PHP-Sicherheitslücke: Ist Ihre WordPress-Website betroffen?

In den letzten zwei Tagen war „PHP“ überall in den Nachrichten. In den Niederlanden war DigiD, der Login für Behördendienste, nicht erreichbar. In Finnland wurden einige Regierungsseiten vorsorglich abgeschaltet. In den USA riefen FBI und NSA Organisationen auf, ihre Server vom Netz zu nehmen, wenn sie nicht patchen können. In der Türkei startete die Direktion für Cybersicherheit des Präsidialamts einen landesweiten Scan.

In diesem Artikel erklären wir, was passiert ist, ohne Sie mit Technik zu überhäufen. Danach gehen wir Schritt für Schritt durch, wie Sie als Touranbieter prüfen, ob Ihre Website betroffen ist, was Sie heute tun sollten und wie Sie beim nächsten Mal besser vorbereitet sind.

Zuerst die Grundlagen: Was ist PHP?

PHP ist eine Programmiersprache, die im Hintergrund von Websites läuft. Wenn ein Besucher Ihre Seite öffnet, ist der Code, der die Seite aufbaut, Ihr Kontaktformular in eine E-Mail verwandelt oder eine Buchung in der Datenbank speichert, sehr oft in PHP geschrieben.

Auch wenn Sie den Namen nie gehört haben, nutzen Sie es wahrscheinlich irgendwo. WordPress, WooCommerce, Joomla, Drupal und viele fertige Buchungs-Plugins laufen mit PHP. Laut FBI nutzen rund 70 % der Websites weltweit PHP.

Was ist passiert?

Am 20. und 21. Oktober 2026 hat das PHP-Team Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht. Sie werden als CVE-2026-109618 und CVE-2026-109619 geführt und zusammen „PHP2Shell“ genannt. Beide erhielten einen Schweregrad von 9,2 von 10.

Darum ist das so ernst: Unter bestimmten Bedingungen können Angreifer über das Internet beliebigen Code auf Ihrem Server ausführen, ohne Benutzername oder Passwort. In der Sicherheitswelt nennt man das Remote Code Execution (RCE). Einfach gesagt: Jemand kommt durch Ihre Haustür, ohne den Schlüssel zu brauchen.

Laut Qualys entsteht eine Lücke, wenn Daten halb fertig zurückbleiben, weil dem Server der Speicher ausgeht. Die andere entsteht, wenn nach einem Fehler bereits freigegebener Speicher von der Anfrage des nächsten Besuchers erneut gelesen wird. Forscher zeigten außerdem, dass Daten wie Passwörter, Sitzungsinformationen und API-Schlüssel aus dem Serverspeicher abfließen können.

Die Nachrichtenagentur Anadolu berichtet, dass die Lücken im August von der Sicherheitsfirma Calif mithilfe von KI gefunden wurden. Die Korrekturen wurden rund zwei Monate lang im Stillen vorbereitet, doch die Nachricht sickerte einen Tag vor den Patches an die Presse durch.

Warum ist das so eine große Sache?

• Die Größenordnung ist enorm: Palo Alto Networks fand mehr als 22,6 Millionen aus dem Internet erreichbare Systeme, die potenziell verwundbar sind.
• Alte Versionen sind überall: Laut Qualys laufen 71 % der PHP-Installationen mit bekannter Version auf Versionen, die nicht mehr unterstützt werden und keine regulären Patches bekommen.
• Die Angriffe haben begonnen: Cloudflare meldete Angriffsverkehr auf diese Lücken, und Code zum Ausnutzen ist bereits im Umlauf.
• Es wird langsam gepatcht: In den ersten 12 Stunden nach der Veröffentlichung waren nur etwa 199.000 der 167 Millionen von Qualys erfassten Installationen aktualisiert.

Deshalb haben Regierungen Websites abgeschaltet. Solange ein System nicht gepatcht ist, ist es am sichersten, die Tür zu schließen, durch die ein Angreifer kommen könnte. In der Türkei schickte die Direktion für Cybersicherheit dringende Hinweise an Behörden und forderte Unternehmen auf, ihre PHP-Systeme zu prüfen. Beim nationalen Behördenportal e-Devlet wurden nach eigenen Angaben keine Probleme festgestellt.

Was kann das für einen Touranbieter bedeuten?

Was ein Angreifer im System tun kann, hängt davon ab, was Ihre Website speichert. Die wahrscheinlichsten Szenarien:

• Abfluss von Kundendaten: Namen, Telefonnummern, E-Mail-Adressen und Passdaten aus Buchungsformularen. Je nachdem, wo Sie und Ihre Gäste sind, können Datenschutzregeln wie die DSGVO eine Meldung verlangen.
• Gestohlene Passwörter und Schlüssel: Ihr Datenbankpasswort und die API-Schlüssel für Zahlungsanbieter, Channel-Manager oder E-Mail-Dienst.
• Schädliche Inhalte auf Ihrer Website: versteckte Spam-Seiten oder Code, der Besucher umleitet. Bemerkt Google das, kann Ihre Seite mit einer Warnung erscheinen und monatelange SEO-Arbeit leiden.
• Ihr Server wird für anderes missbraucht: Krypto-Mining, Spam-Versand oder Angriffe auf andere Websites.
• Umsatzverlust: Müssen Sie die Website vorsorglich abschalten, können Sie keine Buchungen annehmen, selbst in der Hochsaison.

Ist Ihre Website betroffen? Prüfen Sie zuerst die Version

Der erste Schritt ist herauszufinden, ob Ihre Website mit PHP läuft und mit welcher Version. In WordPress finden Sie die PHP-Version im Adminbereich unter Werkzeuge → Website-Zustand → Bericht → Server. Auch Ihr Hosting-Panel (cPanel, Plesk usw.) zeigt sie meist unter „PHP-Version“ an.

Diese Versionen schließen die Lücken:

• Bei PHP 8.5: 8.5.12 oder neuer
• Bei PHP 8.4: 8.4.27 oder neuer
• Bei PHP 8.3: 8.3.36 oder neuer
• Bei PHP 8.2: 8.2.35 oder neuer
• Bei PHP 8.1 oder älter: Es gibt kein reguläres offizielles Update. Wenn Ihr Hoster keinen Sonderpatch eingespielt hat, müssen Sie auf eine neuere Version wechseln.

Ein Hinweis: Manche Linux-Distributionen liefern die Korrektur aus und behalten dabei die alte Versionsnummer. Eine niedrigere Nummer heißt also nicht immer, dass Ihre Website sicher verwundbar ist. Am zuverlässigsten ist es deshalb, direkt bei Ihrem Hoster nachzufragen.

Was Sie heute tun sollten

• Schreiben Sie Ihrem Hoster und fragen Sie: „Wurde PHP auf meinem Server gegen PHP2Shell (CVE-2026-109618 und CVE-2026-109619) aktualisiert?“ Die Antwort „Wir haben eine Firewall-Regel ergänzt“ reicht allein nicht. Lassen Sie sich bestätigen, dass PHP selbst aktualisiert wurde.
• Ein WordPress-Update behebt das nicht: Die Lücke steckt nicht in WordPress, sondern im PHP darunter. Plugin- oder Theme-Updates, Sicherheits-Plugins und Wartungsmodus schützen nicht, weil der Angriff laufen kann, bevor WordPress überhaupt lädt.
• Wenn Sie einen eigenen Server (VPS) betreiben: Aktualisieren Sie die PHP-Pakete und starten Sie danach PHP-FPM oder Apache neu. Ein nicht neu gestarteter Server führt weiter den alten, verwundbaren Code aus. Bei Docker ziehen Sie das neue Image und erstellen die Container neu.
• Wenn Sie eine alte Version nutzen: Erstellen Sie ein vollständiges Backup außerhalb des Servers und wechseln Sie dann auf PHP 8.3 oder 8.4. Testen Sie anschließend Startseite, Tourseiten, Kontaktformular und Buchungsschritte einzeln.
• Wenn Sie nicht sofort patchen können: Eine Firewall wie Cloudflare vor der Website bietet vorübergehenden Schutz. Hat Ihr Team technisches Know-how, kann es die von PHP empfohlenen Übergangseinstellungen setzen (zum Beispiel session.upload_progress.enabled=0). Das ist keine vollständige Lösung, es verschafft nur Zeit.

Ist schon jemand eingedrungen? Anzeichen, die Sie prüfen sollten

Nach dem Patch lohnt sich ein Blick, ob jemand hineingekommen ist, bevor die Lücke geschlossen war:

• Gibt es in WordPress Administratorkonten, die Sie nicht kennen?
• Ist ein Plugin installiert, das Sie nicht installiert haben?
• Liegen .php-Dateien in wp-content/uploads, dem Ordner Ihrer Bilder? Dort sollte es keine PHP-Dateien geben.
• Erscheinen bei der Google-Suche site:ihredomain.de Seiten, die Sie nie geschrieben haben?
• Gibt es in der Google Search Console eine Warnung unter „Sicherheitsprobleme“?
• Hat Ihr Hoster Warnungen zu Malware, Spam oder ungewöhnlicher Ressourcennutzung geschickt?

Wenn Ihnen etwas davon auffällt, bitten Sie Ihren Hoster, den Server zu scannen und ein sauberes Backup von vor der verdächtigen Aktivität einzuspielen. Ändern Sie danach alle Passwörter und API-Schlüssel: WordPress, Hosting, Datenbank, E-Mail sowie Zahlungs- und Channel-Integrationen. Könnten Kundendaten abgeflossen sein, sprechen Sie mit einer Rechtsberatung über Ihre Pflichten.

Für die Zukunft: dauerhafte Vorkehrungen

PHP2Shell wird nicht die letzte Lücke sein. Die eigentliche Frage ist, wie gut Sie beim nächsten Mal vorbereitet sind. Diese Gewohnheiten empfehlen wir:

• Bleiben Sie auf einer unterstützten Version: Software ohne Support bekommt keine Patches. Heute ist PHP 8.3 oder 8.4 eine gute Wahl.
• Machen Sie jemanden für Updates verantwortlich: Wer aktualisiert Ihre Website und wie oft? Darauf sollte es eine klare Antwort geben. Managed Hosting oder ein Wartungsvertrag hält das schriftlich fest.
• Wissen Sie, was Sie haben: Hauptseite, alte Kampagnenseiten, Testinstallationen, vergessene Subdomains … Führen Sie eine Liste mit Server und Version jeder Seite. Angreifer lieben vergessene Websites.
• Entfernen Sie, was Sie nicht brauchen: Löschen Sie ungenutzte Plugins, Themes und alte Seiten. Jedes zusätzliche Teil ist eine weitere Tür, die eine Lücke öffnen kann.
• Stellen Sie Ihre Website hinter eine Firewall: Ein Dienst wie Cloudflare ist Ihre erste Verteidigungslinie, wenn eine neue Lücke bekannt wird, bis Sie patchen können.
• Halten Sie Passwörter und Schlüssel getrennt: Schreiben Sie API-Schlüssel nicht in den Code, geben Sie jedem Dienst nur die nötigen Rechte und wechseln Sie Schlüssel regelmäßig.
• Lagern Sie Backups außerhalb des Servers und testen Sie die Wiederherstellung: Ein Backup, das nie zurückgespielt wurde, ist eines, auf das Sie sich nicht verlassen können.
• Überwachen Sie Ihre Website: Uptime-Checks, Search-Console-Meldungen und Warnungen bei Dateiänderungen zeigen Ihnen ein Problem, bevor Ihre Gäste es bemerken.
• Schreiben Sie einen kurzen Notfallplan: Legen Sie vorher fest, wen Sie anrufen, wie Sie die Website vorübergehend abschalten und wie Sie Kunden informieren, wenn etwas passiert.

Das große Bild: Lücken werden schneller gefunden

Das Auffälligste an dieser Geschichte ist, dass die Lücken mithilfe von KI gefunden wurden. Dieselben Werkzeuge stehen auch Menschen mit schlechten Absichten zur Verfügung. Von nun an werden Lücken schneller gefunden und auch schneller ausgenutzt.

Die Zeiten von „Wir aktualisieren, wenn wir dazu kommen“ sind also vorbei. Für einen Touranbieter ist die Website nicht mehr nur ein Schaufenster. Sie ist ein Geschäftswerkzeug, das Buchungen annimmt und Kundendaten speichert. Sie sicher zu halten, gehört dazu, Ihr Geschäft am Laufen zu halten.

Bei Monotim bauen wir Websites auf einer modernen Grundlage, die von dieser Art Lücke in einer Serversprache nicht direkt betroffen ist. Aber keine Technologie bleibt für immer sicher. Den Unterschied macht, die Website im Blick zu behalten und schnell handeln zu können, wenn etwas schiefgeht.

Wenn Sie nicht sicher sind, ob Ihre Website von PHP2Shell betroffen ist, oder Ihr Hoster keine klare Antwort gibt, können wir gemeinsam draufschauen.