Kritische PHP-Sicherheitslücke „PHP2Shell“: Müssen Sie Ihre WordPress-Website jetzt abschalten?
In den vergangenen Tagen ging eine Schockwelle durch die Tech-Welt: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Warnstufe Orange für eine kritische Sicherheitslücke im Kern der Programmiersprache PHP ausgerufen. Da WordPress fast vollständig auf PHP basiert, sind weltweit Millionen von Websites potenziell bedroht.
In unserer Agentur glühen seitdem die Drähte. Die am häufigsten gestellte Frage unserer Kunden lautet aktuell: „Müssen wir unsere Website sofort vom Netz nehmen, um uns vor Hackern zu schützen?“
Die kurze Antwort lautet: Nein, in den allermeisten Fällen müssen Sie Ihre Website nicht abschalten – aber Sie müssen jetzt sofort handeln!
Was ist passiert? Das Problem hinter „PHP2Shell“
Die Schwachstellen (registriert unter CVE-2026-109618 und CVE-2026-109619) betreffen die Art und Weise, wie PHP Datei-Uploads verarbeitet. Angreifer können diese Lücke ausnutzen, um Schadcode auf den Server zu schleusen und im schlimmsten Fall die komplette Kontrolle über die Website und den Server zu übernehmen.
Das Tückische daran: Es ist kein Fehler in WordPress selbst oder in einem bestimmten Plugin, sondern in der technologischen Basis des gesamten Servers.
Der 3-Schritte-Notfallplan für Ihre WordPress-Website
Um Ihre Website abzusichern, sollten Sie (oder Ihr technischer Partner) folgende Schritte noch heute durchgehen:
Schritt 1: PHP-Version prüfen
Loggen Sie sich in Ihr WordPress-Backend ein und navigieren Sie zu Werkzeuge -> Website-Zustand -> Bericht -> Server. Dort sehen Sie, welche PHP-Version aktuell aktiv ist.
Schritt 2: Versionen abgleichen
Die PHP-Entwickler haben blitzschnell reagiert und Sicherheitsupdates bereitgestellt. Prüfen Sie, ob Ihre Version zu den sicheren gehört:
- PHP 8.5.x ➔ Sicher ab Version 8.5.12
- PHP 8.4.x ➔ Sicher ab Version 8.4.27
- PHP 8.3.x ➔ Sicher ab Version 8.3.36
- PHP 8.2.x ➔ Sicher ab Version 8.2.35 (Achtung: Der Support läuft Ende 2026 aus!)
- PHP 8.1 oder älter ➔ Akute Gefahr! Für diese Versionen gibt es keine offiziellen Sicherheits-Patches mehr. Ein Update auf eine modernere PHP-Version ist hier unumgänglich.
Schritt 3: Den Hoster kontaktieren oder selbst patchen
Wenn Sie ein normales Webhosting-Paket oder „Managed WordPress Hosting“ nutzen, haben viele große Anbieter die Lücke im Hintergrund bereits automatisch geschlossen oder die betroffene Funktion vorübergehend blockiert.
Wenn Sie jedoch einen eigenen Server (vServer/Root-Server) betreiben, sind Sie selbst für das Einspielen der Betriebssystem-Updates verantwortlich.
Wann das „Vom-Netz-Nehmen“ tatsächlich sinnvoll ist
Ihre Website komplett abzuschalten, schadet Ihrem Geschäft, Ihrem SEO-Ranking und Ihrem Image. Es sollte das absolut letzte Mittel sein.
Ein vorübergehender „Shutdown“ ist nur dann ratsam, wenn:
- Ihre Website auf einer veralteten PHP-Version (8.1 oder älter) läuft und ein schnelles Update technisch gerade nicht möglich ist.
- Ihr Webhoster die Sicherheitsupdates noch nicht eingespielt hat und Sie aktive Angriffe bemerken.
Unser Agentur-Tipp: Statt die Website komplett zu löschen, richten Sie einen sogenannten vollständigen Verzeichnisschutz (per .htaccess / HTTP-Basic-Auth) ein. Dadurch wird die gesamte Seite hinter einer Passworteingabe gesperrt. Automatisierte Hacker-Bots scheitern an dieser Barriere, während Sie im Hintergrund in aller Ruhe die Updates vorbereiten können.
Keine Zeit oder unsicher? Wir übernehmen das für Sie!
Sicherheitslücken wie „PHP2Shell“ zeigen, wie wichtig eine kontinuierliche Wartung und Überwachung von WordPress-Systemen ist. Als WordPress-Agentur haben wir für unsere Kunden mit bestehenden Wartungsverträgen bereits alle Systeme geprüft und abgesichert.
Haben Sie Fragen zu Ihrer PHP-Version oder benötigen Sie akute Hilfe beim sicheren Update Ihrer Website? Melden Sie sich unverzüglich bei uns. Wir prüfen Ihr System und bringen Ihre Website sicher durch die aktuelle Bedrohungslage.
