php2shell: diese sicherheitslücke kann ihre website übernehmen

was ist am 21. oktober passiert?

Am Abend des 20. Oktober haben die Entwickler von PHP gewarnt: Morgen kommt ein kritisches Sicherheitsupdate. Mehr haben sie nicht verraten. Am 21. Oktober war es dann so weit, und die Lücke war öffentlich. Früher als geplant, denn laut Berichten waren Details schon vorher durchgesickert. Für alle, die eine PHP-Website haben, hieß das: keine Zeit zum Durchatmen.

Die offizielle Warnung auf php.net ist deutlich: „Critical remote code execution vulnerabilities, update now“. Heißt auf Deutsch: Fremde können von außen Befehle auf Ihrem Server ausführen. Sofort updaten.

Der derStandard spricht von extrem gefährlichen Lücken. Gefunden haben sie die Sicherheitsfirmen Calif und Wiz zusammen mit OpenAI, und zwar mit Hilfe von KI. Das Problem steckt laut den Forschern schon seit 2004 in PHP. Nur hat bisher niemand gezeigt, dass man damit angreifen kann. Jetzt schon.

warum ist das so gefährlich?

Weil PHP fast überall läuft. Laut W3Techs sind es 69,3 Prozent aller Websites, bei denen sich das messen lässt. Ihre Firmenwebsite mit WordPress, der Onlineshop, das Reservierungssystem, das Kundenportal: Läuft darunter PHP, war es bis zum Update angreifbar.

Dazu kommt: Die Lücke steckt nicht in einem Plugin, das man schnell abschaltet. Sie steckt in PHP selbst. Ihr WordPress kann topaktuell sein, das hilft hier nichts. Es zählt nur die PHP-Version auf dem Server. Und um die kümmert sich in vielen Firmen keiner.

Sicherheitsforscher schätzen, dass über eine Million Server angreifbar sind. Die Entdecker sagen, sie haben die Lücke erfolgreich gegen WordPress, Joomla, Drupal, Magento, Nextcloud und phpMyAdmin getestet. Also genau gegen das, was in vielen Betrieben jeden Tag läuft.

was kann ein angreifer mit ihrer website anstellen?

Im Grunde alles. Wer auf Ihrem Server Befehle ausführen kann, hat ihn übernommen. Das heißt:

• Ihre Kundendaten, Bestellungen und Anfragen kopieren. Und bei einem Datenleck haften nach der DSGVO Sie, nicht der Angreifer.
• Passwörter und Zugangsdaten abgreifen. Mit einer der beiden Lücken kann man in den Arbeitsspeicher des Servers schauen. Genau dort liegen solche Daten.
• Ihre Website verändern. Besucher auf Betrugsseiten umleiten, Schadsoftware ausliefern, gefälschte Zahlungsseiten einbauen.
• Eine Hintertür ablegen und wiederkommen, wann es dem Angreifer passt. Auch Wochen später, auch nach Ihrem Update.
• Sie erpressen. Laut der Sicherheitsfirma Tenable wurden frühere PHP-Lücken schon dafür genutzt: Daten werden verschlüsselt und erst gegen Lösegeld wieder freigegeben.

Und das Fiese daran: Sie merken erst einmal nichts. Die Website sieht aus wie immer. Wer eine Hintertür einbaut, will ja nicht auffallen.

wird die lücke schon ausgenutzt?

Das österreichische CERT.at sagt: Der Angriffscode ist schon im Internet aufgetaucht. Mehrere Sicherheitsfirmen haben erste Angriffe auf ihre Testserver gesehen. Laut der Sicherheitsfirma Patchstack haben Hoster schon am Morgen des 21. Oktober Angriffe gemeldet. Und die EU-Cybersicherheitsstelle CERT-EU warnt, dass die Gefahr echter Angriffe damit steigt.

Das deutsche BSI hatte am 21. Oktober noch keinen bestätigten Angriff. Darauf würden wir uns nicht verlassen. Zwei frühere PHP-Lücken aus 2019 und 2024 wurden nach der Veröffentlichung auch aktiv für Angriffe genutzt, teils für Erpressung. Wer jetzt abwartet, pokert.

wer hat den stecker gezogen?

Schon in der Nacht davor hat CERT.at geraten: Wenn möglich, Systeme herunterfahren. Viele haben das gemacht. Laut Medienberichten haben die Universität Wien, die TU Wien, die WU, die BOKU, die MedUni Wien und die JKU Linz Websites, Webmail, Lernplattformen und Formulare abgedreht. Auch die NÖN und die Caritas waren zeitweise nicht erreichbar.

Laut derStandard haben auch große Webhoster vorsorglich Dienste abgeschaltet, bis ihre Server sicher waren. In den Niederlanden hat ein Hoster laut Berichten Kundenseiten vom Netz genommen, und staatliche Onlinedienste waren weg. In Deutschland waren laut Medienberichten sogar Websites von Bundesministerien zeitweise offline.

Am härtesten hat es Firmen erwischt, deren Software noch auf PHP 8.1 oder älter läuft. Dafür gibt es kein offizielles Update mehr. Und auf einer neueren Version läuft ihr alter Code nicht ohne Anpassungen. Also blieb nur eins: abschalten. Ein Buchungssystem, das offline ist, nimmt keine Buchungen an. Ein Shop, der offline ist, verkauft nichts.

ist ihre website betroffen?

Wenn Ihre Website, Ihr Shop oder Ihre Software mit PHP läuft und Sie nicht sicher wissen, ob seit dem 21. Oktober aktualisiert wurde: Ja, vielleicht. Klären Sie heute noch diese drei Fragen.

• Welche PHP-Version läuft auf Ihrem Server, und wurde sie seit dem 21. Oktober aktualisiert? Fragen Sie Ihren Hoster oder Ihre Agentur und lassen Sie es sich schriftlich bestätigen.
• Läuft noch PHP 8.1 oder älter? Dann gibt es kein offizielles Update, und Sie müssen umsteigen. Wie das geht, ohne dass Ihre Software ausfällt, steht im Artikel PHP Version aktualisieren.
• Hat jemand geprüft, ob auf dem Server neue oder veränderte Dateien liegen? Die britische Cybersicherheitsbehörde NCSC rät ausdrücklich, nach Hintertüren zu suchen. Ein Update schließt die Tür, wirft aber niemanden hinaus, der schon drin ist.

warum unsere kunden ruhig schlafen konnten

Die Websites, die wir bei creatingfaces bauen, laufen mit Next.js und nicht mit PHP. Dasselbe gilt für die Buchungssoftware und die CRM-Systeme, die wir für unsere Kunden betreiben. Während andere am 21. Oktober abschalten mussten, war bei uns nichts davon betroffen. Kein System musste vom Netz, alles war den ganzen Tag erreichbar.

Die WordPress-Seiten unserer Kunden liegen immer auf Managed Servern. Dort kümmert sich der große Hosting-Anbieter mit seinem eigenen Sicherheitsteam darum, solche PHP-Lücken zu schließen.

Und falls doch einmal jemand durchkommt, gibt es bei den meisten unserer Kunden eine zweite Absicherung: Unser Reporting erkennt automatisch, wenn sich auf einer Instanz Code ändert oder neue Dateien abgelegt werden, egal ob WordPress, Shopware oder ein anderes System. Genau die Hintertür, vor der die Behörden jetzt warnen, fällt bei uns auf, bevor sie benutzt wird.

• php.net: Security advisory, 21.10.2026
• CERT.at: Kritische Sicherheitslücken in PHP, Updates verfügbar
• BSI: Cybersicherheitswarnung PHP
• CERT-EU: Security Advisory 2026-018
• NCSC UK: Critical security issue affecting PHP
• derStandard: Warnung vor extrem gefährlichen PHP-Lücken
• MeinBezirk: Webseiten österreichischer Organisationen und Firmen down
• Tenable: PHP2Shell FAQ
• Dr. Web: Erste Angriffe auf PHP-Lücken (Patchstack)
• Calif: PHP2Shell
• W3Techs: Usage statistics of PHP
• W3Techs: PHP 8 Versionen

Stand: 21. Oktober 2026. Die Lage ändert sich laufend, wir halten den Artikel aktuell. Den Anteil der Websites ohne offizielles Update haben wir aus den Versionszahlen von W3Techs berechnet.