Das Wichtigste für unsere Kunden
- Sie müssen nichts tun. Wir kümmern uns um Ihre Website und melden uns, falls doch etwas von Ihrer Seite nötig ist.
- Websites auf Astro sind nicht betroffen. Haben wir Ihre Website in den letzten Monaten neu gebaut oder umgezogen, läuft sie ohne PHP auf Cloudflare.
- WordPress-Websites: Das Update spielt der Hoster ein. Wir prüfen danach, ob die sichere Version wirklich läuft.
- Wieder online: Websites bei Raidboxes hatten wir vorsorglich gesperrt. Raidboxes hat das Update am Abend Server für Server eingespielt, wir haben jede Website erst nach geprüfter PHP-Version freigegeben. Seit 22:47 Uhr sind alle wieder erreichbar. Inhalte und Daten sind vollständig erhalten.
- Ein WordPress- oder Plugin-Update hilft hier nicht. Die Lücke steckt in der Software darunter.
Stand bei den Hostern
Das Update für PHP muss jeder Hoster selbst einspielen. So sieht es bei den Hostern aus, bei denen die Websites unserer Kunden liegen. Wo es geht, messen wir den Stand selbst an den Websites. Bei All-Inkl und Hetzner lässt sich die Version von außen nicht ablesen, dort stützen wir uns auf die Mitteilungen der Hoster.
| Hoster | Stand | Was das für Sie heißt |
|---|---|---|
| Cloudflare (Astro-Websites) | nicht betroffen | Kein PHP, nichts zu tun. |
| Strato | aktualisiert (PHP 8.2.35) | Ihre Website läuft auf der sicheren Version. |
| IONOS | aktualisiert (PHP 8.3.36) | Ihre Website läuft auf der sicheren Version. |
| Raidboxes | aktualisiert | Ihre Website läuft auf der sicheren Version und ist wieder erreichbar. |
| Dogado | aktualisiert (PHP 8.3.36) | Ihre Website läuft auf der sicheren Version. |
| All-Inkl | aktualisiert (laut All-Inkl) | All-Inkl hat nach eigener Mitteilung vom 21.10. alle angebotenen PHP-Versionen mit den Sicherheitskorrekturen versehen. Die Versionsnummern bleiben dabei gleich. |
| Hetzner Webhosting | aktualisiert (laut Hetzner) | Laut Status-Seite von Hetzner sind seit dem 22.10. alle Webhosting-Server aktualisiert. |
| webgo und weitere | noch offen | Die Version ist von außen nicht zu sehen. Wir klären das direkt mit dem Hoster. |
Sie wissen nicht, wo Ihre Website liegt? Das müssen Sie auch nicht. Fragen Sie uns gern, wir sagen es Ihnen.
Ihre Website war am 21. Oktober nicht erreichbar?
Dann lag sie sehr wahrscheinlich bei Raidboxes. Diese Websites haben wir am 21. Oktober ab etwa 16:40 Uhr vorsorglich gesperrt, weil Raidboxes das Update noch nicht eingespielt hatte. Raidboxes hat seine Server am Abend nach und nach aktualisiert. Wir haben jede Website einzeln geprüft und erst danach wieder freigegeben, die letzte um 22:47 Uhr.
- Ihre Website wurde nicht gehackt. Die Sperre kam von uns, und Inhalte, Bilder und Daten sind vollständig erhalten.
- Kontaktformulare auf der Website funktionierten während der Sperre nicht. Ihre E-Mail-Adressen waren davon nicht betroffen.
- Alle Websites sind wieder erreichbar. Sehen Sie trotzdem noch eine Fehlermeldung, rufen Sie uns bitte an.
- Google nimmt eine Sperre von wenigen Stunden in aller Regel nicht übel. Bleibende Folgen für Ihre Platzierung erwarten wir nicht.
Uns ist klar, dass das ärgerlich war. Eine übernommene Website fällt aber deutlich länger aus und kann Daten Ihrer Kunden in Gefahr bringen. Deshalb haben wir uns für die Sperre entschieden.
Fragen zu Ihrer Website?
Antworten Sie einfach auf unsere Mail oder rufen Sie uns an. Wir sagen Ihnen, wie es um Ihre Website steht.
Was wir gemacht haben
- Alle Websites geprüft: Am Nachmittag des 21. Oktober haben wir bei allen Websites, die wir betreuen, nachgesehen, auf welcher Technik sie laufen, bei welchem Hoster und mit welcher PHP-Version.
- Vorsorglich gesperrt: Wo das Risiko am größten war, haben wir Websites gesperrt, bis der Hoster aktualisiert hat.
- Nachkontrolle: Nach jedem Update eines Hosters prüfen wir die tatsächlich laufende Version, Website für Website.
- Veraltete Versionen umstellen: Läuft eine Website noch auf PHP 8.1 oder älter, gibt es dafür keinen offiziellen Fix. Solche Websites stellen wir auf eine aktuelle Version um, nach Backup und mit Sichtprüfung.
- Aufräumen: Alte Installationen, die nach einem Umzug noch laufen, schalten wir in Absprache mit Ihnen ab.
Was ist PHP2Shell?
PHP ist die Software, mit der auf dem Server die Seiten von WordPress und den meisten anderen Content-Management-Systemen entstehen. Jedes Mal, wenn jemand Ihre Website aufruft, arbeitet PHP im Hintergrund. In PHP wurden zwei Fehler gefunden (CVE-2026-109618 und CVE-2026-109619), über die ein Angreifer ohne Passwort eigenen Code auf dem Server ausführen kann. Eine präparierte Anfrage an die Website reicht dafür. Der Schweregrad liegt bei 9,2 von 10.
Die Details wurden am 20. Oktober vorzeitig bekannt, das PHP-Team hat sein Update daraufhin auf den 21. Oktober um 16 Uhr vorgezogen. Inzwischen gibt es öffentliche Beispiel-Exploits, und Cloudflare berichtet von ersten Angriffen. Den Namen PHP2Shell trägt ein Angriffswerkzeug, das vorab auf einem Screenshot zu sehen war.
Sicher sind nur die Versionen vom 21. Oktober oder neuer. Die ersten beiden Zahlen (etwa 8.4) bezeichnen den Zweig, die letzte Zahl die Fehlerbehebung innerhalb des Zweigs.
| Zweig | Sicher ab | Hinweis |
|---|---|---|
| PHP 8.5 | 8.5.12 | |
| PHP 8.4 | 8.4.27 | Unsere Empfehlung für die meisten WordPress-Seiten. |
| PHP 8.3 | 8.3.36 | Gut unterstützt von Themes und Plugins. |
| PHP 8.2 | 8.2.35 | Sicherheitsupdates nur noch bis 31.12.2026. |
| PHP 8.1 und älter | kein offizieller Fix | Auf eine neuere Version umstellen. |
Fragen unserer Kunden
Muss ich selbst etwas tun?
Nein. Wir kümmern uns um Ihre Website, prüfen nach dem Update des Hosters die Version und melden uns, falls doch etwas von Ihrer Seite nötig ist. Ein Update von WordPress oder den Plugins hilft hier nicht, die Lücke steckt in PHP.
Meine Website war nicht erreichbar. Wurde sie gehackt?
Nein. Websites bei Raidboxes haben wir am 21. Oktober vorsorglich gesperrt und erst nach dem Update ihres Servers wieder freigegeben. Inhalte und Daten sind vollständig erhalten.
Ist meine Website wieder online?
Ja. Seit 22:47 Uhr sind alle Websites bei Raidboxes wieder erreichbar, jede erst nach geprüfter PHP-Version. Sehen Sie trotzdem noch eine Fehlermeldung, rufen Sie uns bitte an.
Sind meine Daten und die Daten meiner Kunden sicher?
Die Sperre ändert nichts an Ihren Inhalten und Daten. Finden wir bei der Nachkontrolle Auffälligkeiten an einer Website, melden wir uns sofort bei Ihnen.
Woher weiß ich, ob meine Website auf Astro oder WordPress läuft?
Haben wir Ihre Website in den letzten Monaten neu gebaut oder umgezogen, läuft sie meist auf Astro und ist nicht betroffen. Im Zweifel fragen Sie uns einfach, wir sagen es Ihnen.
Ich habe noch eine alte Website oder eine Testseite. Ist die betroffen?
Wenn sie auf WordPress oder einem anderen PHP-System läuft, ja. Sagen Sie uns Bescheid, dann sehen wir sie uns an und schalten sie ab, wenn Sie sie nicht mehr brauchen.
Sie sind nicht Kunde bei uns?
Dann gelten dieselben Grundregeln: Betroffen ist jede Website auf PHP, also WordPress, TYPO3, Joomla, Contao, Shopware und viele mehr. Bei Baukästen wie Wix oder Jimdo kümmert sich der Anbieter.
- Version prüfen: In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server steht die genaue PHP-Version. Sie muss mindestens der Tabelle oben entsprechen.
- Beim Hoster nachfragen: Auf Shared Hosting spielt der Hoster das Update ein. Fragen Sie nach einem Termin.
- Eigene Server: PHP aktualisieren und PHP-FPM beziehungsweise Apache neu starten. Bis dahin hilft
session.upload_progress.enabled = 0in der php.ini teilweise, ersetzt das Update aber nicht. - Cloudflare hat Notfallregeln veröffentlicht. Sie wirken nur, wenn der Verkehr wirklich über Cloudflare läuft, und ersetzen das Update ebenfalls nicht.
- Anzeichen eines Angriffs sind unbekannte Administrator-Konten, PHP-Dateien in
wp-content/uploads, geänderte Systemdateien und Weiterleitungen auf fremde Seiten.
Brauchen Sie Hilfe mit Ihrer Website, schreiben Sie uns.
Verlauf
- 20.10.2026: Details zu zwei PHP-Lücken werden vorzeitig öffentlich. Das PHP-Team kündigt ein Notfall-Update für den nächsten Tag an.
- 21.10.2026, 16:00 Uhr: PHP veröffentlicht 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Cloudflare meldet erste Angriffe und veröffentlicht Notfallregeln für seine Firewall.
- 21.10.2026, 16:40 Uhr: Wir sperren vorsorglich die Websites unserer Kunden bei Raidboxes.
- 21.10.2026, 17:50 Uhr: Strato hat auf 8.2.35 aktualisiert.
- 21.10.2026, 18:20 Uhr: IONOS hat auf 8.3.36 aktualisiert.
- 21.10.2026, 19:05 Uhr: Raidboxes beginnt, seine Server auf 8.2.35, 8.3.36 und 8.4.27 zu aktualisieren, Server für Server.
- 21.10.2026, 19:45 Uhr: Wir geben die ersten Websites bei Raidboxes wieder frei, jeweils nach Prüfung der PHP-Version.
- 21.10.2026, 20:15 Uhr: Die meisten Websites bei Raidboxes sind wieder erreichbar. Einige Server warten noch auf das Update, die Websites dort bleiben bis dahin gesperrt.
- 21.10.2026, 22:47 Uhr: Alle Websites bei Raidboxes sind wieder erreichbar.
- 22.10.2026, 06:32 Uhr: Hetzner meldet alle Webhosting-Server als aktualisiert.
- 23.10.2026: All-Inkl meldet, alle angebotenen PHP-Versionen seit dem 21.10. mit den Sicherheitskorrekturen versehen zu haben. Bei webgo ist der Stand noch offen.
Quellen
- php.net: Sicherheitshinweis und Versionen vom 21.10.2026
- GitHub: Sicherheitshinweis zu CVE-2026-109618
- GitHub: Sicherheitshinweis zu CVE-2026-109619
- Cloudflare: Änderungen an den Firewall-Regeln
- Sansec: Hintergründe zu PHP2Shell
Daan verantwortet bei STARK alle WordPress- und Design-Themen und kümmert sich mit dem Team um die Websites unserer Kunden, auch in Notfällen wie diesem.