DATAFIX · php2shell · Okt 2026
PHP-Check.
Seit dem 21. Oktober gibt es eine große Sicherheitslücke in PHP, der Technik hinter den meisten Websites. Ob deine Seite betroffen ist, siehst du hier in zehn Sekunden. Kostenlos, ohne Anmeldung.
Prüfen
Die Adresse deiner Website eintragen, zum Beispiel meine-firma.at. Unser Server schaut nach, welche PHP-Version dort läuft. Nichts wird gespeichert.
- PHP…
- Server…
- Panel…
- Zertifikat…
Fix: 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 · Nichts wird gespeichert, nichts wird angegriffen.
Ein Loch in der Grundlage.
PHP ist die Programmiersprache, mit der rund sieben von zehn Websites gebaut sind: WordPress, Online-Shops, Buchungsseiten, Vereinsseiten. Am 20. Oktober 2026 wurde bekannt, dass PHP zwei schwere Fehler hat. Wer sie kennt, kann einem Server eine einzige präparierte Anfrage schicken und danach darauf tun, was er will: Daten lesen, Seiten verändern, Schadsoftware ablegen. Ohne Passwort, ohne Login.
Fachbegriff dafür: „Remote Code Execution", kurz RCE. Die Lücke heißt php2shell, die Kennnummern lauten CVE-2026-109618 und CVE-2026-109619. Schweregrad 9,2 von 10.
Die Fehler steckten über zehn Jahre unbemerkt im Code. Gefunden wurden sie im August von Sicherheitsfirmen (Wiz, Calif), die dafür KI-Modelle von OpenAI einsetzten. Nach Einschätzung von Wiz sind es die schwersten Lücken, die bisher mit KI entdeckt wurden. Dieselben Werkzeuge stehen auch Angreifern zur Verfügung.
Erst der Plan, dann das Leck.
Die PHP-Entwickler wollten die Fehler still beheben und am 22. Oktober bekannt geben, wenn der Patch schon da ist. So läuft das normalerweise. Am 20. Oktober tauchten die Kennnummern aber vorzeitig im Netz auf, kurz darauf ein Video, das den Angriff vorführt. Damit war die Reihenfolge gekippt: Angreifer wussten Bescheid, bevor es eine Reparatur gab.
Das EU-Sicherheitsteam CERT-EU warnte noch am selben Abend: Wer nicht sofort patchen kann, soll die Website vom Netz nehmen. Viele taten genau das. Am 21. Oktober waren zeitweise offline: der Rechnungsdienst easybill, das Kundenmenü von All-Inkl, Nextcloud-Instanzen bei IONOS, in Österreich TU Wien, WU Wien, Uni Linz und das APA-Presseportal OTS, in Deutschland Stadtportale wie Mainz und Düsseldorf, in den Niederlanden der Behörden-Login DigiD. Das waren Vorsichtsmaßnahmen, keine Hacks.
Bis zum Abend wurde daraus ein weltweites Ereignis: Finnland schaltete die öffentlichen Webdienste der Regierung ab, in den Niederlanden gingen Parlament und Gesundheitsbehörde offline, Teile von Wikipedia, Seiten der BBC, der Stadtrat von Edinburgh, mehrere US-Bundesstaaten. Die NSA, das Weiße Haus, die britische und die japanische Cybersicherheitsbehörde gaben dieselbe Empfehlung wie CERT-EU: patchen oder abschalten.
21. Oktober, 16 Uhr.
Die Reparatur erschien am 21. Oktober um 16 Uhr unserer Zeit. Sichere Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für ältere Versionen (8.1, 8.0, 7.4) hat das PHP-Team ausnahmsweise Korrekturen als Quellcode nachgereicht; ob der eigene Hoster sie einbaut, muss man dort erfragen. Wer da noch läuft, sollte auf eine neuere Version umsteigen.
Wichtig nach dem Update: Der Webserver muss PHP neu starten, sonst läuft im Speicher weiter die alte Version. Das ist der häufigste Grund, warum ein Server „gepatcht" aussieht und trotzdem angreifbar bleibt.
Cloudflare meldete bereits am Vormittag erste Angriffsversuche. Fachleute rechnen damit, dass auf ungepatchten Servern in den nächsten Tagen Hintertüren („Web-Shells") abgelegt werden; Angreifer können aus dem Patch ablesen, wo genau der Fehler sitzt. Bestätigte Einbrüche sind bis in die Nacht auf den 22. Oktober nicht öffentlich geworden. Stand dieser Seite: 22. Oktober, 0 Uhr.
Grün, Gelb, Rot.
Grün: Deine Seite meldet eine sichere Version, läuft bei einem Baukasten-Anbieter (Wix, Squarespace, Jimdo), der das zentral erledigt, oder nutzt gar kein PHP. Nichts zu tun. Gelb: Der Server verrät seine Version nicht, viele Hoster verstecken sie. Dann im Kundenbereich deines Hosters nachsehen oder dort anfragen. Rot: Eine alte Version ist sichtbar. Jetzt updaten, nicht morgen.
Die Prüfung liest nur, was dein Server von sich aus mitteilt. Sie greift nichts an und speichert nichts. Ein grünes Ergebnis ist eine gute Nachricht, aber kein Freibrief: Was dein Hoster intern laufen hat, sehen wir von außen nicht.
Die zweite Welle ist Betrug.
Nach jeder großen Lücke kommen Mails und Anrufe: „Wegen der Sicherheitslücke müssen Sie Ihr Passwort bestätigen", „Ihr Konto wird gesperrt", „Klicken Sie hier für das Update". Das sind Betrüger, die die Nachrichtenlage nutzen. Kein Hoster, keine Bank, kein Shop verlangt per Link ein Passwort. Im Zweifel: Nicht klicken, selbst beim Anbieter einloggen, nachfragen.
Für Hoster und Admins: Server, die zwischen dem 20. Oktober und dem Patch offen im Netz standen, gelten als möglicherweise kompromittiert. Logs prüfen, auch wenn die Seite jetzt gepatcht ist.
Und für alle, auch ohne Website: Wurde ein Shop gehackt, bei dem du dasselbe Passwort wie bei iCloud oder Gmail verwendet hast, ist das Konto offen. Ob deine Adresse in einem Leck steckt, zeigt der Leak-Check.
Lieber einmal fragen.
DATAFIX ist der Datenrettungs- und Sicherheitsdienst von RILLE FIX in Wien. Wir prüfen den Server, spielen das Update ein, stellen alte Versionen um und schauen in die Logs, wenn ein Server ungeschützt im Netz hing.
contact@rillefix.com
+43 650 707 9797
Mag. Martin Rille · RILLE FIX
Kopernikusgasse 9–11/12, 1060 Wien
Quellen: PHP, CERT-EU 2026-018, Plesk, Cloudflare, Tenable, Help Net Security