das macht es nicht harmloser. Für die WordPress-Sicherheit zählt in diesen Tagen nicht das System selbst, sondern der Unterbau – und der heißt PHP.

Dieser Beitrag richtet sich an alle, die eine Website verantworten, ohne selbst Server zu betreuen.

Warum Ihr CMS betroffen ist, ohne schuld zu sein

Jedes dieser Systeme ist in PHP geschrieben. PHP ist die Sprache, in der der Server die Seite zusammenbaut, bevor er sie ausliefert. Die Lücken CVE-2026-109618 und CVE-2026-109619 – zusammen PHP2Shell genannt – sitzen in PHP selbst, eine Ebene unter Ihrem CMS.

Für Sie heißt das: Ein Update von WordPress, TYPO3 oder Magento hilft hier nicht. Was hilft, ist eine aktuelle PHP-Version auf dem Server. Sicherheitsforscher nennen als betroffen unter anderem WordPress, TYPO3, Joomla, Drupal, MediaWiki, Roundcube und Magento – nicht als Vorwurf, sondern weil sie alle auf demselben Fundament stehen.

Die technische Einordnung der Lücke und die Reihenfolge für Serverbetreiber stehen in PHP-Sicherheitslücke PHP2Shell: Was Sie heute tun müssen.

Die eine Frage, die Sie klären müssen

Läuft auf Ihrem Webserver PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 – oder etwas Älteres?

Alles andere ergibt sich daraus. Wo Sie die Antwort finden, hängt davon ab, wie Ihre Website betrieben wird.

Webhosting-Paket bei einem Anbieter

Loggen Sie sich in den Kundenbereich Ihres Anbieters ein. Dort gibt es üblicherweise einen Punkt wie „PHP-Version" oder „PHP-Einstellungen", der die aktuell eingestellte Version anzeigt. Viele Anbieter haben heute von sich aus aktualisiert und informieren per E-Mail oder Statusseite darüber. Sehen Sie dort zuerst nach.

Wichtig ist die Unterscheidung zwischen Haupt- und Nebenversion. In der Anzeige steht oft nur „PHP 8.3". Die Lücke ist aber erst ab 8.3.36 geschlossen – ein 8.3.35 wäre weiterhin verwundbar. Wenn die genaue Nummer nicht sichtbar ist, fragen Sie danach.

Eigener oder gemieteter Server

Dann betreut das jemand: eine Agentur, ein Systemhaus oder Ihre eigene IT. Fragen Sie dort nach der genauen Version und dem Zeitpunkt der Aktualisierung.

Website von einer Agentur betreut

Hier liegt die häufigste Lücke – nicht die technische, die organisatorische. „Die Agentur macht das schon" ist keine Grundlage, auf der Sie im Schadensfall stehen. Schreiben Sie eine kurze E-Mail mit drei Fragen und bitten Sie um schriftliche Antwort: Welche PHP-Version läuft? Wann wurde aktualisiert? Wurde geprüft, ob zwischen dem 20. Oktober und dem Patch etwas passiert ist?

Wenn die PHP-Version veraltet ist

Bei vielen Hosting-Paketen lässt sich die PHP-Version im Kundenbereich selbst umstellen. Das ist verlockend und meistens richtig – aber nicht risikofrei.

Ein Sprung auf eine neuere Hauptversion, etwa von 7.4 auf 8.3, kann dazu führen, dass alte Erweiterungen nicht mehr laufen und die Seite danach Fehler zeigt oder weiß bleibt. Ein Sprung innerhalb derselben Hauptversion, etwa von 8.3.35 auf 8.3.36, ist dagegen in aller Regel unkritisch – genau dafür gibt es Nebenversionen.

Praktisches Vorgehen: Prüfen Sie, ob Ihr Anbieter innerhalb Ihrer Hauptversion eine gepatchte Fassung anbietet, und nehmen Sie die. Steht Ihre Hauptversion auf 7.x oder älter, erscheint dort kein Patch mehr – dann führt kein Weg an einem Wechsel vorbei, und der gehört vorbereitet statt am Freitagabend durchgezogen.

Legen Sie vorher eine Sicherung an. Immer.

Was Sie im CMS selbst nachsehen sollten

Unabhängig von der PHP-Version lohnt ein Blick in die Verwaltung Ihrer Website. Angriffe über eine solche Lücke hinterlassen typischerweise etwas, das den Zugang offenhält, auch nachdem die Lücke geschlossen ist.

Worauf Sie auf Serverebene achten müssen, steht ausführlich in PHP2Shell-Angriff erkennen. Wie eine Firmenwebsite dauerhaft gepflegt gehört, damit solche Tage weniger hektisch verlaufen, beschreibt Firmenwebsite sicher betreiben.

Besonderheit Onlineshop

Bei einem Shop steht mehr auf dem Spiel als bei einer Visitenkarten-Website: Kundendaten, Adressen, Bestellhistorie und je nach Anbindung Zahlungsvorgänge. Sicherheitsforscher haben Magento ausdrücklich als betroffen genannt.

Wenn Sie einen Shop betreiben und heute nicht sicher sagen können, dass Ihre PHP-Version aktuell ist, ist das Abschalten des Shops für ein paar Stunden die günstigere Entscheidung. Ein Tag ohne Bestellungen ist ärgerlich. Ein Abfluss von Kundendaten bringt Meldepflichten, Vertrauensverlust und unter Umständen Haftungsfragen mit sich.

Was Sie jetzt nicht tun sollten

Nicht blind die Sicherung einspielen. Wenn der Zugang schon vor Tagen entstand, holen Sie ihn damit zurück. Erst klären, dann wiederherstellen.

Nicht verdächtige Dateien sofort löschen. Bei einem konkreten Verdacht sind das Beweismittel. Wer sie wegräumt, verliert die Möglichkeit herauszufinden, was passiert ist – und warnt den Angreifer.

Nicht auf „bei uns gibt es nichts zu holen" bauen. Gesucht wird automatisiert über das gesamte Netz. Eine kleine Website ist kein unauffälliges Ziel, sondern ein leichtes.

Checkliste: erste Schritte

Wie DAVINCI unterstützt

Wir stellen fest, welche PHP-Version Ihre Website wirklich nutzt, bringen sie auf einen sicheren Stand und sehen nach, ob in den kritischen Tagen etwas passiert ist. Dauerhaft betreuen wir Websites im Rahmen von Webdesign und SEO, inklusive Updates und Überwachung. Bei einem konkreten Verdacht übernimmt unser Incident Response. Sprechen Sie uns über die Kontaktseite an.

Verwandte Themen: Wer hier weiterdenkt, liest bei WordPress-Sicherheit, PHP-Sicherheitslücke und TYPO3 ablösen weiter.