.svg)
Zwei kritische Lücken in PHP betreffen seit dieser Woche einen Großteil aller Websites – WordPress, Joomla, TYPO3 und viele Webshops. Angreifer können ohne Zugangsdaten Schadcode auf dem Server ausführen. Der kostenlose PHP-Check zeigt in wenigen Sekunden, ob Ihre Website Handlungsbedarf hat.
Kostenlos und unverbindlich. Wir rufen Ihre Startseite einmal auf – so wie jeder andere Besucher. Es wird nichts angegriffen und nichts verändert.
Außen-Check der öffentlich sichtbaren Startseite. Er ersetzt keine Prüfung am Server.
Sie erhalten die Erklärung zu jedem Punkt sofort freigeschaltet. Zusätzlich ruft Sie ein Techniker aus unserem Team innerhalb eines Werktags an und bespricht die nächsten Schritte – kostenlos und unverbindlich.
Die Erklärungen zu Ihrem Ergebnis sind jetzt links freigeschaltet. Wir rufen Sie innerhalb eines Werktags an.
Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßige Sicherheitsupdates veröffentlicht. Die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619, gemeinsam „PHP2Shell“) liegen in PHP selbst. Ein Update von WordPress oder einzelnen Plugins schließt sie daher nicht – entscheidend ist die PHP-Version am Server. Mehrere Gemeinden, Universitäten und Spitäler im deutschsprachigen Raum haben ihre Online-Angebote vorsorglich vom Netz genommen.
Quellen: php.net Sicherheitsankündigung vom 21.10.2026, BSI-Warnung lt. ZDFheute (dpa), Deutschland sicher im Netz, Wiz Research. Stand: 22. Oktober 2026.
Verrät der Server seine PHP-Version, gleichen wir sie mit den gepatchten Ständen vom 21. Oktober ab.
WordPress, Joomla, TYPO3, Drupal oder ein Shopsystem: Wir erkennen, worauf Ihre Website läuft und ob die Version öffentlich einsehbar ist.
Ist die Website durchgängig über HTTPS erreichbar und werden unverschlüsselte Aufrufe umgeleitet?
Fünf Server-Einstellungen, die gängige Angriffe im Browser erschweren – etwa HSTS und Content-Security-Policy.
Ihr Hoster oder Ihre IT kann die eingesetzte Version in wenigen Minuten nennen. Liegt sie darunter, sollte das Update heute noch eingespielt werden.
Gut konfigurierte Server verraten ihre PHP-Version nicht. Dann zeigt der Check „Gelb“ – Gewissheit gibt nur ein Blick auf den Server.
Manche Hoster spielen Korrekturen ein, ohne die Versionsnummer zu ändern. Eine ältere Nummer heißt also nicht zwingend, dass die Lücke offen ist.
Ein Update schließt die Lücke, beseitigt aber keine Spuren eines bereits erfolgten Angriffs. Bei Verdacht braucht es eine Prüfung der Dateien und Zugänge.
Website-Adresse eingeben, Ampel-Ergebnis sofort sehen.
Wir besprechen das Ergebnis, klären mit Ihnen oder Ihrem Hoster den tatsächlichen PHP-Stand und schätzen den Aufwand ein.
Wir spielen das Update ein oder koordinieren es mit Ihrem Hoster, prüfen die Website danach und halten sie auf Wunsch laufend aktuell.
Nein. Wir rufen Ihre Startseite genau einmal auf, wie ein normaler Besucher, und werten nur aus, was der Server ohnehin öffentlich mitschickt. Es wird keine Lücke ausgenutzt.
Nein. PHP2Shell steckt in PHP selbst, nicht in WordPress. Ein eigenes WordPress-Update ist laut aktuellem Stand nicht nötig, entscheidend ist die PHP-Version am Server.
Bei Shared- und Managed-Hosting meist ja – oft aber zeitverzögert. Bei eigenen Servern oder virtuellen Servern liegt das Update bei Ihnen oder Ihrer IT. Eine kurze Nachfrage schafft Klarheit.
Das hängt von Hosting und System ab. Check und Rückruf sind kostenlos, ein Angebot erhalten Sie erst, wenn tatsächlich etwas zu tun ist.
Unser Web-Team in Perg schaut sich Ihre Website persönlich an.
