Was für ein Tag, dieser 21. Oktober.

Rund um die Welt gingen Websites vom Netz: das niederländische Parlament, die Berliner Charité, die Stadt Mainz, Universitäten in Wien und Linz, Nachrichtenseiten und Online-Dienste. Die meisten zogen vorsorglich den Stecker, denn Angreifer nutzten die Lücke bereits aus.

Bei uns klingelte das Telefon. Unsere Kunden wollten wissen: „Ist meine Website auch betroffen?“

Wir konnten beruhigen. Alle Websites, die wir mit Jamstack gebaut haben, liefen einfach weiter – ohne Notfall-Update, ohne Offline-Schalten. Warum das so war und was du tun solltest, wenn deine Website anders gebaut ist, erklären wir hier.

Was ist passiert? Einfach erklärt

PHP ist eine Programmiersprache – sozusagen der Motor hinter sehr vielen Websites. WordPress, TYPO3, Joomla, Drupal, Shopware oder WooCommerce laufen damit. Insgesamt steckt PHP hinter einem großen Teil aller Websites weltweit.

In diesem Motor wurden zwei schwere Fehler entdeckt. Fachleute nennen das Problem „PHP2Shell“. Über die Lücke können Angreifer fremde Befehle auf dem Server ausführen, auf dem eine Website liegt – ganz ohne Passwort. Im schlimmsten Fall übernehmen sie den Server: Sie stehlen Daten, verändern die Website oder schleusen Schadsoftware ein.

Besonders unangenehm: Der Fehler sitzt so tief, dass Sicherheits-Plugins, starke Passwörter oder ein gut gepflegtes WordPress nichts dagegen ausrichten. Der Angriff passiert, bevor die eigentliche Website überhaupt startet.

Details zur Lücke wurden öffentlich, bevor es ein Update gab. Das Update kam erst am Nachmittag des 21. Oktober – bis dahin blieb vielen nur, ihre Website vom Netz zu nehmen.

Und das Update allein löst nicht alles: Mehrere Hunderttausend Server weltweit laufen auf so alten PHP-Versionen, dass es für sie gar keinen offiziellen Fix gibt.

Ist deine Website betroffen?

Läuft deine Website mit WordPress, TYPO3, Joomla, Drupal, Shopware, Magento oder einem anderen PHP-System? Dann sehr wahrscheinlich ja – solange das Update nicht eingespielt ist.

Du weißt nicht, womit deine Website gebaut ist? Völlig normal. Frag deine Agentur oder deinen Hosting-Anbieter – oder mach unseren kostenlosen Website-Check.

Was du jetzt tun solltest

  1. Nachfragen. Kläre mit deinem Hosting-Anbieter oder deiner Agentur, ob das PHP-Update schon eingespielt ist. Bei vielen Anbietern passiert das automatisch, aber nicht überall am selben Tag.
  2. Veraltete Technik erneuern. Ältere PHP-Versionen bekommen kein offizielles Update mehr. Läuft deine Website auf so einer Version, muss sie modernisiert werden.
  3. Auf Einbruch prüfen lassen. Ein Update schließt die Tür – wer schon drinnen ist, bleibt aber drinnen. Lass prüfen, ob es verdächtige Dateien oder neue Benutzerkonten gibt.

Zum Weiterleiten an deine IT: Sicher sind PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer. Die Lücken laufen unter CVE-2026-109618 und CVE-2026-109619.

Das Bild dahinter: zwei Arten von Bäckerei

Warum mussten manche Websites offline gehen und andere nicht? Ein Vergleich hilft.

Die klassische Website funktioniert wie eine Bäckerei, die jedes Brot erst backt, wenn jemand bestellt. Jede Bestellung geht direkt in die Backstube, der Ofen läuft rund um die Uhr. PHP2Shell ist ein Fehler im Ofen selbst: Mit einer bestimmten, präparierten Bestellung können Fremde die Backstube übernehmen.

Die Jamstack-Website funktioniert wie eine Bäckerei, die in der Früh alles fertig backt und ins Regal legt. Kunden nehmen nur, was schon fertig ist. Die Backstube liegt woanders und bleibt für Kunden zu. Eine präparierte Bestellung läuft ins Leere – es gibt niemanden, der sie annimmt, und keinen Ofen, der dafür angeworfen wird.

Technisch heißt das: Eine Jamstack-Website wird einmal fertig gebaut und dann als fertige Seiten ausgeliefert. Beim Besuch läuft kein PHP – also gibt es auch keine PHP-Lücke, die man ausnutzen könnte.

Warum unsere Jamstack-Websites weiterliefen

  • Beim Besuch läuft kein Programm. Besucher bekommen fertige Seiten. Wo nichts läuft, kann auch nichts angegriffen werden.
  • Das Redaktionssystem ist getrennt. Der Bereich, in dem Texte und Bilder gepflegt werden, ist nicht dieselbe Stelle, die Besucher erreichen.
  • Kein Notfall-Update nötig. Während viele Betreiber am 21. Oktober auf ihren Hosting-Anbieter warten mussten, gab es bei unseren Jamstack-Websites schlicht nichts zu reparieren.
Klassische Website (z. B. WordPress) Jamstack-Website
Was passiert beim Besuch? Die Seite wird jedes Mal neu zusammengebaut Eine fertige Seite wird ausgeliefert
Von PHP2Shell betroffen? Ja, bis das Update eingespielt ist Nein
Am 21. Oktober Updaten unter Zeitdruck oder offline nehmen Ganz normal online
Laufende Wartung Regelmäßige Updates von System und Plugins Deutlich weniger

Ehrlich gesagt: Keine Technik ist unverwundbar

Wir halten nichts von Sicherheitsversprechen, die nicht halten. Auch moderne Websites brauchen für Kontaktformulare, Suche oder Logins ein Stück Technik im Hintergrund – und auch dort kann es Lücken geben. Bei einer verbreiteten JavaScript-Technik gab es etwa im Dezember 2025 eine ähnlich schwere Lücke.

Der Unterschied liegt im Ausmaß: Bei einer Jamstack-Website sind diese Teile klein und abgeschottet. Bei einer klassischen Website ist jede einzelne Seite ein möglicher Angriffspunkt.

Die Lehre aus PHP2Shell ist deshalb nicht „PHP ist schlecht“. Sie lautet:

Je weniger bei jedem Besuch im Hintergrund läuft, desto weniger kann angegriffen werden.

Mehr als nur Sicherheit

  • Schneller: Fertige Seiten laden spürbar schneller – das freut Besucher und Google.
  • Stabiler: Auch wenn viele Menschen gleichzeitig auf die Seite kommen, bleibt sie erreichbar.
  • Weniger Wartung: Kein ständiges Aktualisieren von Plugins auf der laufenden Website.

Fazit

Wenn deine Website mit PHP läuft: Kläre heute noch, ob das Update eingespielt ist. Das hat Vorrang.

Danach lohnt sich eine grundsätzliche Frage: Muss deine Website bei jedem Besuch im Hintergrund ein Programm ausführen? Für die meisten Unternehmenswebsites lautet die Antwort: nein.

Unsicher, wie es um deine Website steht? Unser kostenloser Website-Check zeigt es dir: practical.at/website-check. Oder schreib uns direkt: practical.at/contact.

Quellen