PHP-Sicherheitslücke, Oktober 2026PHP2Shell, Oktober 2026
Die PHP-Lücke ist geschlossen. Wie gut ist der Rest Ihrer Website abgesichert?
Sicherheits-Check
- HTTPS-WeiterleitungIn Ordnung
- Sichtbare PHP-VersionPrüfen
- Security-HeaderPrüfen
- E-Mail-DomainIn Ordnung
Im Oktober 2026 wurden zwei kritische Schwachstellen in PHP bekannt und mit Updates geschlossen. Bei Webhosting-Paketen spielt in der Regel der Hoster diese Updates ein. Ein guter Moment, um zu prüfen, was Ihre Website darüber hinaus von außen verrät. Kostenlos und persönlich geprüft.
- Kostenlos und unverbindlich
- Bericht an Werktagen innerhalb von 24 Stunden
- Rein technische Prüfung von außen
PHP2Shell kurz erklärt
PHP ist die Programmiersprache, mit der sehr viele Websites laufen, darunter WordPress, Joomla und viele Onlineshops. Am 21. Oktober 2026 hat das PHP-Team Updates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen „PHP2Shell“ bekannt wurden. Das BSI bewertet sie mit 9,2 von 10 Punkten: Angreifer hätten darüber direkt aus dem Internet Programmcode auf Webservern ausführen können.
Die Lücke liegt in PHP selbst, also auf dem Server. Bei Webhosting-Paketen spielt in der Regel der Hoster das Update ein. Wer einen eigenen Server betreibt, installiert es selbst.
Quellen: Security Advisory auf php.net vom 21.10.2026, Cybersicherheitswarnung des BSI (Version 1.2 vom 22.10.2026).
Das prüfen wir im Sicherheitsteil
Viele Sicherheitsthemen sind von außen sichtbar und meist schnell behoben. Wir sehen uns Ihre Website so an, wie es jeder Besucher kann, und erklären jeden Befund verständlich.
-
HTTPS und Verschlüsselung
Landet jeder Aufruf automatisch auf der verschlüsselten Seite, und ist die Verschlüsselung gültig?
-
Sichtbare Versionsnummern
Verrät Ihre Website, welche Version von PHP, Webserver oder CMS läuft?
-
Software und Plugins
Laufen Plugins, Themes oder Skripte, für die es Sicherheitsupdates gibt?
-
Security-Header
Sendet Ihr Server die Schutz-Einstellungen, die moderne Browser unterstützen?
-
Login-Seiten und Verzeichnisse
Sind Anmeldeseiten oder Ordnerinhalte offen einsehbar?
-
E-Mail-Domain
Ist per SPF und DMARC festgelegt, wer im Namen Ihrer Domain E-Mails senden darf?
Wir prüfen ausschließlich, was von außen für jeden sichtbar ist. Ihr Server bleibt dabei unberührt. Ob die PHP-Updates eingespielt sind, erkennen wir, wenn Ihr Server seine Version nennt. Am schnellsten klären Sie es mit Ihrem Hoster.
Im kostenlosen Check sehen wir uns zusätzlich Datenschutz-Technik, Rechtstexte, technischen Zustand und SEO-Grundlagen an. Alle fünf Prüfbereiche ansehen
Wie steht es um Ihre Website?
Finden Sie es heraus: kostenlos, unverbindlich und persönlich geprüft.
So fordern Sie den Check an
- Website nennen
- Wunsch auswählen
- Kontaktdaten angeben
Unverbindlich und kostenlos. Ihre Daten bleiben bei uns.
Häufige Fragen zur PHP-Lücke
Ist meine Website von PHP2Shell betroffen?
Das hängt von der PHP-Version auf Ihrem Server ab. Geschlossen ist die Lücke ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei Webhosting-Paketen spielt in der Regel der Hoster das Update ein, eine kurze Nachfrage dort schafft Klarheit. Wenn Ihr Server seine Version öffentlich nennt, sehen wir sie im Check.
Reicht es, WordPress und die Plugins zu aktualisieren?
Für PHP2Shell ist das Update von PHP selbst entscheidend, denn die Lücke liegt in PHP und damit auf dem Server. WordPress- und Plugin-Updates sind trotzdem wichtig: Sie schließen eigene Lücken, die wir im Check ebenfalls ansehen.
Wie läuft die Sicherheitsprüfung ab?
Wir sehen uns ausschließlich an, was jeder Besucher von außen sehen kann: zum Beispiel die Weiterleitung auf HTTPS, öffentlich sichtbare Versionsnummern von PHP, Server und CMS, veraltete Plugins oder die Schutz-Einstellungen, die Ihr Server an Browser sendet. Ihr Server bleibt dabei unberührt. Themen, die nur von innen sichtbar sind, etwa Backups oder Passwörter, besprechen wir bei Bedarf gern mit Ihnen und Ihrem Hoster.