PHP2Shell: Ist Ihre WordPress-Website betroffen?

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, die unter dem Namen PHP2Shell durch die Nachrichten gehen. Gefunden wurden sie mit Hilfe künstlicher Intelligenz – und sie betreffen nicht irgendein Plugin, sondern PHP selbst: die Software, auf der jede WordPress-Website läuft. Fast 70 % aller Websites mit bekannter Server-Sprache nutzen PHP. Sicherheitsfirmen melden bereits Angriffe.

Die gute Nachricht: Sie können in wenigen Minuten prüfen, ob Ihre Website betroffen ist – und die Lücke lässt sich schließen. Hier erfahren Sie, wie.

Was ist PHP2Shell?

PHP ist die Programmiersprache, mit der Ihr Server jede Seite Ihrer WordPress-Website erzeugt. Die beiden Lücken stecken in der Art, wie PHP eingehende Anfragen verarbeitet. Ein Angreifer schickt eine speziell präparierte Anfrage an Ihre Website – und kann im schlimmsten Fall beliebige Befehle auf dem Server ausführen. Er braucht dafür weder ein Passwort noch ein Benutzerkonto.

Das Tückische: Der Angriff greift, bevor WordPress überhaupt startet. Sicherheits-Plugins, ein starkes Admin-Passwort oder aktuelle Plugins ändern daran nichts. Geschlossen wird die Lücke nur durch eine aktualisierte PHP-Version auf dem Server.

Was kann ein Angreifer anrichten?

• Schadcode in Ihre Website einschleusen, der Besucher auf betrügerische Seiten umleitet
• Kundendaten, Kontaktanfragen oder Bestellungen auslesen
• Ihren Webspace für Spam-Versand oder weitere Angriffe missbrauchen
• Ihre Website löschen oder unbrauchbar machen

Die Folgen gehen über den Ausfall hinaus: Google warnt Besucher vor gehackten Seiten, Hoster sperren betroffene Tarife – und bei gestohlenen Kundendaten drohen Meldepflichten nach der DSGVO.

Schritt 1: PHP-Version in WordPress prüfen

Melden Sie sich im WordPress-Dashboard an und öffnen Sie Werkzeuge → Website-Zustand. Wechseln Sie oben auf den Reiter Info und klappen Sie den Abschnitt Server auf. Dort steht unter PHP-Version zum Beispiel:

PHP-Version   8.3.36 (Unterstützt 64-Bit-Werte)

Vergleichen Sie Ihre Version mit dieser Tabelle:

• 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder höher – PHP2Shell ist behoben.
• 8.2, 8.3, 8.4 oder 8.5 mit niedrigerer Endziffer – Ihr Hoster muss PHP aktualisieren. Viele haben das bereits getan; manche spielen die Korrektur ein, ohne die Nummer zu ändern. Fragen Sie im Zweifel beim Hoster nach.
• 8.1, 8.0, 7.x oder älter – Handeln Sie jetzt. Diese Versionen bekommen vom PHP-Projekt kein Update mehr. Wechseln Sie auf PHP 8.3 oder 8.4.

Schritt 2: Vor dem PHP-Wechsel absichern

Ein Wechsel der PHP-Version ist der Moment, in dem ältere Websites am häufigsten ausfallen. Plugins und Themes, die jahrelang nicht aktualisiert wurden, nutzen oft Funktionen, die es in neuen PHP-Versionen nicht mehr gibt. Bereiten Sie sich deshalb vor:

1. Sicherung anlegen: Erstellen Sie ein vollständiges Backup von Dateien und Datenbank – im Kundenmenü Ihres Hosters oder mit einem Backup-Plugin. Prüfen Sie, dass die Sicherung wirklich heruntergeladen bzw. gespeichert ist.
2. Alles aktualisieren: WordPress selbst, alle Plugins und das Theme unter Dashboard → Aktualisierungen.
3. Veraltete Plugins finden: Plugins, die seit Jahren kein Update bekommen haben, sind die häufigsten Kandidaten für Probleme. Deaktivieren und löschen Sie, was Sie nicht mehr brauchen.

Schritt 3: PHP-Version beim Hoster umstellen

Die PHP-Version stellen Sie nicht in WordPress um, sondern im Kundenmenü Ihres Hosters. Bei IONOS, STRATO, Hostinger, netcup und den meisten anderen Anbietern finden Sie die Einstellung unter Begriffen wie PHP-Version, PHP-Einstellungen oder in den Einstellungen Ihres Webspaces bzw. Ihrer Domain. Wählen Sie PHP 8.3 oder 8.4 und speichern Sie. Die Umstellung wirkt meist nach wenigen Minuten.

Schritt 4: Website gründlich testen

Rufen Sie Ihre Website direkt danach auf – am besten in einem privaten Browserfenster – und prüfen Sie:

• Startseite und einige Unterseiten
• Die Anmeldung im WordPress-Dashboard
• Kontaktformular – senden Sie sich selbst eine Testnachricht
• Bei Online-Shops: Warenkorb und Kasse

Erscheint „Es gab einen kritischen Fehler auf deiner Website“ oder nur eine weiße Seite, verträgt sich ein Plugin oder Ihr Theme nicht mit der neuen PHP-Version. Wie Sie den Verursacher finden, erklären wir in der Anleitung Es gab einen kritischen Fehler auf deiner Website.

Wechseln Sie nicht dauerhaft auf die alte PHP-Version zurück. Als Übergang für wenige Stunden ist das vertretbar – aber solange die alte Version läuft, steht die Lücke offen.

Anzeichen, dass Ihre Website bereits angegriffen wurde

• Unbekannte Administratoren unter Benutzer
• PHP-Dateien im Ordner wp-content/uploads/ – dort gehören eigentlich nur Bilder und Dokumente hin
• Besucher werden auf fremde Seiten umgeleitet, oft nur auf dem Smartphone oder nur bei Besuchern von Google
• Google zeigt bei Ihrer Website eine Warnung oder fremde Suchergebnisse (z. B. Werbung für Medikamente)
• Ihr Hoster meldet Spam-Versand oder sperrt Ihren Tarif

Bemerken Sie eines dieser Anzeichen, informieren Sie umgehend Ihren Hoster, ändern Sie alle Passwörter (WordPress, FTP, Datenbank, Hosting-Kundenmenü) und ziehen Sie einen Spezialisten für die Bereinigung hinzu. Die Entfernung von Schadsoftware gehört nicht zu meiner Notfall-Hilfe – das sage ich Ihnen lieber gleich ehrlich.

Wann Sie besser Hilfe holen sollten

Wenn Ihre Website nach dem PHP-Wechsel nicht mehr läuft, Sie keinen Zugang zum Hoster-Kundenmenü oder zu FTP haben oder Ihre Website geschäftskritisch ist – etwa ein Online-Shop oder Ihre wichtigste Quelle für Anfragen –, lohnt sich professionelle Hilfe. Ich finde den Fehler und bringe Ihre Website auf der neuen, sicheren PHP-Version wieder zum Laufen.

Quellen: PHP-Sicherheitsupdates vom 21.10.2026 (php.net), Datadog Security Labs, Help Net Security.