Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP veröffentlicht – PHP2Shell, CVE-2026-109618 und CVE-2026-109619, CVSS 9.2 von 10. Ein Angreifer kann damit aus der Ferne eigenen Code auf dem Webserver ausführen, ohne Anmeldung und ohne dass jemand auf etwas klicken muss. Angriffe liefen nachweislich schon, bevor der Patch verfügbar war.
Betroffen ist praktisch jede Website auf WordPress, TYPO3, Joomla oder Drupal. Viele Unternehmen haben ihre Seite daraufhin vom Netz genommen – richtig, das BSI nennt genau das als Alternative zum sofortigen Patch. Nur stellt sich danach die Frage, wie man geordnet zurückkommt.
Diese Seite beschreibt, was wir in so einer Lage tun. Wenn es brennt, rufen Sie an: 0621 877 55 990, rund um die Uhr.
Drei Lagen, drei Antworten
Suchen Sie sich die heraus, die auf Sie zutrifft.
- „Ich weiß nicht, ob ich betroffen bin.“Der häufigste Fall. Erster Schritt ist der kostenlose Sichtcheck, zweiter der Quick-Check für 49 Euro – damit haben Sie innerhalb eines Arbeitstages Klarheit statt Vermutungen.
- „Meine Seite ist offline, ich will zurück.“Wir sichern erst Beweise, prüfen das Zeitfenster, patchen vollständig, erneuern Zugangsdaten und fahren gestuft hoch. In dieser Reihenfolge – nicht andersherum.
- „Auf meiner Seite steht etwas Fremdes.“Dann ist es kein Verdacht mehr. Nichts löschen, nichts neu starten. Rufen Sie an, wir übernehmen ab dort – inklusive der Frage, ob personenbezogene Daten betroffen sind.
Was kostet was
Zwei Angebote, klar getrennt. Der kostenlose Sichtcheck läuft im Browser, der Quick-Check ist menschliche Arbeit.
| Leistung | Was dabei passiert | Preis |
|---|---|---|
| Sichtcheck (Werkzeug) | Zeigt, was Ihre Website von außen preisgibt: PHP, Redaktionssystem, sichtbare Versionen, Schutzkopfzeilen. Sofort, ohne Anmeldung. | kostenlos |
| Quick-Check durch unser Team | Die tatsächliche PHP-Fassung, Zustand der Erweiterungen, Durchsicht des kritischen Zeitfensters, schriftliches Ergebnis mit Empfehlung. | 49 € |
| Bereinigung und Wiederanlauf | Beweissicherung, vollständiges Patchen, Erneuerung der Zugangsdaten, gestuftes Hochfahren, Bericht. | nach Aufwand |
| Bestätigter Vorfall | Aufarbeitung über Incident Response: Eintrittsweg klären, Neuaufbau auf sauberer Grundlage, Unterstützung bei Meldepflichten. | nach Aufwand |
So läuft der Quick-Check ab
Vier Schritte. Sie brauchen dafür keine technischen Kenntnisse.
- Adresse nennenSie schicken uns die Adresse Ihrer Website und sagen, wer sie heute betreut.
- Zugang klärenWir sagen Ihnen, welchen Zugang wir brauchen – meist genügt der Kundenbereich beim Hoster. Ohne Zugang keine belastbare Aussage.
- PrüfungWir stellen die tatsächliche PHP-Fassung fest, sehen uns den Zustand der Erweiterungen an und gehen das Zeitfenster ab dem 20. Oktober durch.
- Schriftliches ErgebnisSie bekommen auf einer Seite: was in Ordnung ist, was zu tun ist, was offen bleibt. Mit Prüfumfang – damit die Aussage belastbar ist.
Erst selbst nachsehen
Bevor Sie etwas beauftragen – diese vier Seiten kosten nichts und beantworten das meiste.
- PHP-SicherheitscheckKostenloses Werkzeug: Was gibt Ihre Website von außen über sich preis?Ansehen →
- Bin ich von PHP2Shell betroffen?Die Einordnung für Entscheider, ohne Fachjargon.Ansehen →
- Was jetzt zu tun istDie Reihenfolge für Serverbetreiber, Schritt für Schritt.Ansehen →
- Website vom Netz genommenDer geordnete Weg zurück, ohne das Problem mitzunehmen.Ansehen →
Häufige Fragen
- Wie schnell können Sie helfen?
- Den Quick-Check bearbeiten wir innerhalb eines Arbeitstages. Bei einem akuten Vorfall – fremde Inhalte auf der Seite, Erpresserschreiben, Datenabfluss – erreichen Sie uns rund um die Uhr unter 0621 877 55 990.
- Was kostet der Quick-Check?
- 49 Euro, einmalig und ohne Vertrag. Darin enthalten ist die Feststellung der tatsächlichen PHP-Fassung, eine Durchsicht der Erweiterungen, die Prüfung des kritischen Zeitfensters und ein schriftliches Ergebnis mit Empfehlung.
- Müssen wir Kunde sein?
- Nein. Der Quick-Check steht jedem offen, auch wenn Ihre Website von einer anderen Agentur betreut wird. Ergibt sich daraus nichts, war es das – wir verkaufen Ihnen nichts hinterher.
- Unsere Agentur sagt, es sei alles in Ordnung. Brauchen wir das trotzdem?
- Lassen Sie sich zuerst sagen, welche PHP-Fassung läuft, wann aktualisiert wurde und welcher Zeitraum geprüft wurde. Kommen darauf belastbare Antworten, brauchen Sie uns nicht. Kommt „ist alles gepatcht“ ohne Zahlen, ist eine zweite Meinung 49 Euro wert.
- Was braucht ihr von uns?
- Für den Sichtcheck nichts außer der Adresse. Für den Quick-Check einen lesenden Zugang – meist genügt der Kundenbereich beim Hoster. Ohne Zugang lässt sich die laufende PHP-Fassung nicht feststellen, und dann wäre jede Aussage geraten.
- Wir haben schon gepatcht. Reicht das?
- Der Patch schließt die Lücke, entfernt aber nicht, was vorher hereingekommen sein könnte. Angriffe liefen schon vor Veröffentlichung des Patches. Wer in diesem Fenster ein verwundbares System im Netz hatte, sollte die Protokolle ansehen – genau das ist Teil des Quick-Checks.
- Was, wenn Sie etwas finden?
- Dann sagen wir Ihnen, was belegt ist, und schlagen das weitere Vorgehen vor. Die Aufarbeitung läuft über unser Incident Response. Ob Sie das bei uns beauftragen, entscheiden Sie danach – die Erkenntnisse gehören Ihnen in jedem Fall.
- Gilt das nur für WordPress?
- Nein. PHP2Shell betrifft jede Website, die auf PHP läuft – auch TYPO3, Joomla, Drupal, Shops und selbst entwickelte Anwendungen. Das Verfahren ist dasselbe.