PHP-Sicherheitslücke php2shell

Das Wichtigste vorab

Zwei kritische Lücken in PHP. Updates seit 21.10., aber nur für PHP 8.2 und neuer.
Websites, die igroup hostet: Update ist bei nahezu allen eingespielt. Sehr alte Installationen sprechen wir persönlich an.
Eigenes Hosting: beim Hoster nachfragen, PHP-Version im Panel nachsehen, nicht eigenmächtig umstellen.
 

Zwei Lücken im Kern von PHP erlauben Angreifern, ohne Login eigenen Code auf Webservern auszuführen. Betroffen ist PHP selbst, und damit rund 70 % aller Websites weltweit, darunter jede TYPO3- und jede WordPress-Seite, viele Shops und Mitgliederportale. Das PHP-Team hat am 21.10. Notfall-Updates veröffentlicht. Die gibt es nur für PHP 8.2 und neuer. Ältere Versionen bleiben offen, außer der Hoster pflegt sie selbst weiter.
 

Das Update ist bei nahezu allen Websites eingespielt, Deine Website läuft normal. Unsere Hosting-Partner haben am 21.10. gepatcht, auch ältere PHP-Versionen, die wir dort über einen erweiterten Support absichern lassen. Wenige sehr alte Installationen, für die es kein Update mehr gibt, rufen wir persönlich an. Parallel behalten wir alle Systeme in den nächsten Wochen und Monaten verstärkt im Blick, automatisiert über Monitoring und händisch über Stichproben.

Zum Beispiel bei IONOS, Domainfactory, All-Inkl oder einem eigenen Dienstleister: Das Update liegt in der Hand Deines Hosters. Das solltest Du prüfen:

• Beim Hoster nachsehen oder nachfragen, ob die PHP-Updates vom 21.10. eingespielt sind. Die großen Anbieter haben Statusseiten oder Mails dazu verschickt.
• Im Hosting-Panel nachsehen, welche PHP-Version Deine Website nutzt
  • 8.2 oder neuer: sicher, sobald der Hoster das Update drauf hat
  • 8.1 oder älter: beim Hoster klären, ob er die Version noch absichert.
• Nicht einfach im Panel auf eine neuere PHP-Version umstellen. Ältere TYPO3- oder WordPress-Installationen laufen damit nicht mehr, die Website wäre weg. Vorher mit uns oder Deinem Dienstleister sprechen.
   

Shop, Intranet, Mitgliederportal, Tools anderer Dienstleister: Dort gilt dasselbe. Frag den Betreiber, ob das Update drauf ist und welche PHP-Version läuft.
 

Viele Hoster haben am 21.10. Uploads und Formulare vorübergehend eingeschränkt. Anfragen aus diesem Zeitfenster können fehlen.
 

Wenn Du unsicher bist, was bei Dir läuft, oder Deine Website vor 2022 gebaut wurde: Schreib uns kurz. Wir schauen drauf und sagen Dir klar, ob Handlungsbedarf besteht. Das gilt auch, wenn die Website nicht von uns ist.
 

Stand: 22.10.2026,14:17 Uhr. Diese Seite wird laufend aktualisiert.