Am 21. Oktober 2026 wurde eine kritische Sicherheitslücke in PHP öffentlich, der Technik hinter den meisten Websites. Angreifer können darüber Schadcode auf dem Server ausführen, ohne Login. Ich erkläre die Lücke verständlich und prüfe Ihre Seite auf Wunsch persönlich.
PHP ist die Programmiersprache, auf der ein Großteil des Internets läuft, darunter WordPress, WooCommerce, Shopware, TYPO3 und Joomla. Im Kern von PHP stecken zwei Fehler, zusammengefasst unter dem Namen PHP2Shell. Über sie kann ein Angreifer aus der Ferne Befehle auf dem Server ausführen, ohne Passwort und ohne Benutzerkonto.
Die offiziellen Kennungen lauten CVE-2026-109618 und CVE-2026-109619. Sicher sind Sie erst ab PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Ältere Versionen erhalten teils gar keine Updates mehr.
Die Lücke steckt nicht im Theme, nicht im Plugin und nicht in WordPress selbst, sondern eine Ebene tiefer, im Server. Sie können jedes Plugin aktualisieren und trotzdem angreifbar bleiben. Entscheidend ist die PHP-Version auf dem Server. Die muss aktualisiert werden, und das macht in der Regel Ihr Hoster oder der Betreuer der Seite.
Wahrscheinlich ja, wenn Ihre Website auf einem dieser Systeme läuft:
Nicht betroffen sind reine Baukasten-Seiten (z. B. Wix, Jimdo, Squarespace) und moderne Seiten ohne PHP. Im Zweifel hilft der schnelle Selbst-Check.
Diese drei Fragen können Sie in einer kurzen E-Mail an Ihren Hoster oder Website-Betreuer stellen:
Diese Versionen bekommen keine offiziellen Updates mehr. Hier besteht dringender Handlungsbedarf.
Hoster patchen oft, ohne die Versionsnummer zu ändern. Lassen Sie sich den Patch-Stand ausdrücklich bestätigen.
Diese Versionen enthalten den Patch. Trotzdem lohnt ein Blick, ob wirklich alles umgestellt wurde.
Dieser Selbst-Check ist eine erste Orientierung, kein vollständiges Sicherheits-Audit. Eine verlässliche Prüfung schaut auch auf Konfiguration, Updates und mögliche Angriffsspuren.
Sie wissen nicht, welche PHP-Version läuft, oder wollen auf Nummer sicher gehen? Ich schaue mir Ihre Seite an und sage Ihnen verständlich, ob Handlungsbedarf besteht. Kostenlos und unverbindlich.
Lieber per E-Mail? Schreiben Sie an kontakt@digitalschmiede.tech und nennen Sie Ihre Website-Adresse.
Hinweis: Dieser Service ersetzt keine Rechtsberatung und kein vollständiges Sicherheits-Audit. Eine Prüfung Ihrer Website erfolgt nur mit Ihrer Zustimmung als Betreiber.