Am 21. Oktober 2026 gingen in Deutschland reihenweise Websites vom Netz. Der Grund war eine kritische PHP-Sicherheitslücke mit dem Namen php2shell. In Niedersachsen versetzte IT.Niedersachsen vorsorglich alle Landeswebseiten in den Wartungsmodus, Mainz schaltete sein Stadtportal ab, auch Ministerien, Polizeidienststellen und Kliniken waren zeitweise nicht erreichbar. Websites auf Wix hatten mit dieser PHP-Sicherheitslücke kein Problem.
Wix-Websites laufen nicht auf PHP
Deshalb musste bei php2shell kein Wix-Kunde ein Update einspielen, seinen Hoster anrufen oder die Seite vom Netz nehmen.
php2shell: zwei kritische Sicherheitslücken in PHP
PHP ist eine Programmiersprache, die auf dem Webserver läuft und dort die Seiten zusammenbaut, bevor sie im Browser ankommen. Darauf setzen WordPress, Joomla!, TYPO3, Drupal, Moodle und viele Onlineshops. IT-Fachleute schätzen, dass allein mit WordPress weltweit 400 bis 500 Millionen Websites betrieben werden.
php2shell besteht aus zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide stecken im Kern von PHP, also unabhängig davon, welches System darauf läuft. Ein Angreifer braucht dafür keine Anmeldung. Eine einzige Anfrage aus dem Internet kann reichen, um eigenen Code auf dem Webserver auszuführen. Fachleute sprechen von Remote Code Execution, also dem Ausführen von Schadcode aus der Ferne. Damit lassen sich Websites übernehmen und Datenbanken mit Kundendaten auslesen.
Technisch geht es um Fehler im Umgang mit dem Speicher. Wird der Speicher knapp, bleiben Daten einer Anfrage teilweise uninitialisiert. Dazu kommt ein veralteter Zustand, den eine spätere Anfrage an denselben Prozess noch nutzen kann. Für Angreifer ergeben sich daraus mehrere Angriffswege, verwundbar ist jede Anwendung, die auf PHP läuft.
- 9,2
Schweregrad nach CVSS
Beide Schwachstellen gelten als kritisch, auf einer Skala bis 10.
- Stufe 3
Warnstufe des BSI
Das BSI stufte das Risiko als außerordentlich hoch ein, Warnstufe Orange.
- 884.000
Ungepatchte Server
Schätzung des Sicherheitsunternehmens Mallory für ungepatchte Server weltweit.
Marc Henrichmann, Vorsitzender des Parlamentarischen Kontrollgremiums für die Geheimdienste, sprach im Handelsblatt von „einer der ernstesten Sicherheitslücken der vergangenen Jahre“. Die Warnung des BSI vom 21. Oktober 2026 riet Betreibern, im Zweifel ihre Server vom Netz zu nehmen, bis das Update eingespielt ist. Der Dienstleister Cloudflare hat nach Berichten bereits Angriffsversuche beobachtet und eine Schutzregel für seine Kunden bereitgestellt.
Welche PHP-Version betroffen ist und welches Update hilft
Betroffen ist jede PHP-Installation, die Webanfragen beantwortet: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten gilt das Risiko bei mod_php. Am Nachmittag des 21. Oktober hat das PHP-Projekt Sicherheitsupdates veröffentlicht:
| PHP-Version | Update | Stand |
|---|---|---|
| 8.5 | 8.5.12 | gepatcht |
| 8.4 | 8.4.27 | gepatcht |
| 8.3 | 8.3.36 | gepatcht |
| 8.2 | 8.2.35 | gepatcht |
| 8.1 und älter | keins | keine Updates mehr vom PHP-Projekt |
Die großen Hoster haben die Patches inzwischen eingespielt oder angekündigt, Strato etwa innerhalb von 24 Stunden. Manche haben auch ältere PHP-Versionen selbst nachgebessert, Hetzner etwa nach eigenen Angaben PHP 5.6 bis 8.5 auf seinen Webhosting-Servern. Linux-Distributionen wie Ubuntu liefern eigene, gepatchte Pakete aus. Die Versionsnummer weicht dann von der offiziellen ab. Darauf verlassen sollte sich niemand, ohne beim eigenen Hoster nachzufragen.
Ganz ausgestanden ist die Sache noch nicht. Laut dem Hoster Hosted Power ist der Patch nicht vollständig, eine weitere Schwachstelle in der Funktion unserialize() ist offen und hat noch keine Kennung. Mit weiteren Korrekturen und Sicherheitsupdates ist also zu rechnen.
Was die PHP-Sicherheitslücke für Bürger bedeutet
Wer nur im Internet surft, muss nichts tun. Die Lücke liegt auf den Servern, nicht auf Smartphones oder Computern. Spürbar wird sie indirekt: Online-Dienste von Ämtern fallen aus, Termine lassen sich nicht online buchen, und wenn ein Angriff gelungen ist, können Daten abfließen. Die Ämter blieben in dieser Zeit telefonisch und per E-Mail erreichbar, inzwischen sind viele Seiten wieder online.
Warum Wix-Websites nicht betroffen sind
Wix hat sich auf LinkedIn dazu geäußert, hier sinngemäß übersetzt:
Wix
Websites auf Wix laufen nicht auf PHP. Wichtiger noch: Sie mussten nie wissen, was PHP ist, welche Version auf Ihrem Server läuft oder ob schon jemand das Update eingespielt hat. Sicherheit ist Teil der Plattform und liegt bei den Teams, deren Aufgabe das ist.
Genau das ist der Unterschied im Alltag. Bei WordPress und anderen PHP-Systemen liegt die Technik beim Betreiber oder seinem Hoster: PHP-Version, System-Updates, Plugins. Bei Wix gibt es keinen eigenen Webserver, den ich aktuell halten müsste. Wix betreibt die Technik selbst und spielt Updates ein, ohne dass Kunden dafür etwas tun müssen. Als php2shell bekannt wurde, gab es für Wix-Kunden nichts zu erledigen.
Sicher heißt nicht sorglos
Auch auf Wix bleibt ein Teil der Sicherheit beim Betreiber. Diese drei Punkte sollten Sie prüfen:
Zwei-Faktor-Anmeldung
Das Wix-Konto ist der Schlüssel zur Website. Ein zweiter Faktor schützt es, falls ein Passwort bekannt wird.
Eigene Zugänge
Mitarbeiter und Dienstleister bekommen eigene Zugänge mit passenden Rechten. Wer geht, wird entfernt.
Apps prüfen
Zusatz-Apps und Skripte nur von bekannten Anbietern. Was nicht mehr gebraucht wird, kommt raus.
PHP-Update einspielen: was Betreiber jetzt tun sollten
Läuft Ihre Website auf WordPress, Joomla!, TYPO3 oder einem anderen PHP-System, gehen Sie so vor:
PHP-Version prüfen
Die Versionsnummer steht im Kundenbereich des Hosters oder lässt sich dort erfragen.
Update einspielen
Auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Bei Shared Hosting erledigt das der Hoster. Fragen Sie nach, ob es passiert ist.
System aktualisieren
Danach das System samt Erweiterungen aktuell halten. Ein Update von WordPress ersetzt das PHP-Update aber nicht.
Wer noch auf PHP 8.1 oder älter festsitzt, etwa auf PHP 7.4, hat ein grundsätzliches Problem: Diese Versionen bekommen vom PHP-Projekt keine Sicherheitsupdates mehr, auch bei der nächsten Lücke nicht. Dann lohnt sich die Frage, ob ein Umbau auf eine unterstützte Version oder ein Wechsel der Plattform der bessere Weg ist. Einen ausführlichen Vergleich habe ich unter Wix oder WordPress zusammengestellt.
Häufige Fragen
Bin ich als Website-Betreiber von php2shell betroffen?
Ja, wenn Ihre Website auf PHP läuft, etwa mit WordPress, Joomla!, TYPO3 oder einem Onlineshop-System, und PHP noch nicht auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert ist. Websites auf Wix laufen nicht auf PHP und sind nicht betroffen.
Wer ist für das PHP-Update zuständig, ich oder mein Hoster?
Bei Shared Hosting spielt der Hoster das Update ein, fragen Sie aber nach, ob es passiert ist. Bei einem eigenen Server oder einem virtuellen Server sind Sie selbst oder Ihr technischer Dienstleister zuständig.
Bekommt PHP 8.1 noch ein Sicherheitsupdate?
Vom PHP-Projekt nicht. PHP 8.1 und ältere Versionen werden nicht mehr gepflegt. Einige Hoster und Linux-Distributionen haben selbst nachgebessert. Auf Dauer hilft nur der Umstieg auf eine unterstützte Version oder auf eine andere Plattform.
Reicht das PHP-Update, wenn meine Website schon angegriffen wurde?
Nein. Das Update schließt die Lücke, entfernt aber keinen eingeschleusten Schadcode. Dann müssen Dateien und Datenbank geprüft, Zugangsdaten geändert und im Zweifel eine Sicherung von vor dem Angriff eingespielt werden.
Ist mein Smartphone von der PHP-Sicherheitslücke betroffen?
Nein. Die Lücke liegt auf Webservern. Smartphones und Computer, mit denen Sie nur im Internet surfen, sind nicht direkt betroffen.
Muss ich als Wix-Kunde jetzt etwas tun?
Wegen php2shell nicht. Unabhängig davon lohnt sich die Zwei-Faktor-Anmeldung für Ihr Wix-Konto und ein Blick darauf, wer Zugang zur Website hat.
Wix-Website mit Inndigo
Ich baue und betreue Wix-Websites für Betriebe, die sich um ihr Geschäft kümmern wollen und nicht um Serverupdates. Auch den Umzug einer bestehenden WordPress-Seite zu Wix übernehme ich, mit Weiterleitungen für alle alten Adressen, damit die Platzierungen bei Google erhalten bleiben.
Ihre Website ohne Update-Stress
Im Erstgespräch schaue ich mir Ihre aktuelle Seite an und sage Ihnen, was ein Wechsel zu Wix bringt und was er kostet.
Quellen: ZDFheute vom 21.10.2026, Borns IT- und Windows-Blog vom 22.10.2026, tagesschau, Wix auf LinkedIn.
Markus Hentschel, Inhaber von Inndigo in Waldkraiburg. Seit 2015 selbständig, Betreuung kleiner und mittlerer Unternehmen in Webdesign, SEO und Google Ads.
Geprüfte Qualifikationen: E-Commerce Manager (bevh) · SEO Professional (121 Watt) · gepr. Handelsfachwirt (IHK)
Nachprüfbar: Wix-Partnerprofil · Partner der IT-Recht Kanzlei · Profil bei kress
