- Startseite
- Website-Check
- Website-Sicherheit
PHP-Sicherheitslücke: Ist Ihre Website betroffen?
Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP geschlossen. PHP ist die Technik hinter WordPress, Shopware, TYPO3 und den meisten Firmen-Websites. Unser kostenloser Check zeigt, ob Ihre Website mit PHP läuft und ob eine veraltete Version sichtbar ist. Cookie-Banner, Datenschutzerklärung und Impressum prüfen wir gleich mit.
Ist Ihre Website betroffen?
Wir prüfen, ob Ihre Website mit PHP läuft und ob veraltete Software sichtbar ist, dazu Cookie-Banner, Datenschutz, Impressum und Barrierefreiheit.
Ihre Seite wird geprüft
- Cookie-Banner und EinwilligungErstbesuch, Ablehnen, Einstellungen, Akzeptieren, Widerruf
- Unterseiten und RechtstexteImpressum, Datenschutz, Formulare, Shop-Seiten, Barrierefreiheit
- AuswertungBefunde, Einstufung und Bericht
Gesamteindruck
Die Prüfung läuft automatisch. Sie kann unvollständig sein oder einzelne Punkte falsch erkennen. Alle Angaben ohne Gewähr. Keine Rechtsberatung.
War der Check hilfreich? Über eine Bewertung bei Google freuen wir uns sehr.
Die PHP-Lücke vom Oktober 2026 in Kürze.
Sicherheitsforscher haben zwei Fehler im Kern von PHP gefunden, die Lücken CVE-2026-109618 und CVE-2026-109619, auch bekannt als PHP2Shell. Über sie können Angreifer ohne Anmeldung Programmcode auf dem Webserver ausführen und so zum Beispiel Schadcode einschleusen, Daten abgreifen oder die Website übernehmen. Die Lücken sind mit 9,2 von 10 Punkten als kritisch eingestuft.
Die Korrekturen erschienen am 21. Oktober 2026. Das Bundesamt für Sicherheit in der Informationstechnik rät, sie sofort einzuspielen (Warnung des BSI). Erste Angriffsversuche wurden bereits gemeldet. Ein Update von WordPress oder Shopware im Backend reicht nicht: Der Fehler steckt in PHP selbst, also auf dem Server.
Es hängt davon ab, womit Ihre Website läuft.
Die Lücke steckt in PHP. Entscheidend ist also nicht, wie Ihre Website aussieht, sondern was auf dem Server läuft.
Jetzt beim Hoster nachfragen
WordPress, WooCommerce, Shopware, TYPO3, Joomla, Contao, Drupal, JTL-Shop, Gambio, Magento und selbst programmierte PHP-Anwendungen. Hier muss PHP auf dem Server aktualisiert werden.
Der Anbieter kümmert sich
Shopify, Wix, Squarespace, Webflow und Jimdo betreiben ihre Server selbst und spielen Updates ein. Sie müssen nichts tun.
Nicht betroffen
Websites, die fertig als Dateien über ein CDN ausgeliefert werden (statisch oder „headless“), haben kein PHP auf dem Webserver. So bauen wir unsere Websites.
Was wir prüfen, und was nicht.
Ehrlich gesagt: Ob Ihr Server das Update schon hat, sieht man von außen meist nicht. Was wir sehen, zeigen wir Ihnen vollständig.
PHP erkannt?
An Server-Antwort, Cookies wie PHPSESSID und den Merkmalen von WordPress, Shopware, TYPO3 und anderen Systemen.
PHP-Version sichtbar?
Verrät der Server seine Version, vergleichen wir sie mit den korrigierten Versionen und melden, ob das Update fehlt.
Ihr Hoster
An der Server-Adresse erkennen wir den Hoster, etwa IONOS, STRATO oder ALL-INKL, und verlinken dessen Anleitung zur PHP-Version.
Veraltete Software
WordPress-Version nach der offiziellen Liste von WordPress, alte jQuery-Versionen und fehlende Sicherheits-Header.
DSGVO komplett
Cookie-Banner, Tracking vor der Einwilligung, Google Fonts, Datenschutzerklärung, Impressum und Barrierefreiheit.
Ohne Eingriff
Wir sehen nur, was jeder Browser sieht. Keine Angriffe, keine versteckten Pfade, keine abgeschickten Formulare.
Fünf Schritte, die Sie heute erledigen sollten.
- Website prüfen: Mit dem Check oben sehen Sie in wenigen Minuten, ob Ihre Website mit PHP läuft und ob eine veraltete Version sichtbar ist.
- Hoster fragen: Ob das Update eingespielt ist, weiß Ihr Hoster. Nutzen Sie dafür unsere Vorlage weiter unten.
- Eigener Server? Aktualisieren: Läuft Ihre Website auf einem eigenen oder gemieteten Server, muss Ihre Agentur PHP aktualisieren und PHP-FPM bzw. den Webserver neu starten.
- Auffälligkeiten prüfen lassen: Erste Angriffsversuche wurden schon vor dem Update gemeldet. Lassen Sie die Server-Logs seit dem 17. Oktober auf Ungewöhnliches prüfen.
- Alte PHP-Versionen ablösen: Läuft noch PHP 8.1 oder älter, gibt es keine offiziellen Korrekturen. Planen Sie jetzt den Umstieg, notfalls mit einem Relaunch.
Mail an Ihren Hoster.
Kopieren, Domain und Namen einsetzen, abschicken. Damit bekommen Sie eine klare Antwort statt einer allgemeinen Rundmail.
Vorlage: Mail an Ihren HosterFertiger Text zum Kopieren, Domain und Namen einsetzen
BetreffPHP-Sicherheitsupdate vom 21.10.2026 (CVE-2026-109618, CVE-2026-109619)
Guten Tag, am 21.10.2026 wurden zwei kritische Sicherheitslücken in PHP geschlossen (CVE-2026-109618 und CVE-2026-109619, das BSI hat dazu gewarnt). Bitte bestätigen Sie mir kurz für meine Website [Ihre Domain]: 1. Welche PHP-Version läuft dort aktuell? 2. Ist PHP auf 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12 oder neuer aktualisiert und danach neu gestartet worden? 3. Falls noch PHP 8.1 oder älter läuft: Bis wann können wir auf eine unterstützte Version umstellen? 4. Gab es seit dem 17.10.2026 Auffälligkeiten in den Server-Logs? Vielen Dank und freundliche Grüße [Ihr Name]
Unsere Websites brauchen kein PHP.
Die Websites, die wir heute bauen, werden fertig als Dateien über ein weltweites Netz von Servern ausgeliefert (CDN). Auf dem Server, den Ihre Besucher erreichen, laufen weder PHP noch eine Datenbank oder Plugins. Lücken wie die vom Oktober betreffen diese Websites deshalb nicht. Ihre Inhalte pflegen Sie trotzdem bequem in einem CMS, das getrennt von der Website läuft.
- Weniger Angriffsfläche: kein PHP, keine Datenbank und keine Plugins auf dem Webserver.
- Schnell und stabil: Auslieferung über ein CDN, auch bei vielen Besuchern gleichzeitig.
- Datenschutz von Anfang an: Schriften vom eigenen Server, Tracking erst nach Einwilligung.
- Alles aus einer Hand: Updates, Betreuung und Weiterentwicklung übernehmen wir.
Läuft Ihre Website noch mit einer alten PHP-Version oder auf einem WordPress, das niemand mehr pflegt? Dann ist jetzt ein guter Zeitpunkt für einen Relaunch. Im kostenlosen Erstgespräch schauen wir uns Ihre Website gemeinsam an.
Häufige Fragen zur PHP-Lücke und zur Website-Sicherheit
Was ist die PHP-Sicherheitslücke vom Oktober 2026?
Es geht um zwei Lücken im Kern von PHP mit den Kennungen CVE-2026-109618 und CVE-2026-109619, bekannt geworden unter dem Namen PHP2Shell. Sie sind mit 9,2 von 10 Punkten als kritisch eingestuft. Über sie lässt sich ohne Anmeldung Programmcode auf dem Webserver ausführen. Die Korrekturen erschienen am 21. Oktober 2026, das BSI hat eine Warnung veröffentlicht.
Ist WordPress betroffen?
WordPress läuft mit PHP, also ja, wenn auf dem Server eine Version ohne Korrektur läuft. Ein Update im WordPress-Backend reicht dafür nicht, denn der Fehler steckt in PHP selbst, also auf dem Server. PHP aktualisiert Ihr Hoster oder, bei einem eigenen Server, Ihre Agentur. WordPress, Theme und Plugins sollten Sie trotzdem aktuell halten.
Welche PHP-Versionen sind sicher?
PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie alle neueren Versionen. Für PHP 8.1 und älter gibt es keine offiziellen Sicherheitsupdates mehr. Linux-Distributionen wie Debian oder Ubuntu spielen Korrekturen manchmal ein, ohne die Versionsnummer zu ändern. Im Zweifel fragt man deshalb am besten beim Hoster nach.
Wie finde ich meine PHP-Version heraus?
Im Kundenbereich Ihres Hosters, meist unter "PHP-Einstellungen" oder "PHP-Version". In WordPress steht sie unter Werkzeuge, Website-Zustand, Bericht, Server. Ob das Update vom 21. Oktober eingespielt ist, sehen Sie dort allerdings nur an der genauen Versionsnummer.
Muss ich bei Shopify, Wix oder Webflow etwas tun?
Nein. Bei diesen Baukästen betreibt der Anbieter die Server und spielt Updates selbst ein. Sie können dort auch gar nicht auf PHP zugreifen.
Erkennt Ihr Check, ob mein Server das Update hat?
Nur, wenn Ihr Server seine PHP-Version verrät. Das tun manche Server im Header "X-Powered-By". Dann vergleichen wir die Nummer mit den korrigierten Versionen. Die meisten Server halten ihre Version zu Recht geheim. Dann zeigt der Check, dass Ihre Website mit PHP läuft, und Sie fragen Ihren Hoster, am einfachsten mit unserer Vorlage.
Greift Ihr Check meine Website an?
Nein. Unser Prüf-Browser ruft Ihre Website auf wie ein normaler Besucher, höchstens 20 Seiten. Er probiert keine Lücken aus, sucht nicht nach versteckten Dateien und schickt keine Formulare ab.
Was prüft der Check außer PHP?
Den kompletten Datenschutz-Teil unseres Website-Checks: Cookie-Banner und Einwilligung, Tracking vor der Zustimmung, Google Fonts, Datenschutzerklärung, Impressum, Barrierefreiheit und bei Onlineshops die Shop-Pflichten. Dazu sichtbare WordPress- und jQuery-Versionen, HTTPS und Sicherheits-Header.
Ich glaube, meine Website wurde schon angegriffen. Was tun?
Informieren Sie sofort Ihren Hoster oder Ihre Agentur, ändern Sie alle Zugangsdaten (Hosting, FTP, Datenbank, CMS) und lassen Sie die Server-Logs prüfen. Klären Sie, ob es ein sauberes Backup von vor dem 17. Oktober gibt, und lassen Sie PHP sofort aktualisieren. Sind personenbezogene Daten betroffen, etwa Kundendaten oder Formulareingaben, kann eine Meldepflicht an die Datenschutzbehörde innerhalb von 72 Stunden bestehen (Art. 33 DSGVO).
Was kostet der Check?
Nichts. Sie bekommen das Ergebnis direkt auf der Seite und den ausführlichen Bericht mit Lösungen per E-Mail. Wenn Sie möchten, sprechen wir danach kostenlos über die Ergebnisse.
Stand: 22. Oktober 2026. Technische Einordnung, keine Rechts- oder Sicherheitsberatung im Einzelfall. Der Check ersetzt keinen Penetrationstest.
Website ohne PHP-Sorgen?
Wir bauen Websites und Onlineshops, die ohne PHP auf dem Webserver auskommen, und übernehmen Updates und Betreuung. Erzählen Sie uns, was Sie vorhaben.