Geschätzte Lesedauer: 5 Minuten
- PHP-Sicherheitslücke: Nein, Ihre Website wurde nicht gehackt
- Was ist PHP überhaupt?
- Was ist passiert?
- Sicherheitslücke oder Hackerangriff: Wo ist der Unterschied?
- Warum war meine Website kurz nicht erreichbar?
- Bin ich betroffen?
- Was Sie jetzt tun sollten
- Unser Tipp
PHP-Sicherheitslücke: Nein, Ihre Website wurde nicht gehackt
In den letzten Tagen stand bei uns das Telefon kaum still. Viele Kundinnen und Kunden haben sich besorgt gemeldet: «Meine Website wurde gehackt!» oder «Was ist denn mit PHP los?» Die Verunsicherung ist verständlich, schliesslich war das Thema plötzlich überall in den Nachrichten.
Die gute Nachricht vorweg: Was gerade für Schlagzeilen sorgt, ist eine PHP-Sicherheitslücke und kein Hackerangriff auf Ihre Website. Das ist ein wichtiger Unterschied. In diesem Beitrag erklären wir in einfachen Worten, was dahintersteckt, wer betroffen ist und was Sie jetzt tun sollten.
Was ist PHP überhaupt?
PHP ist eine Programmiersprache, die im Hintergrund auf dem Webserver läuft. Sie sehen PHP nie direkt, aber es sorgt dafür, dass Ihre Website funktioniert: Es baut die Seiten zusammen, verarbeitet Kontaktformulare, zeigt Produkte im Onlineshop an und vieles mehr.
Man kann sich PHP wie den Motor eines Autos vorstellen. Die Karosserie, also das Design Ihrer Website, sieht jeder. Der Motor darunter bleibt unsichtbar, ist aber für alles verantwortlich. Bekannte Systeme wie WordPress, WooCommerce, Joomla, TYPO3 oder Shopware laufen alle mit PHP. Entsprechend nutzt ein sehr grosser Teil aller Websites weltweit diese Technik, darunter auch die meisten KMU-Websites in der Schweiz.
Was ist passiert?
Am 21. Oktober 2026 hat das Entwicklerteam von PHP ausserplanmässig dringende Sicherheitsupdates veröffentlicht. Der Grund: Zwei schwerwiegende Fehler in PHP selbst, die unter dem Namen «PHP2Shell» bekannt wurden (Fachbezeichnungen CVE-2026-109618 und CVE-2026-109619).
Die Lücken wurden mit 9,2 von 10 Punkten als kritisch eingestuft. Im schlimmsten Fall hätten Angreifer damit ohne Passwort eigene Befehle auf einem Webserver ausführen können. Erschwerend kam hinzu, dass Details zu den Lücken schon vor der Veröffentlichung der Updates im Internet kursierten und Sicherheitsfirmen erste Angriffsversuche beobachtet haben.
Behörden auf der ganzen Welt haben deshalb gewarnt, in der Schweiz unter anderem das Bundesamt für Cybersicherheit (BACS). Wichtig zu verstehen: Der Fehler steckt nicht in Ihrer Website, nicht in Ihrem Design und auch nicht in einem bestimmten Plugin. Er steckt im «Motor» darunter, den Millionen von Websites gleichzeitig nutzen.
Sicherheitslücke oder Hackerangriff: Wo ist der Unterschied?
Stellen Sie sich vor, ein Hersteller von Türschlössern stellt fest, dass eines seiner meistverkauften Schlösser mit einem bestimmten Trick geöffnet werden kann. Das bedeutet noch lange nicht, dass bei Ihnen eingebrochen wurde. Es bedeutet aber: Das Schloss sollte rasch ausgetauscht werden, bevor jemand den Trick ausprobiert.
Genau so verhält es sich hier:
- Sicherheitslücke: Eine Schwachstelle in der Software. Ein Angriff wäre möglich, wenn die Lücke nicht geschlossen wird.
- Hackerangriff: Jemand hat eine solche Schwachstelle tatsächlich ausgenutzt und ist in ein System eingedrungen.
Ein echter Hackerangriff zeigt sich meist durch deutliche Anzeichen, zum Beispiel:
- Fremde Inhalte, Links oder Werbung auf Ihrer Website
- Besucher werden auf unbekannte Seiten weitergeleitet
- Unbekannte Benutzerkonten im Backend Ihrer Website
- Google oder Ihr Browser zeigt eine Sicherheitswarnung an
- Über Ihre Domain werden plötzlich Spam-E-Mails verschickt
Wenn Ihnen nichts davon auffällt, besteht in aller Regel kein Grund zur Panik.
Warum war meine Website kurz nicht erreichbar?
Viele Website-Betreiber haben in den letzten Tagen bemerkt, dass ihre Seite kurzzeitig nicht erreichbar war, eine Fehlermeldung angezeigt hat oder ein Formular nicht funktionierte. Das wurde oft als Zeichen eines Angriffs gedeutet. Meistens ist aber das Gegenteil der Fall.
Die Hosting-Anbieter haben sehr schnell reagiert: Sie haben Updates eingespielt, Server neu gestartet und teilweise vorübergehende Schutzmassnahmen aktiviert, etwa das Sperren von Datei-Uploads. Einige Behörden und Organisationen haben ihre Websites sogar vorsorglich ganz vom Netz genommen. Solche kurzen Unterbrüche sind also kein Zeichen dafür, dass etwas passiert ist, sondern dafür, dass jemand die Lücke stopft.
Bin ich betroffen?
Grundsätzlich ist jede Website betroffen, die mit einer ungepatchten PHP-Version läuft. Die Lücken sind in folgenden Versionen geschlossen:
- PHP 8.5.12 oder neuer
- PHP 8.4.27 oder neuer
- PHP 8.3.36 oder neuer
- PHP 8.2.35 oder neuer
Bei klassischem Webhosting spielt der Hoster diese Updates in der Regel selbst ein, und die meisten Anbieter haben das inzwischen erledigt. Kritisch wird es bei älteren PHP-Versionen (8.1 und älter): Diese werden vom PHP-Team nicht mehr mit Updates versorgt. Wer noch mit einer solchen Version unterwegs ist, sollte jetzt handeln. Und wer einen eigenen Server betreibt, muss das Update selbst installieren.
Ihre PHP-Version finden Sie in WordPress übrigens unter Werkzeuge > Website-Zustand > Bericht > Server.
Was Sie jetzt tun sollten
- Ruhe bewahren. Eine Sicherheitslücke ist kein Einbruch.
- PHP-Version prüfen oder prüfen lassen.
- Beim Hoster nachfragen, wenn Sie unsicher sind, ob die Updates eingespielt wurden.
- Veraltete PHP-Versionen aktualisieren. Achtung: Ein Versionswechsel kann Anpassungen an Theme oder Plugins nötig machen. Das sollte nicht blind auf der Live-Website passieren.
- WordPress, Plugins und Themes aktuell halten. Mehr dazu lesen Sie in unserem Beitrag Cybersecurity für WordPress.
- Auf Auffälligkeiten achten und regelmässige Backups sicherstellen.
Unser Tipp
Sicherheitslücken wird es immer wieder geben, bei PHP genauso wie bei Smartphones, Computern oder Routern. Entscheidend ist nicht, ob eine Lücke auftaucht, sondern wie schnell sie geschlossen wird. Darum lohnt es sich, wenn jemand Ihre Website technisch im Blick behält.
Sie sind unsicher, ob Ihre Website auf einer sicheren PHP-Version läuft, oder Ihnen ist etwas Merkwürdiges aufgefallen? Melden Sie sich bei uns, wir schauen es uns gerne an.
Quellen:
