BSI-Warnung · Stand 25. Oktober 2026

Ihre Website kann gerade offen stehen.

PHP2Shell heißen zwei Lücken in PHP, der Technik hinter WordPress, Joomla, TYPO3 und Millionen anderer Websites. Angreifer können darüber Websites übernehmen, ohne Passwort und ohne dass Sie etwas tun.

Jetzt Website kostenlos prüfen In 1–2 Minuten · ohne Anmeldung · mit Festpreis für eine sichere Website

Die Fakten

  • 9,2 / 10So schwer bewertet das BSI beide Lücken. Der Name soll an Log4Shell erinnern.[1]
  • 0 KlicksAngreifer brauchen weder Passwort noch Ihr Zutun, um Code auf dem Server auszuführen.[1]
  • HunderttausendeAngriffsversuche zwei Stunden nach der Veröffentlichung, inzwischen Millionen.[2]
  • PHP 5 bis 8.5Betroffen sind alle Versionen ohne das Update vom 21. Oktober 2026.[5]
„Das halbe Internet ist in Gefahr“
digitec, Oktober 2026[4]

Was Angreifer damit können.

Wer fremden Code auf Ihrem Server ausführen kann, hat dort freie Hand. Zum Beispiel:

  • Ihre Website übernehmen und verändern
  • Daten aus Formularen und Datenbanken abgreifen
  • Schadsoftware an Ihre Besucher ausliefern
  • Ihren Server für Spam und Betrug missbrauchen

Warum Abwarten riskant ist.

  • Automatische Updates greifen nicht. Der Patch muss von Hand auf den Server.[4]
  • Für PHP 8.1 und älter gibt es kein offizielles Update mehr.[6]
  • Behörden haben ihre Websites vorsorglich vom Netz genommen, etwa in Niedersachsen und Bremen.[3]
  • Ob Ihr Anbieter schon gepatcht hat, sieht man von außen oft nicht.[6]

Ist Ihre Website betroffen? Finden Sie es in 2 Minuten heraus.

Website eingeben, E-Mail bestätigen, fertig. Sie sehen sofort, ob Ihre Website PHP nutzt, und bekommen auf Wunsch eine neue, sichere Website ohne PHP zum Festpreis, in 24 Stunden.

Jetzt Website kostenlos prüfen
Alle Details und Anleitungen für Ihre IT im Blogbeitrag

Quellen (Stand 25. Oktober 2026)

  1. BSI-Cybersicherheitswarnung zu PHP2Shell
  2. Handelsblatt: „Millionen“ Hacker-Versuche
  3. onvista/dpa: Niedersachsen, Behörden-Webseiten wieder online
  4. digitec: php2shell, nur PHP patchen hilft
  5. Dr. DSGVO: PHP-Sicherheitslücke PHP2Shell
  6. HostSpezial: PHP2Shell prüfen, patchen, erkennen

Das BSI meldete bis zum 22. Oktober 2026 keine erfolgreiche Ausnutzung in der Breite. Die Lage kann sich schnell ändern.