Am 21. Oktober hat das PHP-Projekt einen Fix für zwei kritische Sicherheitslücken veröffentlicht, von der Art, bei der ein Fremder ohne Anmeldung eigenen Code auf Ihrem Webserver ausführen kann. Das Paar wurde PHP2Shell getauft. Banken und Fluggesellschaften kamen in die Nachrichten. Websites kleiner Unternehmen nicht, und gerade sie sind es, die in einem Monat am ehesten noch ungepatcht sind.
Wenn Ihre Website auf WordPress läuft, läuft sie auf PHP. Hier steht, was passiert ist, was Sie heute tun sollten und was wir Leuten sagen, die fragen, warum eine Surmado Site nichts zu aktualisieren hatte.
Was passiert ist, in einfachen Worten
PHP ist die Programmiersprache, in der WordPress geschrieben ist. Bei jedem Besuch einer WordPress-Seite läuft auf dem Server ein PHP-Programm, holt Ihre Inhalte aus einer Datenbank und setzt die Seite auf der Stelle zusammen. Zwei Fehler in diesem Programm, CVE-2026-109618 und CVE-2026-109619, erlauben es einem Angreifer, mit einer einzigen präparierten Anfrage eigenen Code auf dem Server auszuführen. Ein Passwort ist nicht nötig. Das PHP-Projekt bewertet beide mit 9,2 von 10.
Einige Dinge, die man wissen sollte:
- Das ist kein WordPress-Fehler. Betroffen ist jede Website, die auf PHP basiert: WordPress, Drupal, Joomla, Magento und unzählige individuell gebaute Websites. WordPress.org sagt, dass kein WordPress-Update nötig oder geplant ist. Der Fix steckt in PHP selbst.
- Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es vom PHP-Projekt keinen Fix. Läuft Ihre Website auf einer dieser Versionen, ist die Lösung ein größeres Upgrade und kein Patch.
- Angreifer haben es schon versucht, bevor die Nachricht bekannt wurde. Das Honeypot-Netzwerk von Amazon verzeichnete am 17. Oktober einen Angriffsversuch, vier Tage vor der öffentlichen Bekanntgabe, und öffentlicher Proof-of-Concept-Code kursiert inzwischen.
- Es gibt keinen sicheren Workaround. In den Worten des PHP-Projekts: Aktualisieren ist die einzige sichere Wahl.
Was Sie heute tun sollten
1. Finden Sie heraus, welche PHP-Version Ihre Website nutzt. Gehen Sie im WordPress-Admin auf Werkzeuge, dann Website-Zustand (Site Health), dann den Reiter Info, dann Server. Dort steht die PHP-Version. Die meisten Hosting-Kontrollpanels zeigen sie ebenfalls an.
2. Wenn die Version 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer ist, sind Sie fertig. Ein Vorbehalt: Manche Hoster spielen den Fix ein, ohne die angezeigte Versionsnummer zu ändern. Wenn Ihr Hoster per E-Mail oder Hinweis mitgeteilt hat, dass er PHP2Shell gepatcht hat, vertrauen Sie der Mitteilung mehr als der Nummer.
3. Wenn sie niedriger ist, prüfen Sie zuerst bei Ihrem Hoster. Viele Hoster haben PHP aktualisiert und Firewall-Regeln ergänzt, sobald der Fix draußen war. Suchen Sie nach einer Statusseite, einer E-Mail oder einem Banner in Ihrem Hosting-Konto. Wenn es nichts gibt, eröffnen Sie ein Ticket und fragen Sie direkt: „Wurde PHP für CVE-2026-109618 und CVE-2026-109619 in meinem Konto gepatcht?“
4. Wenn Sie auf PHP 8.1 oder älter sind, haben Sie ein Projekt, keinen Patch. Ihre Website muss auf einen unterstützten Zweig wechseln, und ein solcher Umzug kann ein altes Theme oder Plugin kaputt machen. Der Rat von WordPress.org für Leute, die ihren Server selbst verwalten und eine alte Version nutzen: Erwägen Sie, die Website während des Upgrades vom Netz zu nehmen. Wenn jemand anderes sie für Sie verwaltet, ist das die Entscheidung, die heute fällig ist.
5. Verlassen Sie sich nicht darauf, dass ein Sicherheits-Plugin das abdeckt. Ein WordPress-Plugin läuft innerhalb von PHP und kann deshalb keine Lücke in PHP selbst schließen. Der Angriff kann ausgelöst werden, bevor überhaupt WordPress-Code läuft. Eine Firewall bei Ihrem Hoster oder vor Ihrer Website kann bekannte Angriffsmuster blockieren, und genau das haben viele Hoster als Erstes getan.
6. Tragen Sie sich im Kalender einen Termin für Dezember ein. PHP 8.2 erreicht am 31. Dezember 2026 das Support-Ende. Danach gibt es auch dafür keine Sicherheitsfixes mehr, und das nächste PHP2Shell trifft diese Version, ohne dass ein Patch kommt.
Warum das immer wieder passiert
Nichts davon ist ein Vorwurf an WordPress. Es ist gute Software, und es treibt aus guten Gründen einen riesigen Teil des Webs kleiner Unternehmen an. Aber es lohnt sich zu verstehen, worauf Sie sich eingelassen haben, als Sie eine WordPress-Website gekauft haben, denn das erklärt Ihnen damals niemand.
Eine WordPress-Website ist ein Programm, das bei jedem Besuch läuft. Das ist die Quelle ihrer Flexibilität: Ein Plugin kann fast alles, weil dort ein Programm bereitsteht, das es tut. Es ist auch der Grund, warum die Patch-Liste nie bei null ankommt. PHP, der WordPress-Kern, das Theme und jedes Plugin sind laufender Code, und jedes davon braucht für immer Updates. Website-Wartung ist größtenteils die Aufgabe, diese Liste aktuell zu halten, und die Websites, die zurückfallen, sind diejenigen, in die unbemerkt Spam-Links eingeschleust werden.
PHP2Shell ist nur dadurch ungewöhnlich, wie tief es sitzt. In den meisten Jahren steckt der gefährliche Fehler in einem Plugin. Dieser steckt in der Sprache, auf der alles aufbaut.
Was „statisch“ bedeutet und warum Surmado Sites so gebaut sind
Surmado Sites gehen den entgegengesetzten Weg. Wir betreiben Ihre Website nicht als Programm. Wir bauen die fertigen Seiten im Voraus, immer wenn sich auf der Website etwas ändert, und liefern diese fertigen Dateien an die Besucher aus. Wenn jemand Ihre Startseite öffnet, läuft kein PHP, wird keine Datenbank abgefragt, wird kein Plugin-Code ausgeführt. Es ist eine Datei, ausgeliefert aus einem Netzwerk von Servern in der Nähe des Besuchers.
Das bedeutet „statisch“. Es ist keine Designentscheidung, die man sieht. Es ist eine Entscheidung darüber, wie viel laufender Code zwischen dem öffentlichen Internet und Ihrem Unternehmen sitzt.
Hier die ehrliche Version dessen, was das bringt und was nicht:
- Eine Lücke wie PHP2Shell findet nichts, was sie erreichen könnte. Auf Ihrer Website gibt es kein PHP, das sich ausnutzen ließe. Am 21. Oktober mussten unsere Kunden null Dinge dafür tun. Nicht weil wir schnell gepatcht haben. Sondern weil es nichts zu patchen gab.
- Die Patch-Liste gibt es trotzdem. Sie liegt nur bei uns, und sie ist kurz. Eine Surmado Site nimmt an zwei Stellen Eingaben entgegen: im Kontaktformular und, auf Websites, die eines haben, im Chatfenster. Diese laufen als getrennte Dienste, die wir warten und aktualisieren, abseits Ihrer Seiten. Domain und Zertifikat brauchen weiterhin Pflege, und das ist Teil der Mitgliedschaft. Was sich ändert, ist die Menge an öffentlich erreichbarem Code und wessen Aufgabe er ist.
- Nichts ist unhackbar. Wer etwas anderes behauptet, verkauft Ihnen etwas. Eine statische Website verkleinert die Angriffsfläche so weit, dass das meiste, was WordPress-Websites angreift, nichts mehr zum Angreifen hat. Das ist eine andere Aussage, und die, die wir mit gutem Gewissen treffen.
Wer bei WordPress bleiben sollte
Statische Seiten können nicht alles, und wir sagen das lieber, als dass Sie es später selbst herausfinden.
- Sie verkaufen online. Ein Shop muss Warenkörbe berechnen, Zahlungen annehmen und für jeden Kunden den Bestand prüfen. Dafür braucht es ein Programm. Surmado Sites macht keine Onlineshops; wenn Sie über eine Shop-Plattform verkaufen, verlinken wir von Ihrer Website darauf.
- Ihr Geschäft läuft über ein Plugin. Eine Buchungs-Engine, ein Mitgliederbereich, ein Kundenportal. Wenn sich ein Besucher anmeldet und die Website etwas speziell für ihn berechnet, ist WordPress oder etwas Ähnliches das richtige Werkzeug, und die dazugehörige Wartung ist der Preis für diese Fähigkeit.
- Sie sind bei einem Managed-WordPress-Hoster, der das gepatcht hat, bevor Sie davon gehört hatten, und Sie zahlen dafür gern. Genau dafür ist Managed Hosting da. Wenn Sie am 21. Oktober die E-Mail bekommen haben und nichts tun mussten, funktioniert Ihr Setup.
Für alle anderen, also die meisten kleinen Unternehmen, ist die Website eine Reihe von Seiten: was Sie tun, wo Sie sind, wann Sie geöffnet haben, wie man Sie erreicht, und ein Blog. Für diese Website ist die Flexibilität von WordPress Kapazität, die Sie mit Wartungsaufwand bezahlen und nie nutzen. Und an Tagen wie dem 21. Oktober ist sie der Grund, warum Sie Hausaufgaben haben.
Häufige Fragen
Meine Website ist nicht WordPress. Betrifft mich das?
Wenn sie auf PHP basiert, ja. Drupal, Joomla, Magento und die meisten individuell von einer Webagentur gebauten Websites laufen auf PHP. Wenn Ihre Website bei einem gehosteten Builder wie Wix, Squarespace oder Shopify liegt, betreibt das Unternehmen die Server, und für Sie gibt es nichts zu installieren. Wenn Sie es nicht wissen, fragen Sie den, der sie gebaut hat.
Kann Surmado meine WordPress-Website umziehen?
Ja. Schicken Sie uns die Adresse, und wir bauen sie kostenlos neu: gleiche Inhalte, Fotos, Seitenstruktur und URLs, mit übernommenen Weiterleitungen und Metadaten, und der alte Code bleibt zurück. Ein Mensch prüft sie anhand einer QA-Liste mit 42 Punkten, Sie bekommen eine Vorschau, und Sie zahlen nichts, solange Sie sie nicht freigeben. Die meisten Neuaufbauten sind innerhalb von 24 Stunden fertig.
Verliere ich meinen Blog?
Nein. Blogs gehören bei einer Surmado Site zum Standard, und im Tarif Pro+ schreiben wir wöchentlich Beiträge für Sie.
Schadet eine statische Website meinem Suchranking?
Meist im Gegenteil. Im Voraus gebaute Seiten laden schneller als Seiten, die pro Besuch zusammengesetzt werden, und Geschwindigkeit ist ein Rankingfaktor. Alles, was Suchmaschinen und KI-Assistenten zum Lesen Ihrer Website brauchen, steckt in den fertigen Dateien.
Das Fazit
Wenn Sie eine WordPress-Website besitzen, prüfen Sie heute die PHP-Version, vergewissern Sie sich, dass Ihr Hoster gepatcht hat, und tragen Sie den 31. Dezember im Kalender ein. Das ist die ganze Aufgabe, und sie ist eine Stunde wert.
Wenn Sie lieber hätten, dass dies das letzte Mal ist, dass Sie wegen eines Fehlers in einer Sprache, von der Sie nie gehört haben, Hausaufgaben bekommen, sehen Sie sich an, was eine Surmado Site enthält, und die aktuellen Preise. Der Neuaufbau ist kostenlos, und Sie zahlen nur, wenn er Ihnen gefällt.