Hetzner, Profihost, Timme Hosting und netcup haben php2shell bereits geschlossen, IONOS, Strato und viele andere spielen das Update gerade ein. Wie weit dein Hoster ist, zeigt die Tabelle direkt darunter, wir aktualisieren sie stündlich. Bis das Update auf deinem Server läuft: Stand nachsehen, eine Sperre vor PHP setzen lassen und für Kunden erreichbar bleiben. Nach dem Update lässt du einmal auf neue Administratorkonten und unbekannte Dateien prüfen. Ist dort alles unauffällig, ist das Thema erledigt.

So weit sind die großen Hoster mit php2shell

Die meisten Hoster spielen das Update im laufenden Betrieb ein. netcup, Mittwald, cyon und Timme haben ihre Websites bis zum Update abgeschaltet.

HosterStand laut HosterStatusseite
IONOSUpdate läuftöffnen
StratoUpdate läuftöffnen
Hetzneraktualisiert (PHP 7.4 bis 8.5)öffnen
Timme Hostingaktualisiert (PHP 5.6 bis 8.5)öffnen
ALL-INKLnoch keine Meldung–
Host Europenoch keine Meldungöffnen
domainfactoryUpdate läuftöffnen
netcupaktualisiert (alle PHP-Versionen)öffnen
Mittwaldaktualisiert (PHP 8.1 bis 8.5)öffnen
webgoUpdate läuftöffnen
dogadoUpdate wird vorbereitetöffnen
Profihostaktualisiert (PHP 8.2 bis 8.5)öffnen
HostingerUpdate läuftöffnen
InfomaniakUpdate läuftöffnen
cyonWebsites offline bis zum Updateöffnen

Stand: 21. Oktober 2026, 23:30 Uhr, laut den Statusseiten der Hoster. Von Hostpoint und Raidboxes fanden wir bis dahin keine Meldung dazu.

Bist du bei IONOS, Strato, Hetzner oder einem der anderen Hoster, findest du den aktuellen Stand direkt über den Link in der Tabelle.

Betroffen ist PHP, die Grundlage der meisten Websites

php2shell sind zwei Fehler in PHP selbst (CVE-2026-109618 und CVE-2026-109619, Schweregrad 9,2 von 10). Sie greifen beim Einlesen einer Anfrage, noch bevor WordPress, TYPO3 oder ein anderes System startet. Wirksam ist deshalb die neue PHP-Version auf dem Server; Sicherheits-Plugins, Wartungsmodus und CMS-Updates setzen erst danach an.

Für die Geschäftsführung: Daten, Meldepflicht und Budget

Was auf dem Spiel steht. Wer die Lücke ausnutzt, kann Code auf dem Server ausführen und kommt an die Daten deiner Website: Anfragen aus Kontaktformularen, Benutzerkonten, Newsletter-Listen.

Wann eine Meldepflicht entsteht. Erst wenn ein Zugriff auf personenbezogene Daten festgestellt wird, laufen die 72 Stunden nach Art. 33 DSGVO. Deshalb nach dem Update auf Fremdzugriff prüfen lassen (Aufgabe 7).

Was ins Budget gehört. PHP 8.1 und älter bekommt keinen Fix mehr, PHP 8.2 ab dem 31. Dezember 2026 keine Sicherheitsupdates. Der Umstieg gehört ins Budget für dieses Jahr. Verträgt das Theme keine neuere PHP-Version, wird daraus ein größerer Umbau; womit du dann rechnen kannst, steht in Website-Relaunch: Kosten.

Was jetzt zu tun ist: sieben Aufgaben, die einfachen zuerst

Hak ab, was erledigt ist: Der Stand bleibt in deinem Browser gespeichert.

Heute und nach dem Update

  1. Warum Erst das PHP-Update beim Hoster schließt die Lücke dauerhaft.

    1. Statusseite und Kundenmails deines Hosters ansehen. Die Statusseiten der großen Hoster stehen in der Tabelle oben.
    2. Steht dort nach einem Tag noch nichts, im Kundenkonto nachfragen: „Ab wann läuft unsere Website auf PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12?“

    Fertig, wenn du ein Datum oder „erledigt“ hast.

  2. Warum Version 8.1 oder älter bekommt keinen Fix, dann ist ein Umstieg nötig.

    1. In WordPress: Werkzeuge › Website-Zustand › Bericht › Server.
    2. In TYPO3: Admin-Werkzeuge › Umgebung, sonst im Kundenkonto des Hosters unter PHP-Einstellungen.

    Fertig, wenn die Versionsnummer notiert ist.

  3. Warum Während einer Sperre pausieren die Kontaktformulare.

    1. Im Google-Unternehmensprofil prüfen, ob Telefon und E-Mail stimmen.
    2. Bei längerer Sperre einen kurzen LinkedIn-Post mit Telefonnummer absetzen.

    Fertig, wenn Interessenten dich ohne Website erreichen.

  4. Warum So bleibt die Website erreichbar, und der Angriffsweg ist zu.

    1. Agentur oder IT bitten, Upload-Anfragen vor PHP abzuweisen (auf Apache eine Regel in der .htaccess, auf nginx in der Serverkonfiguration).
    2. Danach notieren, welche Formulare bis zum Update pausieren, etwa solche mit Dateiupload.

    Fertig, wenn die Website lädt und die Sperre bestätigt ist.

  5. Warum Anzeigen auf eine Seite, die offline war, lehnt Google als „Nicht funktionierendes Ziel“ ab, bis sie neu geprüft sind.

    1. Kampagnen › Anzeigen öffnen und nach dem Status „Abgelehnt“ filtern.
    2. Betroffene Anzeigen speichern oder Einspruch einlegen, dann prüft Google sie neu.

    Fertig, wenn alle Anzeigen wieder „Aktiv“ zeigen.

  6. Warum In der Google Search Console siehst du, ob Google die Seiten wieder normal liest.

    1. Einstellungen › Crawling-Statistiken öffnen und den Tag des Ausfalls suchen.
    2. Fehlen wichtige Seiten, unter URL-Prüfung die Indexierung neu beantragen.

    Fertig, wenn die Abrufe wieder auf dem Niveau vor dem Ausfall liegen.

  7. Warum Das Update schließt die Lücke, entfernt aber nichts, was vorher abgelegt wurde.

    1. In WordPress Benutzer › Alle Benutzer nach Registrierungsdatum sortieren und neue Administratoren suchen.
    2. Agentur oder IT bitten, neue PHP-Dateien im Upload-Ordner und geänderte Systemdateien zu prüfen.

    Fertig, wenn keine unbekannten Konten und Dateien gefunden wurden.

Was wir am 21. Oktober bei unseren Kundenwebsites gemacht haben

Upload-Anfragen gesperrt, wo der Hoster es erlaubt, den Zustand der Server gesichert und den Update-Stand jede halbe Stunde verfolgt. Fast alle Kunden hatten noch am selben Tag eine kurze Nachricht mit „Für eure Websites ist nichts zu tun“ im ersten Satz.

Häufige Fragen

Fragen zur PHP-Sicherheitslücke php2shell

Was ist php2shell?

php2shell ist der Name für zwei kritische Fehler in PHP, die am 20. Oktober 2026 vor dem Update bekannt wurden. Sie erlauben es, ohne Anmeldung Code auf dem Server auszuführen. Betroffen sind WordPress, TYPO3, Shopware, Contao und jede andere Anwendung auf PHP; Websites ohne PHP, etwa auf Webflow, sind ausgenommen. Behoben ist es ab PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Muss ich meine Website abschalten?

Meist reicht es, wenn dein Hoster PHP aktualisiert oder eine Sperre vor PHP gesetzt wird. Einige Hoster haben am 21. Oktober selbst alle Websites vorübergehend abgeschaltet, bis das Update eingespielt war.

Mein Hoster schreibt, ich soll mich einloggen und das Update bestätigen. Stimmt das?

Das PHP-Update spielt der Hoster selbst ein, ohne Bestätigung von dir. Mails mit Login-Link zu php2shell sind deshalb verdächtig. Öffne dein Kundenkonto lieber direkt über die Adresse, die du kennst. Zusätzlich schützt eine Zwei-Faktor-Anmeldung in WordPress dein Konto, falls ein Passwort doch abgegriffen wird.

Quellen & Einordnungzum Ausklappen

Die Angaben zu unseren Kundenwebsites stammen aus dem eigenen Vorgehen am 21. Oktober 2026: neun Hoster, Prüfung der PHP-Versionen per Server-Zugang und halbstündlicher Abgleich.