PHP-Sicherheitslücke: Was Website-Betreiber jetzt tun müssen

Das Wichtigste in Kürze

Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor kritischen Sicherheitslücken in der Programmiersprache PHP gewarnt. PHP läuft auf einem großen Teil aller Webserver – laut einem Bericht von ZDFheute sind damit auch kleine Firmenwebsites, Blogs und Onlineshops betroffen, etwa auf Basis von WordPress, Joomla, TYPO3 oder Drupal. Verwundbar sind laut BSI alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5. Seit dem 21. Oktober um 16 Uhr gibt es Sicherheitsupdates, und das BSI sieht „unverzüglichen Handlungsbedarf“: Es rechnet damit, dass Angreifer die Lücke schon wenige Stunden nach Erscheinen der Updates großflächig ausnutzen. Mehrere Behörden haben ihre Webseiten vorsorglich abgeschaltet. Wenn Ihr Betrieb eine Website, einen Shop oder ein Kundenportal hat, sollten Sie noch heute klären, wer das Update einspielt – der Hosting-Anbieter, Ihre Agentur oder Ihre eigene IT. Beim normalen Surfen am PC oder Smartphone besteht laut ZDFheute dagegen kein direkter Handlungsbedarf, denn die Lücke liegt auf den Servern.

PHP-Sicherheitslücke: Was passiert ist und wer handeln muss

Hinter der Warnung stecken zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619, die das BSI unter dem Namen „PHP2Shell“ führt und mit 9,2 von 10 Punkten als kritisch bewertet. Angreifer können darüber laut BSI aus der Ferne Schadcode auf Webservern ausführen, auf denen PHP-Anwendungen laufen – ohne Anmeldung und ohne Zutun der Betreiber. Wer eine Website übernimmt, kann dort zum Beispiel Schadsoftware verteilen, Daten abgreifen oder Besucher auf Betrugsseiten umleiten.

Details zu den Lücken sind laut ZDFheute vorab öffentlich geworden, deshalb erschienen die Sicherheitsupdates früher als geplant. Mehrere Kommunen, darunter Mainz, haben ihre Online-Angebote vorsorglich vom Netz genommen, bis die Updates eingespielt sind.

Wichtig für die Einordnung: Handeln müssen die Betreiber von Websites und Servern. Als Besucher einer Website können Sie selbst nichts einspielen – Sie sind aber indirekt betroffen, wenn Dienste ausfallen oder eine ungeschützte Seite angegriffen wird, auf der Ihre Daten liegen.

Ist Ihre Firmenwebsite betroffen? So finden Sie es heraus

Die Lücke betrifft nicht ein einzelnes Programm, sondern die Sprache, in der sehr viele Web-Anwendungen geschrieben sind. ZDFheute nennt ausdrücklich WordPress, Joomla, TYPO3, Drupal, die Lernplattform Moodle und Onlineshops. Drei Fragen helfen bei der Einordnung:

1. Läuft Ihre Website mit einem Redaktionssystem oder Shopsystem? Wenn Sie Inhalte über eine Anmeldemaske pflegen, zum Beispiel in WordPress, ist die Antwort fast immer ja – dann läuft im Hintergrund in der Regel PHP.
2. Wer betreibt den Server? Liegt die Website in einem Hosting-Paket, ist der Hosting-Anbieter für die PHP-Installation zuständig. Betreibt Ihre Agentur oder Ihre IT einen eigenen Server, muss sie das Update selbst einspielen.
3. Nutzen Sie einen Homepage-Baukasten? Dann kümmert sich normalerweise der Anbieter um die Server-Software. Verlassen Sie sich aber nicht darauf, sondern fragen Sie im Zweifel nach, ob Ihr Angebot betroffen war und abgesichert ist.

Wenn Sie keine dieser Fragen sicher beantworten können, ist das selbst ein Befund: Dann fehlt im Betrieb der Überblick, wer für die Website verantwortlich ist – und genau diesen Ansprechpartner sollten Sie jetzt festlegen.

Website im Hosting-Paket: Das klären Sie mit Ihrem Anbieter

Die meisten kleinen Betriebe hosten ihre Website in einem Paket bei einem großen Anbieter. Dort stellt der Anbieter die PHP-Version bereit; oft lässt sie sich im Kundenmenü einsehen und umstellen. ZDFheute gibt als ersten Schritt aus: den Hosting-Anbieter oder IT-Dienstleister kontaktieren. Konkret sollten Sie klären:

• Ist PHP auf dem Server bereits aktualisiert? Seriöse Anbieter informieren dazu auf ihren Statusseiten oder per Mail.
• Welche PHP-Version nutzt Ihr Paket? Sehr alte, nicht mehr gepflegte Versionszweige sollten laut dem ZDF-Bericht umgehend aktualisiert oder isoliert werden.
• Was bleibt Ihre Aufgabe? Der Hoster aktualisiert PHP, nicht Ihre Website selbst. Updates für das Redaktionssystem, also etwa den WordPress-Kern und die Plugins, müssen Sie oder Ihre Agentur einspielen – auch das nennt der Bericht ausdrücklich.

Erstellen Sie vor größeren Updates eine Datensicherung der Website und der Datenbank oder lassen Sie sich bestätigen, dass der Anbieter eine aktuelle Sicherung hat. Dann lässt sich ein missglücktes Update ohne Datenverlust zurücknehmen.

Eigener Server oder Agentur: Updates sofort einspielen

Betreibt Ihr Betrieb einen eigenen Server – im Haus oder gemietet – gilt die BSI-Empfehlung ohne Umweg: Die Patches umgehend einspielen, den Patchstatus anhand der offiziellen Sicherheitshinweise prüfen und exponierte PHP-Webserver verstärkt auf Auffälligkeiten beobachten. Das BSI rät Betreibern außerdem, Personal für eine sofortige Reaktion bereitzuhalten.

Zwei Punkte aus dem ZDF-Bericht sind für die Praxis besonders wichtig:

• Alte PHP-Versionen ohne Hersteller-Unterstützung sollten isoliert oder umgehend aktualisiert werden. Ein Server, der seit Jahren unangetastet läuft, ist jetzt das größte Risiko.
• Wer nicht schnell patchen kann, sollte den betroffenen Server dem Bericht zufolge im Zweifel vorübergehend vom Netz nehmen – so wie es mehrere Behörden vorsorglich getan haben. Eine Website, die einen Tag offline ist, ist ärgerlich; eine übernommene Website ist deutlich teurer.

Arbeiten Sie mit einer Agentur zusammen, reicht heute eine kurze Nachricht mit zwei Fragen: Ist PHP auf unserem Server aktualisiert, und sind Redaktionssystem und Plugins auf dem neuesten Stand?

Nach dem Update: Auffälligkeiten prüfen und vorsorgen

Mit dem Einspielen des Updates ist die Lücke geschlossen, aber der Blick zurück gehört dazu. Das BSI empfiehlt, betroffene Server verstärkt auf Auffälligkeiten zu beobachten. Achten Sie in den nächsten Tagen zum Beispiel auf Warnmeldungen Ihres Hosting-Anbieters, unerklärliche Änderungen an der Website oder Hinweise von Kunden, dass die Seite sich seltsam verhält. Besteht der Verdacht, dass die Website bereits angegriffen wurde, sollten Sie nichts überstürzt löschen, sondern den Zustand sichern und Fachleute für die Aufarbeitung hinzuziehen.

Ein Nebenaspekt aus der BSI-Warnung betrifft auch die Technik im Büro: PHP steckt teilweise in Produkten von Netzwerkgeräte-Herstellern, die dazu eigene Sicherheitshinweise veröffentlicht haben. Prüfen Sie deshalb auch, ob für Geräte wie Firewalls oder Netzwerkspeicher Updates bereitstehen.

Der Vorfall zeigt vor allem eines: Sicherheitsupdates sind keine Aufgabe für den Jahresputz, sondern laufende Pflicht. Das BSI erwartet, dass solche Lücken immer schneller ausgenutzt werden, weil Angreifer KI-gestützte Werkzeuge einsetzen. Wer Website und Server regelmäßig und zeitnah aktualisiert – oder das verbindlich an einen Dienstleister übergibt – muss bei der nächsten Warnung nicht mehr hektisch reagieren.

Wenn unklar ist, wer Ihren Server betreut, Updates liegen geblieben sind oder Sie den Verdacht haben, dass Ihre Website bereits betroffen ist, lohnt sich ein Fachbetrieb, der Server und Website prüft, die Updates einspielt und die laufende Wartung übernimmt.