PHP2Shell: Ist Ihre WordPress-Website jetzt angreifbar?
WordPress läuft auf PHP, und in PHP steckt eine kritische Lücke. Angreifer können darüber ohne Passwort fremden Code auf dem Server ausführen und die Website übernehmen. Ein WordPress-Update schließt diese Lücke nicht. Wir prüfen Ihre WordPress-Website kostenlos und sagen Ihnen, ob Sie handeln müssen.
- Klare Antwort statt IT-Fachchinesisch. Grün, Gelb oder Rot, dazu die nächsten Schritte in zwei, drei Sätzen.
- Direkt in Ihrem WordPress. Wir sehen nach, welche PHP-Version tatsächlich läuft, statt zu raten. Den Zugang klären wir kurz am Telefon.
- Kostenlos und unverbindlich. Ist alles in Ordnung, sagen wir Ihnen das auch. Mehr nicht.
Dauert für Sie zwei Minuten. Rückmeldung werktags innerhalb von 24 Stunden.
Jetzt kostenlos prüfen lassen Für Makler und Immobilienbüros mit WordPress-Website.Eine Lücke im Fundament jeder WordPress-Website
PHP ist die Programmiersprache, auf der WordPress läuft, mit allen Themes und Plugins. Ohne PHP gibt es kein WordPress. Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßig Sicherheitsupdates veröffentlicht. Die zwei geschlossenen Lücken laufen unter dem Namen PHP2Shell.
- Ohne Passwort
Fremder Code auf Ihrem Server
Über die Lücken können Angreifer aus der Ferne eigene Befehle auf dem Webserver ausführen. Eine Anmeldung ist dafür nicht nötig. Am Ende steht im schlimmsten Fall die komplette Übernahme der Website.
- 9,2 / 10
Kritisch eingestuft
Beide Lücken (CVE-2026-109618 und CVE-2026-109619) haben einen Schweregrad von 9,2 von 10 Punkten. Das Bundesamt für Sicherheit in der Informationstechnik hat eine Cybersicherheitswarnung mit Warnstufe 3 (Orange) herausgegeben.
- Update fehlt?
Dann bleibt die Tür offen
Ein Update von WordPress, Theme oder Plugins reicht nicht, die Lücke steckt in PHP selbst, eine Ebene darunter. Geschützt sind Sie erst, wenn Ihr Server eine korrigierte PHP-Version nutzt. Ob Ihr Hoster das schon erledigt hat, sehen Sie Ihrer Website nicht an.
Welche PHP-Version läuft bei Ihnen?
| Ihre PHP-Version | Einschätzung |
|---|---|
| 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer | Korrigiert |
| 8.2 bis 8.5 mit kleinerer Nummer am Ende | Update nötig, beim Hoster nachfragen |
| 8.1 und älter | Keine offiziellen Updates mehr, Umstellung nötig |
Manche Hoster spielen Korrekturen ein, ohne die Versionsnummer zu ändern. Die Nummer allein ist deshalb nur ein erster Anhaltspunkt. Ihre PHP-Version sehen Sie in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Quellen: ORF, Deutschland sicher im Netz, Borns IT-Blog. Stand: 22. Oktober 2026.
Website-Adresse eintragen. Wir sagen Ihnen, woran Sie sind.
Der Erstcheck ist für WordPress-Websites gedacht. Nach Ihrer Anfrage rufen wir Sie an und klären den Zugang zu Ihrem WordPress. Dann prüfen wir direkt im Dashboard und geben Ihnen eine klare Einschätzung per Telefon oder E-Mail.
Ihre WordPress-Website ist kein Prospekt. Sie sammelt Daten.
Auf einer Makler-Website mit WordPress laufen meist ein Formular-Plugin für Kontakt- und Bewertungsanfragen, ein Immobilien-Plugin mit Objektliste und Exposé-Download und oft eine Schnittstelle zur Maklersoftware. Genau diese Daten sind interessant, wenn jemand Ihren Server übernimmt.
Was bei einer übernommenen Website passieren kann:
- Anfragen von Eigentümern und Interessenten landen bei Fremden.
- Ihre Seite verteilt Schadcode an Besucher, Browser und Google zeigen Warnhinweise.
- Eine Datenpanne nach DSGVO: Sie muss in der Regel binnen 72 Stunden der Aufsichtsbehörde gemeldet werden.
- Die Website geht vom Netz, mitten in der laufenden Vermarktung.
Viele Hoster haben die Updates schon eingespielt, andere noch nicht. Wer einen eigenen oder virtuellen Server betreibt, muss sich selbst darum kümmern. Und wer seine WordPress-Website vor Jahren hat bauen lassen, weiß oft gar nicht, auf welcher PHP-Version sie heute läuft.
Genau diese Frage beantwortet der Erstcheck: Betrifft Sie das, ja oder nein?
Was der Erstcheck prüft und was nicht
Für den Erstcheck melden wir uns in Ihrem WordPress an und sehen nach, was dort tatsächlich läuft. Er ersetzt keinen Penetrationstest und kein Sicherheitsaudit, beantwortet aber die dringende Frage, ob Sie jetzt handeln müssen.
- ob Ihre Website tatsächlich mit WordPress läuft
- welche PHP-Version Ihre Website tatsächlich nutzt, im WordPress-Website-Zustand
- wie aktuell WordPress, Theme und Plugins sind
- bei welchem Hoster die Website liegt und was dieser zu PHP2Shell veröffentlicht hat
- eine Ampel-Einschätzung: Grün, Gelb oder Rot
- die konkreten nächsten Schritte, verständlich formuliert
- auf Wunsch einen fertigen Text für die Nachfrage bei Ihrem Hoster
- werktags innerhalb von 24 Stunden, per Telefon oder E-Mail
- keine Angriffe, keine Exploits, keine Lasttests
- keine Änderungen an Ihrer Website ohne Ihre Freigabe
- kein Check fremder Websites ohne Berechtigung
- keine Verpflichtung, danach etwas zu beauftragen
In drei Schritten zur Antwort
Adresse eintragen
Adresse Ihrer WordPress-Website und Kontaktdaten ins Formular. Das dauert zwei Minuten. Passwörter gehören nicht ins Formular.
Zugang klären und prüfen
Wir rufen Sie an und vereinbaren den Zugang zu Ihrem WordPress. Dann sehen wir im Dashboard nach, welche PHP-Version läuft, und gleichen das mit dem aktuellen Stand zu PHP2Shell und den Meldungen Ihres Hosters ab.
Sie bekommen die Ampel
Werktags innerhalb von 24 Stunden nach dem Zugang: Grün, Gelb oder Rot und was als Nächstes zu tun ist. Ist ein Update nötig, sagen wir Ihnen, wen Sie ansprechen und was Sie fragen.
Die häufigsten Fragen
Ist der Erstcheck wirklich kostenlos?
Ja. Der Erstcheck kostet nichts und verpflichtet Sie zu nichts. Wenn danach etwas zu tun ist, entscheiden Sie selbst, ob Sie das mit Ihrem Hoster, Ihrer bisherigen Agentur oder mit uns erledigen.
Brauchen Sie einen Zugang zu meinem WordPress?
Ja. Nur im Dashboard sehen wir zuverlässig, welche PHP-Version Ihre Website wirklich nutzt. Am einfachsten legen Sie uns dafür einen eigenen Benutzer an, den Sie nach dem Check wieder löschen. Das besprechen wir am Telefon. Bitte schicken Sie uns keine Passwörter über das Formular oder per E-Mail. Wir verändern nichts ohne Ihre Freigabe und testen keine Angriffe.
Mein Hoster sagt, er hat das Update eingespielt. Bin ich damit sicher?
Gegen PHP2Shell sehr wahrscheinlich ja, sofern das Update auch für die PHP-Version gilt, die Ihre Website tatsächlich nutzt. Bei vielen Hostern lässt sich die Version pro Website einstellen, und ältere Versionen bleiben manchmal ungepatcht. Genau das klären wir im Erstcheck.
Ich habe WordPress und alle Plugins aktualisiert. Reicht das nicht?
Leider nein. WordPress-Updates verändern WordPress, Themes und Plugins, aber nicht PHP. PHP stellt Ihr Hoster bereit, und nur dort lässt sich die Lücke schließen. Ein aktuelles WordPress ist trotzdem gut, gegen PHP2Shell hilft es nicht.
Wo sehe ich selbst, welche PHP-Version meine WordPress-Website nutzt?
Im WordPress-Dashboard unter Werkzeuge → Website-Zustand → Bericht, dort im Abschnitt Server. Vergleichen Sie die Nummer mit der Tabelle weiter oben. Wenn Sie unsicher sind, übernehmen wir das im Erstcheck.
Meine Website läuft nicht mit WordPress. Können Sie trotzdem prüfen?
Der Erstcheck ist auf WordPress zugeschnitten. Wenn Sie nicht sicher sind, wählen Sie im Formular „Nicht sicher“, dann sagen wir Ihnen zuerst, womit Ihre Website läuft. Für andere Systeme erreichen Sie uns über die Kontaktseite.
Was passiert, wenn meine Website auf Rot steht?
Dann sagen wir Ihnen, was sofort zu tun ist, meistens ein PHP-Update beim Hoster. Liegt die Website auf einer veralteten Version ohne offizielle Updates, besprechen wir mit Ihnen, ob sich eine Umstellung lohnt oder eine neue Makler-Website die bessere Lösung ist.
Kann ich auch die Website eines Kollegen prüfen lassen?
Nur mit dessen Auftrag. Wir prüfen ausschließlich Websites, für die der Anfragende Inhaber ist oder eine Berechtigung hat. Leiten Sie Ihrem Kollegen am besten den Link zu dieser Seite weiter.