WordPress-Website kaputt oder gehackt wegen der PHP-Sicherheitslücke?
Wir helfen Ihnen. Wir bauen Ihre Website neu mit Statamic, auf einer aktuellen PHP-Version und mit Wartung, damit Sie nicht beim nächsten Sicherheitsupdate wieder zittern müssen.
Kurz zusammengefasst
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt, genannt PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Angreifer können damit ohne Login Code auf dem Server ausführen. Da WordPress auf PHP läuft, sind unzählige Websites betroffen, und die Lücken werden bereits aktiv ausgenutzt.
Der wichtigste Schritt sofort: Lassen Sie PHP bei Ihrem Hosting-Anbieter auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Wenn das nicht geht, Ihre Website danach nicht mehr funktioniert oder sie bereits gehackt wurde, helfen wir Ihnen weiter.
Bin ich betroffen?
- Ihre Website läuft auf WordPress oder einem anderen PHP-basierten System.
- Ihr Server hat eine PHP-Version bis und mit 8.5.11.
- Ihre Website läuft noch auf PHP 8.1 oder älter. Dann gibt es aktuell keinen offiziellen Patch. Backports sind allenfalls möglich, werden aber nicht von allen Hosting-Anbietern unterstützt. Sicher ist nur der Wechsel auf eine aktuelle Version.
Trifft eines davon zu, sollten Sie heute handeln.
Typische Probleme, die wir gerade sehen
- Nach dem PHP-Update ist die Website kaputt: Alte Themes und Plugins sind mit aktuellen PHP-Versionen nicht kompatibel. Weisse Seiten, Fehlermeldungen, defekte Formulare.
- Die Website wurde gehackt: Spam-Seiten, Weiterleitungen, Warnungen in Google oder ein gesperrter Hosting-Account.
- Niemand fühlt sich zuständig: Die Agentur von damals gibt es nicht mehr, und niemand weiss, welche Plugins was tun.
Unser Angebot: Neubau mit Statamic
Statt eine veraltete WordPress-Installation weiter zu flicken, bauen wir Ihre Website sauber neu.
- Bestandsaufnahme – Wir sichern Ihre Inhalte und klären, was Ihre Website heute können muss.
- Neubau mit Statamic – Modernes CMS auf Laravel-Basis, auf einer aktuellen und gepatchten PHP-Version. Ihre Inhalte übernehmen wir.
- SEO bleibt erhalten – Wir leiten alte URLs sauber weiter, damit Ihre Google-Rankings nicht verloren gehen.
- Wartung inklusive Sicherheitsupdates – Mit einem Wartungsvertrag spielen wir Updates wie dieses zeitnah ein. Sie müssen sich nicht selbst darum kümmern.
Ihr Team pflegt die Inhalte danach selbst, einfach und ohne Plugin-Chaos. Mehr dazu auf unserer Seite zu Websites mit CMS.
Hintergrund
Was genau hinter PHP2Shell steckt und wie Sie Ihren Server kurzfristig absichern, erklären wir in unserem Blogbeitrag: PHP2Shell: Was die neue PHP-Sicherheitslücke für Ihre WordPress-Website bedeutet.
Stand: 21. Oktober 2026
Häufige Fragen
Ist meine WordPress-Website von PHP2Shell betroffen?
Sehr wahrscheinlich, sofern Ihr Server noch nicht aktualisiert wurde. Betroffen sind praktisch alle PHP-Versionen bis und mit 8.5.11, und WordPress läuft auf PHP. Ob Ihre Website ein WordPress-Plugin oder -Theme nutzt, spielt dabei keine Rolle: Die Lücke steckt in PHP selbst.
Welche PHP-Versionen schliessen die Lücke?
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026. Für PHP 8.1 und älter gibt es aktuell keinen offiziellen Patch, weil diese Versionen nicht mehr unterstützt werden. Allenfalls bieten Backports eine Lösung, doch nicht alle Hosting-Anbieter unterstützen diese.
Meine Website läuft noch auf PHP 7 oder 8.0. Was nun?
Dann muss Ihre Website auf eine aktuelle PHP-Version wechseln. Genau dabei gehen ältere WordPress-Themes und -Plugins oft kaputt. Statt alte Plugins mühsam zu flicken, lohnt sich in vielen Fällen ein sauberer Neubau.
Reicht es, WordPress und alle Plugins zu aktualisieren?
Nein. Die Lücke liegt in PHP, nicht in WordPress. Entscheidend ist, dass Ihr Hosting-Anbieter PHP auf eine der gepatchten Versionen aktualisiert. Plugin-Updates sind trotzdem sinnvoll, schliessen diese Lücke aber nicht.
Woran erkenne ich, dass meine Website gehackt wurde?
Typische Anzeichen sind unbekannte Admin-Benutzer, Weiterleitungen auf fremde Seiten, Spam-Inhalte in Google, Warnungen im Browser oder unbekannte Dateien auf dem Server. Im Zweifel sollten Sie davon ausgehen, dass der Server kompromittiert ist, und die Website neu aufsetzen statt nur zu bereinigen.
Ist Statamic nicht auch PHP?
Ja. Statamic basiert auf Laravel und PHP und braucht die gleichen Sicherheitsupdates. Der Unterschied liegt im Betrieb: Wir halten Ihre Website mit einem Wartungsvertrag auf einer aktuellen PHP-Version, und es gibt keinen Wildwuchs aus Dutzenden Plugins von Drittanbietern, die bei einem Update brechen können.
Wie lange dauert ein Neubau?
Das hängt vom Umfang ab. Eine typische Unternehmenswebsite setzen wir in wenigen Wochen um. Im kostenlosen Erstgespräch schätzen wir Aufwand und Zeitplan für Ihre Website ein.
Klingt interessant? Wir freuen uns auf Ihre Anfrage.