Zwei kritische Lücken im PHP-Kern (CVSS 9,2) erlauben es Angreifern, Ihren Webserver ohne Login zu übernehmen – und sie werden bereits ausgenutzt. Ob WordPress, TYPO3, Shopware oder Eigenentwicklung: Wir patchen, suchen nach Einbruchsspuren und sichern Ihre Website ab.
Wir rufen Ihre Startseite einmal auf – wie ein Browser – und lesen, was Ihr Server über PHP verrät.
Kein Eingriff in Ihre Website – nur ein normaler Seitenaufruf. Das Ergebnis erhält auch unser Team, damit wir gezielt helfen können.
Sicher ab PHP 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35
PHP2Shell ist der Name für zwei kritische Sicherheitslücken im Kern der Programmiersprache PHP, auf der WordPress, TYPO3, Joomla, Shopware und ein Großteil aller Websites laufen. Die Details wurden am 20. Oktober 2026 vorzeitig geleakt; am 21. Oktober veröffentlichte das PHP-Projekt Updates, und das BSI warnte mit Warnstufe Orange.
Viele Betreiber glauben, sie seien sicher, weil WordPress aktuell ist oder der Hoster „irgendwann“ updatet. Diese vier Punkte werden fast immer übersehen:
Die Lücke steckt in PHP selbst, nicht im CMS. Ein aktuelles WordPress kann auf ungepatchtem PHP laufen. Entscheidend ist die PHP-Version auf Ihrem Server.
Erste Angriffsversuche gab es schon am 17. Oktober. Wer verwundbar war, muss prüfen, ob bereits eingebrochen wurde – eine Hintertür überlebt jedes Update.
CVE-2026-109618 kann Speicherinhalte anderer Anfragen preisgeben – etwa Passwörter, Session-Tokens oder API-Schlüssel. Nach dem Patch sollten Zugangsdaten erneuert werden.
Für PHP 8.1, 8.0 und 7.x gibt es kein offizielles Update. Hier helfen nur ein Backport, ein Upgrade – oder der Umstieg auf einen modernen Stack.
Sofort abdichten, dauerhaft raus aus PHP oder rundum betreut – Sie entscheiden. Jedes Paket startet mit einer kostenlosen, unverbindlichen Ersteinschätzung.
Für alle, die jetzt sicher sein müssen – egal welches System.
ab490 €einmalig
Raus aus PHP – rein in einen schnellen, modernen Stack.
ab4.900 €Projektpreis
Wir halten Ihre Website dauerhaft sicher. Sie kümmern sich ums Geschäft.
ab149 €/ Monat
Alle Preise netto zzgl. 19 % USt. Den genauen Festpreis nennen wir Ihnen nach der Ersteinschätzung – bevor wir beginnen.
So finden Sie Ihre PHP-Version: im Kundenbereich Ihres Hosters (z. B. unter „PHP-Einstellungen“) oder in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server.
Trifft auch nur ein Punkt zu? Prüfen Sie Ihre Website mit unserem kostenlosen Check – oder schicken Sie uns einfach die Adresse.
Jetzt automatisch prüfenPer WhatsApp, Anruf oder E-Mail. Ihre Website-Adresse genügt für den Start.
Wir prüfen PHP-Version, Hosting und Risiko – und nennen Ihnen einen Festpreis.
Patch, Härtung, Einbruchs-Check und neue Zugangsdaten. Ihre Seite bleibt möglichst online.
Sie erhalten eine verständliche Zusammenfassung und konkrete nächste Schritte.
Von der kleinen WordPress-Seite bis zum Shop mit eigener Entwicklung – bei jedem Hoster, auf Shared Hosting, VPS oder eigenem Server.
Wir kennen PHP von innen: Viele unserer eigenen Projekte laufen auf WordPress und WooCommerce.Projekte ansehen
PHP2Shell ist nicht die erste kritische PHP-Lücke und wird nicht die letzte sein. Wer ohnehin modernisieren wollte, hat jetzt den besten Grund dafür.
| Thema | PHP / WordPress | Next.js (twentyfirst.dev) |
|---|---|---|
| Von PHP2Shell betroffen | Ja, sofern nicht gepatcht | Nein – keine PHP-Laufzeit |
| Angriffsfläche | PHP-Laufzeit, CMS, Theme und Plugins auf dem Server | Vorgerenderte Seiten, minimaler Server-Code |
| Wartung | Laufende Updates für Kern, Theme und oft Dutzende Plugins | Wenige, geprüfte Abhängigkeiten |
| Geschwindigkeit | Abhängig von Plugins, Caching und Hosting | Auslieferung über CDN, sehr schnelle Ladezeiten |
| SEO & Core Web Vitals | Gut erreichbar – mit Aufwand | Exzellent ab Werk |
Ehrlich gesagt: Keine Technologie ist unangreifbar – auch Next.js hatte schon Sicherheitslücken. Der Unterschied ist die deutlich kleinere Angriffsfläche. Mit unserer Security-Betreuung spielen wir Updates innerhalb von 24 Stunden ein.
PHP2Shell bezeichnet zwei kritische Sicherheitslücken im PHP-Kern (CVE-2026-109618 und CVE-2026-109619, CVSS v4.0 9,2). Sie erlauben Angreifern, ohne Anmeldung Code auf dem Webserver auszuführen. Die Details wurden am 20. Oktober 2026 vorzeitig geleakt, Patches erschienen am 21. Oktober.
Sehr wahrscheinlich, falls Ihr Server noch nicht aktualisiert wurde. WordPress, TYPO3, Joomla, Shopware und Co. laufen auf PHP. Entscheidend ist nicht die WordPress-Version, sondern die PHP-Version Ihres Servers: Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer.
Am schnellsten mit unserem kostenlosen Check oben auf dieser Seite – sofern Ihr Server die Version verrät. Sonst finden Sie sie im Kundenbereich Ihres Hosters, meist unter „PHP-Einstellungen“, oder in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Oder Sie schicken uns einfach Ihre Website-Adresse.
Das Update stoppt neue Angriffe, macht aber keinen bereits erfolgten Einbruch rückgängig. Da es schon vor den Patches Angriffe gab, sollten Sie prüfen lassen, ob Hintertüren, fremde Admin-Konten oder veränderte Dateien vorhanden sind – und Zugangsdaten erneuern, weil CVE-2026-109618 Speicherinhalte preisgeben kann.
Der Notfall-Fix startet bei 490 € netto. Nach der kostenlosen Ersteinschätzung nennen wir Ihnen einen Festpreis, bevor wir beginnen. Der Umstieg auf Next.js startet bei 4.900 €, die Security-Betreuung bei 149 € pro Monat.
Sie erhalten in unter einer Stunde eine Antwort. Die Absicherung ist in der Regel innerhalb von 24 Stunden nach Ihrer Freigabe abgeschlossen.
Für PHP 8.1, 8.0 und 7.x gibt es kein offizielles Update. Kurzfristig spielen wir einen Backport ein oder aktualisieren auf eine unterstützte PHP-Version und testen Ihre Website darauf. Langfristig empfehlen wir ein Upgrade oder den Umstieg auf Next.js.
Die PHP Foundation hat am 23. Oktober 2026 eine dritte Lücke angekündigt. Laut PHP Foundation ist sie nur in einer sehr unwahrscheinlichen Kombination aus Konfiguration und Anwendungscode ausnutzbar und lässt sich per Konfiguration entschärfen. Der Fix kommt mit dem nächsten regulären Release. Im Notfall-Fix setzen wir die Entschärfung direkt mit um.
Keine Technologie ist unangreifbar. Eine Next.js-Website liefert aber vorgerenderte Seiten aus, braucht keine PHP-Laufzeit und keine Plugins – die Angriffsfläche ist dadurch deutlich kleiner. Von PHP2Shell ist sie nicht betroffen. Mit der Security-Betreuung halten wir auch sie dauerhaft aktuell.
Je nach Setup Zugang zum Hosting-Kundenbereich, SSH bzw. SFTP oder einen Admin-Zugang zum CMS. Wir arbeiten vertraulich und schließen auf Wunsch einen Auftragsverarbeitungsvertrag (AVV) nach DSGVO ab.
Ja. Wir arbeiten vollständig remote, auf Deutsch und Englisch, für Kunden in Deutschland, Österreich, der Schweiz und weltweit.
Melden Sie sich auf dem Weg, der für Sie am schnellsten ist. Antwort in unter einer Stunde.
twentyfirst.dev ist ein unabhängiger Dienstleister und steht in keiner Verbindung zum PHP-Projekt, zur PHP Foundation oder zum BSI. Angaben nach bestem Wissen auf Basis der genannten Quellen.