Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Sicherheitslücken veröffentlicht. PHP ist die Technik, die im Hintergrund der meisten Websites arbeitet – bei WordPress, Onlineshops und unzähligen individuellen Anwendungen. Weil die PHP-Sicherheitslücke so weit verbreitet ist, stellen sich derzeit viele Unternehmer die Frage: Ist meine Website betroffen? Hier die Antwort für unsere Kunden – und ein klarer Weg für alle anderen.

In diesem Beitrag erklären wir Inhabern, Geschäftsführern und Marketingverantwortlichen ohne Technik-Vorwissen, was passiert ist, warum Behörden in ganz Europa gewarnt haben, warum die Lage trotzdem beherrschbar ist – und welche eine Frage Sie Ihrem Hoster oder Ihrer Agentur jetzt stellen sollten. Sie müssen dafür nichts installieren und keine Fachbegriffe lernen. Sie müssen nur sicherstellen, dass sich jemand gekümmert hat.

Ist Ihre Website von der PHP-Sicherheitslücke betroffen?

Die kurze Antwort: Das entscheidet nicht Ihre Website, sondern der Server, auf dem sie läuft – genauer die PHP-Version dort. Für Kunden von MyRocketPage ist die Antwort eindeutig: Sie sind nicht betroffen.

Wenn Ihre Website mit MyRocketPage läuft, müssen Sie nichts tun. Alle MyRocketPage-Websites laufen auf den Servern von pxMEDIA. Dort wurde das PHP-Sicherheitsupdate bereits am 21. Oktober 2026 eingespielt – am Tag der Veröffentlichung, auf allen Systemen, mit anschließender Funktionsprüfung. Ihre Website ist seitdem gegen diese Lücke geschützt. Niemand muss ein Update anstoßen, niemand muss etwas prüfen, niemand muss bei uns anrufen.

Genau das ist der Grundgedanke von MyRocketPage: Server, Updates und Sicherheit sind unsere Aufgabe, nicht Ihre. Wenn Sie es dennoch schwarz auf weiß möchten, erreichen Sie uns unter 0381 36 76 60 40.

Wenn Ihre Website nicht bei MyRocketPage liegt, lesen Sie weiter. Dann gibt es eine konkrete Aufgabe für Sie – keine große, aber eine wichtige.

Was ist passiert? Die PHP-Lücke „PHP2Shell“ in wenigen Sätzen

PHP ist eine Programmiersprache, die auf dem Server läuft, also auf dem Rechner, der Ihre Website an die Besucher ausliefert. Ruft jemand eine Seite auf, setzt PHP dort im Hintergrund die Inhalte zusammen, verarbeitet Formulare, Anmeldungen und Bestellungen. Nach einer Schätzung des Sicherheitsunternehmens Wiz steckt PHP hinter mehr als 70 Prozent aller Websites: WordPress, Onlineshops, Content-Management-Systeme wie Typo3, Joomla und Drupal, die Lernplattform Moodle und viele individuell entwickelte Anwendungen.

Am 21. Oktober 2026 hat das PHP-Projekt zwei Schwachstellen bekannt gemacht und gleichzeitig korrigierte Versionen bereitgestellt – nachzulesen in der offiziellen Ankündigung des PHP-Projekts. Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619, in den Medien laufen sie unter dem Namen „PHP2Shell“. Eine CVE-Kennung ist eine weltweit einheitliche Nummer für eine bekannte Schwachstelle – damit Hersteller, Behörden, Hoster und Agenturen sicher über dasselbe Problem sprechen.

Beide Lücken sind nach dem Bewertungssystem CVSS v4.0 mit 9,2 von 10 Punkten eingestuft, also als kritisch. CVSS ist die gängige Skala, mit der Fachleute die Schwere einer Sicherheitslücke einordnen; Werte ab 9 gehören zur höchsten Stufe. Entdeckt wurden die Lücken von Sicherheitsforschern rund zwei Monate vor der Veröffentlichung. Diese Zeit wurde genutzt, um die Korrekturen vorzubereiten – deshalb kamen Warnung und Update am selben Tag.

Warum die Lücke so ernst genommen wird

Der Kern des Problems: Angreifer können unter bestimmten Voraussetzungen eigenen Programmcode auf einem betroffenen Server ausführen, ohne sich anzumelden. Fachleute sprechen von Remote Code Execution – Ausführung von Code aus der Ferne. Wer eigenen Code auf einem Server ausführen kann, bewegt sich dort im schlimmsten Fall so, als säße er selbst am Rechner. Genau deshalb gehört diese Art von Lücke zu den ernstesten, die es gibt.

Beide Fehler stecken im PHP-Laufzeitcode selbst, nicht in einer einzelnen Website oder einem bestimmten Programm. Das PHP-Projekt schreibt in seinen Sicherheitshinweisen, dass es keine vollständige Abhilfe gibt: Das Update ist die einzige sichere Wahl. Einstellungen, Plugins oder Firewall-Regeln können die Lücke also nicht zuverlässig ersetzen.

Betroffen sein können alle PHP-Installationen, die Webanfragen bedienen – PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Diese Namen müssen Sie nicht kennen; sie beschreiben die üblichen Wege, auf denen PHP auf Webservern läuft. Wichtig ist: Damit ist praktisch jede gängige Hosting-Umgebung gemeint.

Hinzu kommt: Ein Beispielprogramm, das die Ausnutzung vorführt, ist öffentlich. Die US-Behörde CISA (Warnung vom 21.10.2026) und das Canadian Centre for Cyber Security (Alert AL26-026) kannten zum Zeitpunkt ihrer Warnungen noch keine bestätigte erfolgreiche Ausnutzung; Cloudflare und Sicherheitsforscher beobachten aber bereits Angriffsversuche. Dieser Stand kann sich schnell ändern (Stand: 22.10.2026).

Wie Behörden in Deutschland und Europa reagiert haben

In Deutschland hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Warnstufe 3, Orange, ausgerufen und rät, ungepatchte Server im Zweifel vorübergehend vom Netz zu nehmen. Die Europäische Kommission, die EU-Agentur ENISA, CERT-EU, Europol EC3 und das EU-Netz der nationalen CSIRTs haben am 21. Oktober gemeinsam gewarnt – die gemeinsame Erklärung ist bei ENISA veröffentlicht.

Zahlreiche Angebote gingen vorsorglich offline, darunter Webseiten der Landesregierung Baden-Württemberg, Ministeriums- und Polizeiseiten in Bayern, hessen.de, die Stadt Dresden, das Klinikum Nürnberg und die Universitätsklinika Heidelberg und Mannheim. Auch Unternehmen wie der Rechnungsdienst easybill waren vorübergehend nicht erreichbar. Darüber berichteten unter anderem teltarif und Security-Insider; einen Überblick über die internationalen Warnungen gibt The Record.

Für Unternehmer steckt darin eine wichtige Einordnung: Das Abschalten ist die Notbremse für Server, die nicht sofort aktualisiert werden können. Es zeigt, wie ernst die Lücke genommen wird – und gleichzeitig, wie viel davon abhängt, dass jemand zügig handelt. Eine Website, die vorsorglich offline ist, nimmt keine Anfragen an. Eine Website, die rechtzeitig aktualisiert wurde, muss gar nicht erst vom Netz.

Die Lücke ist für alle gleich. Der Unterschied liegt darin, wie schnell jemand das Update einspielt – und ob Sie wissen, wer dieser Jemand ist.

Einordnung: ernst, aber beherrschbar

Damit die Lage nicht größer wirkt, als sie ist: Nicht jede PHP-Website ist automatisch gehackt. Es gibt keine belegten Zahlen über massenhaft übernommene Websites. Die Lücke ist ernst, weil sie weit verbreitet und ohne Anmeldung ausnutzbar ist – nicht, weil bereits flächendeckend Schaden entstanden wäre. Wer das Update zügig eingespielt hat, hat das Wesentliche getan.

Beides gilt also gleichzeitig: Es gibt keinen Grund zur Panik, aber auch keinen Grund zum Abwarten. Die Korrektur liegt vor, sie ist erprobt, und sie lässt sich in aller Regel ohne großen Aufwand einspielen. Die eigentliche Gefahr ist nicht die Lücke selbst, sondern die Website, um die sich in diesen Tagen niemand kümmert.

Warum ein WordPress-Update hier nicht hilft

Wichtig zu wissen: Die Lücke steckt in der Server-Ebene, nicht in Ihrer Website selbst. Stellen Sie sich Ihre Website wie ein Haus vor: WordPress, Ihr Shop und Ihre Erweiterungen sind die Einrichtung, PHP ist das Fundament darunter. Ein Update von WordPress, Ihres Shops oder Ihrer Erweiterungen erneuert die Einrichtung – hier hilft es nicht. Es muss die PHP-Version auf dem Server aktualisiert werden.

Die korrigierten Versionen sind:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

PHP 8.1 und älter erhalten vom PHP-Projekt keine regulären Updates mehr; Betriebssystem- und kommerzielle Anbieter liefern teils eigene Nachbesserungen. Entscheidend ist also nicht „PHP 8.2 oder neuer“, sondern die konkrete Patch-Version oder eine nachweislich gleichwertige Korrektur. Eine Website auf „PHP 8.3“ kann ungeschützt sein, wenn dort noch eine Version vor 8.3.36 läuft.

Für technisch Verantwortliche, Agenturen und Hoster gibt es ausführlichere Hinweise zum Patchen in unserem Schwesterbeitrag PHP-Sicherheitslücke: Was Website-Betreiber jetzt tun sollten auf pxmedia.de. Wer tiefer in die Technik einsteigen möchte, findet bei Google Cloud eine Beschreibung, wie dort auf die beiden Kern-Schwachstellen reagiert wurde (englisch).

Website woanders? Die eine Frage an Ihren Hoster

Sie müssen nichts selbst installieren. Sie müssen aber dafür sorgen, dass es jemand tut und Ihnen bestätigt. Die meisten Website-Betreiber wissen nicht, welche PHP-Version auf ihrem Server läuft – und das muss auch nicht sein. Entscheidend ist, dass Ihr Hosting-Anbieter oder Ihre Agentur es weiß und gehandelt hat.

Die eine Frage, die Sie stellen sollten – zum Kopieren:
„Ist das PHP-Sicherheitsupdate vom 21.10.2026 bei meiner Website installiert und aktiv?“

Eine klare Antwort darauf lautet: „Ja, seit dem … auf Version …“. Alles andere ist ein Grund, nachzuhaken. „Installiert“ allein reicht nicht: Die laufenden Prozesse auf dem Server müssen die neue Version auch tatsächlich nutzen – erst dann ist die Korrektur aktiv. Und nach dem Update gehört ein kurzer Durchlauf dazu – Formulare, Shop, Anmeldung –, damit die Website weiterhin korrekt funktioniert. Gerade das Kontaktformular ist der Weg, über den Ihre Anfragen kommen; es sollte nach jedem Server-Update einmal getestet werden.

So gehen Sie vor:

  1. Herausfinden, wer Ihre Website betreibt. Bei welchem Anbieter liegt die Website, und wer betreut sie technisch? Oft steht der Hoster auf der Rechnung, die Agentur im Vertrag.
  2. Die Frage stellen. Per E-Mail, Ticket oder Telefon – wichtig ist, dass sie beantwortet wird. Schriftlich hat den Vorteil, dass Sie die Antwort für Ihre Unterlagen haben.
  3. Die Antwort prüfen. Version, Datum, Bestätigung, dass die Korrektur aktiv ist.
  4. Falls nötig: Update veranlassen. Bei PHP 8.1 und älter klären, ob der Anbieter eine Korrektur eingespielt hat, oder den Umstieg auf einen unterstützten Zweig planen.

Welche Aufgaben daraus für Website-Betreiber, Agenturen und Hoster folgen – inklusive der Frage, wie sich ein gepatchtes System erkennen lässt –, beschreibt Michael Selck im Beitrag PHP-Sicherheitslücke Oktober 2026: Was Website-Betreiber, Agenturen und Hoster jetzt tun müssen.

Warum bei MyRocketPage niemand nachfragen musste

Bei vielen Websites verteilt sich die Verantwortung: Der Hoster stellt den Server, die Agentur hat die Seite gebaut, ein Freelancer pflegt die Inhalte, und wer sich im Ernstfall um Server-Updates kümmert, ist nicht immer klar. Genau diese Lücke in der Zuständigkeit ist am 21. Oktober für viele Betreiber sichtbar geworden. Welche Vor- und Nachteile die verschiedenen Wege zur eigenen Website haben, beschreiben wir im Beitrag Baukasten, Freelancer oder Agentur?

MyRocketPage ist anders aufgebaut. Website, Server, Updates und Sicherheit kommen von einem Team, das die Technik täglich betreibt und das Sicherheitsmeldungen am Tag ihrer Veröffentlichung verarbeitet. Dazu gehört auch die laufende Analyse: Welche Seiten bringen Anfragen, wo springen Besucher ab, was lässt sich verbessern. Sicherheit ist dabei kein Zusatz, sondern Grundlage – ohne sie ist jede Conversion-Optimierung wertlos. Warum eine Website nie „fertig“ ist und laufende Pflege über den Erfolg entscheidet, lesen Sie im Beitrag Website ist nie fertig.

Wenn Sie überlegen, Ihre Website auf dieses Modell umzustellen, lohnt sich ein Gespräch über Ihre aktuelle Situation. Dafür erreichen Sie uns unter 0381 36 76 60 40 – ohne Verpflichtung, ohne Verkaufsdruck. Wie eine Website darüber hinaus mit Ihren Besuchern spricht und Anfragen vorqualifiziert, zeigen wir auf unserer Startseite unter Ihr KI-Vertriebsmitarbeiter.

Was das für Sie heißt

Je nachdem, wo Ihre Website liegt, ist Ihre Aufgabe unterschiedlich groß – aber in jedem Fall überschaubar:

  • Ihre Website läuft mit MyRocketPage: Sie müssen nichts prüfen, nichts installieren und nichts beauftragen. Das Update ist seit dem 21. Oktober 2026 auf allen Servern aktiv.
  • Ihre Website liegt woanders: Stellen Sie Ihrem Hoster oder Ihrer Agentur heute die eine Frage und lassen Sie sich Version und Datum bestätigen.
  • Sie bekommen keine klare Antwort: Haken Sie nach. Bleibt die Antwort aus, nehmen Sie den Rat des BSI ernst – ungepatchte Server im Zweifel vorübergehend vom Netz.
  • Ihr Anbieter nennt PHP 8.1 oder älter: Klären Sie, ob eine gleichwertige Korrektur eingespielt wurde, oder planen Sie gemeinsam den Umstieg auf einen unterstützten Zweig.
  • Nach dem Update: Einmal selbst durchklicken – Kontaktformular abschicken, Shop und Anmeldung testen.

Und über den Tag hinaus: Nutzen Sie den Anlass, um die Zuständigkeit dauerhaft zu klären. Die nächste Sicherheitsmeldung kommt bestimmt – die Frage ist nur, ob Sie dann wieder selbst nachfragen müssen.

Fazit

Die PHP-Sicherheitslücke vom 21. Oktober 2026 ist ernst, aber beherrschbar. Sie steckt in PHP selbst, also auf dem Server, und nur das PHP-Update schließt sie – ein Update von WordPress oder Ihrem Shop reicht nicht. Kunden von MyRocketPage sind nicht betroffen: Das Update ist seit dem 21. Oktober auf allen Servern aktiv, niemand muss etwas tun. Alle anderen stellen ihrem Hoster die eine Frage – und lassen sich die Antwort bestätigen.

Wenn Sie künftig nicht mehr selbst nachfragen möchten, sprechen wir gern über Ihre Website: im kostenlosen Erstgespräch über das Kontaktformular, per E-Mail an hello@myrocketpage.de oder telefonisch unter 0381 36 76 60 40.

Häufige Fragen zur PHP-Sicherheitslücke

Ist meine WordPress-Seite betroffen?

Möglicherweise, denn WordPress läuft mit PHP. Ob Ihre Seite betroffen ist, hängt nicht von WordPress ab, sondern von der PHP-Version auf Ihrem Server. Genau das soll Ihr Anbieter prüfen und bestätigen.

Ich bin Kunde von MyRocketPage. Muss ich etwas tun?

Nein. Ihre Website läuft auf den Servern von pxMEDIA, und dort wurde das Update am 21. Oktober 2026 eingespielt. Sie müssen nichts prüfen, nichts installieren und nichts beauftragen.

Reicht ein WordPress-Update?

Nein. WordPress, Shopsysteme und Erweiterungen sind die Ebene über PHP. Die Lücke liegt in PHP selbst, also darunter. Nur das PHP-Update auf dem Server schließt sie.

Mein Anbieter sagt, ich nutze PHP 8.1. Was nun?

PHP 8.1 bekommt vom PHP-Projekt keine regulären Updates mehr. Fragen Sie, ob Ihr Anbieter eine eigene, gleichwertige Korrektur eingespielt hat. Falls nicht, planen Sie gemeinsam den Umstieg auf einen unterstützten Zweig – abgestimmt, damit die Website danach weiterläuft.

Woran erkenne ich, ob meine Seite gehackt wurde?

Für Laien ist das kaum sicher zu erkennen. Mögliche Anzeichen sind veränderte Inhalte, fremde Links oder Weiterleitungen, Warnmeldungen im Browser oder bei Google, ungewöhnlich langsame Seiten oder Spam, der scheinbar von Ihrer Adresse kommt. Im Zweifel lassen Sie den Server von Fachleuten prüfen.

Stand: 22.10.2026. Dieser Beitrag gibt den öffentlich bekannten Stand wieder und ersetzt keine Prüfung Ihrer konkreten Umgebung.