PHP-Sicherheitslücke: Was müssen Sie bei Ihrer Website jetzt tun?

Von Michi Maurer · Veröffentlicht am 22. Oktober 2026

Am 21. Oktober 2026 wurde eine schwere Sicherheitslücke bekannt. Sie steckt in PHP, einem Baustein, auf dem sehr viele Websites laufen. Vielleicht hat Sie schon jemand darauf angesprochen, oder Sie haben es in den Nachrichten gelesen. Hier steht, was das bedeutet und was Sie jetzt tun sollten. Technisches Wissen brauchen Sie dafür nicht.

Kurz gesagt: Läuft Ihre Website mit WordPress oder einem ähnlichen Programm, muss jetzt jemand ein Update machen. Meist ist das Ihr Webdesigner oder die Firma, bei der Ihre Website gespeichert ist. Fragen Sie dort nach, ob es erledigt ist. Wie Sie die Antwort prüfen, steht weiter unten.

Was ist die PHP-Sicherheitslücke vom 21. Oktober?

Eine Website liegt auf einem Computer im Internet, dem Server. Bei den meisten Websites läuft dort ein Programm, das jede Seite in dem Moment zusammensetzt, in dem jemand sie aufruft. Sehr oft ist dieses Programm in PHP geschrieben. WordPress zum Beispiel, aber auch viele andere.

In PHP selbst wurde nun ein Fehler gefunden, unter Fachleuten heisst er «PHP2Shell». Man kann ihn sich vorstellen wie ein Türschloss, das sich mit einem bestimmten Trick ohne Schlüssel öffnen lässt. Ein Angreifer kann so eigene Befehle auf dem Server ausführen, ohne ein Passwort zu kennen. Ein gutes Passwort schützt in diesem Fall also nicht.

Die Entwickler von PHP haben das Schloss bereits repariert. Die Reparatur, also das Update, muss aber auf jedem einzelnen Server eingespielt werden. Das passiert nicht überall von selbst.

Ist Ihre Website schon einige Jahre alt, kommt etwas dazu. Sie läuft dann vielleicht noch mit einer älteren PHP-Version, und für diese gibt es keine regulären Reparaturen mehr. Laut der Statistik von wordpress.org betrifft das mehr als jede dritte WordPress-Website (Stand 22. Oktober 2026). Dann muss Ihre Website auf eine neuere Version umgestellt werden. Das ist mehr Arbeit als ein Update, und manchmal funktionieren alte Zusatzprogramme danach nicht mehr. Fragen Sie in diesem Fall auch, was die Umstellung kostet. Ob sich bei einer alten Website eher ein Neubau lohnt, zeigt der Beitrag Website überarbeiten oder neu machen?

Wie gefährlich ist die Lücke für Websites in der Schweiz?

Sehr. Sicherheitsbehörden in den USA und in Grossbritannien haben noch am selben Tag dringend zum Handeln aufgerufen. Das gilt für Websites in der Schweiz genauso. Seit die Lücke öffentlich ist, wissen auch Angreifer, wo sie suchen müssen. Dafür setzen sie Programme ein, die Tausende Websites nacheinander abklopfen. Ob Ihr Betrieb klein ist oder gross, spielt dabei keine Rolle.

Stand 22. Oktober 2026 hatte die amerikanische Behörde noch keine Angriffe beobachtet. Amazon meldete allerdings einen Versuch auf einen absichtlich offen gelassenen Testserver, schon bevor die Lücke öffentlich war. Warten Sie darum nicht ab. Wer jetzt handelt, ist meist noch rechtzeitig dran.

Wird eine Website übernommen, merkt man es oft lange nicht. Sie verschickt dann zum Beispiel heimlich Spam, leitet Besucher auf betrügerische Seiten um oder wird von Google als gefährlich markiert. Bitten Sie Ihren Betreuer darum, beim Update auch zu prüfen, ob auf Ihrer Website etwas Ungewöhnliches passiert ist.

Ist nur WordPress betroffen?

Nicht nur. WordPress ist einfach das bekannteste Programm, das auf PHP aufbaut. Joomla, TYPO3 und viele Onlineshops sind genauso betroffen. Wichtig ist darum vor allem eine Frage: Macht jemand die Updates?

Bei WordPress kommt allerdings etwas dazu: Es hatte dieses Jahr schon zweimal eigene schwere Lücken, im Juli und im September. Beide wurden für echte Angriffe genutzt. Eine WordPress-Website braucht also regelmässig Pflege, auch nach dieser Lücke.

Auch andere Technik hat solche Lücken. Kein System ist für immer sicher.

Und wenn Ihre Website bei Wix, Jimdo oder einem anderen Baukasten liegt?

Dann kümmert sich der Anbieter um die Technik im Hintergrund. Selbst aktualisieren können Sie dort nichts, und in der Regel müssen Sie es auch nicht. Wenn Sie unsicher sind, fragen Sie beim Kundendienst nach.

Was sollten Sie jetzt tun?

1. Finden Sie heraus, wer Ihre Website betreut. Das ist meist der Webdesigner, der sie gebaut hat, oder die Firma, bei der Ihre Website gespeichert ist (Fachwort: Hosting). Von dieser Firma kommt jedes Jahr eine Rechnung, ein Blick in die Buchhaltung hilft. Hat jemand aus der Familie oder dem Bekanntenkreis die Seite gebaut, fragen Sie zuerst ihn und danach die Firma mit der Rechnung. Oft kann diese die PHP-Version selbst umstellen.
2. Fragen Sie nach. Diese Nachricht können Sie so übernehmen: «Wegen der PHP-Sicherheitslücke vom 21. Oktober: Ist unsere Website schon aktualisiert? Welche PHP-Version läuft jetzt?»
3. Prüfen Sie die Antwort. Geschützt sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder eine höhere Nummer derselben Reihe. Nennt man Ihnen eine kleinere Nummer, etwa 8.3.20, 8.1 oder 7.4, fragen Sie zurück: «Ist die Korrektur für die Lücke vom 21. Oktober trotzdem eingespielt?» Manche Firmen flicken ältere Versionen, ohne dass sich die Nummer ändert. Lautet die Antwort nein, braucht es die Umstellung, die oben beschrieben ist. Kommt innert ein, zwei Tagen keine Antwort, haken Sie nach.

Wissen Sie gar nicht, wer Ihre Website betreut, oder bekommen Sie keine Antwort? Dann kümmert sich im Moment niemand um die Sicherheit Ihrer Website, auch nicht bei der nächsten Lücke. Es gibt zwei Wege: Jemand übernimmt künftig die Updates, oder die Website wird so gebaut, dass sie kaum noch Pflege braucht. Bei beidem können wir helfen. Womit Sie für Pflege und Hosting rechnen müssen, steht im Beitrag Was kostet eine Website in der Schweiz?

Warum bauen wir Websites, wo es geht, anders?

Eine Website muss nicht bei jedem Aufruf von einem Programm zusammengesetzt werden. Man kann die Seiten auch einmal fertig bauen und als fertige Dateien auf den Server legen, ähnlich wie ein gedruckter Prospekt im Schaukasten. Fachleute sagen dazu statische Website. Weil beim Aufruf kein solches Programm läuft, gibt es viel weniger, was ein Angreifer ausnutzen könnte. Die Lücke vom 21. Oktober betrifft solche Seiten nicht.

Für einen Handwerksbetrieb reicht das fast immer: Leistungen, Bilder, Kontaktangaben, ein Formular für Anfragen. Die Anfragen aus dem Formular nimmt dabei ein eigener, abgetrennter Dienst entgegen. Darum bauen wir so, wo es passt. Diese Website hier ist selbst so gebaut. Ändert sich etwas, etwa die Ferienzeiten, schicken Sie uns eine Nachricht, und wir passen es an.

Möchten Sie Ihre Texte lieber selbst ändern, bauen wir mit WordPress. Das ist eine gute Lösung, braucht aber regelmässige Updates. Wer die macht, klären wir mit Ihnen vor dem Start. Was eine neue Website bei uns kostet, steht auf der Seite Website erstellen lassen. Unsere eigene Beratungsseite katjamaurer.ch läuft übrigens auch mit WordPress. Sie wurde am Abend des 21. Oktober aktualisiert.

Michi Maurer baut bei maurerDigital die Websites und betreut die Technik. Alle Beiträge unter «Gut zu wissen»