Zuletzt aktualisiert: 22. Oktober 2026 – nach der Abschlussmeldung von METANET um 12:50 Uhr MESZ.

«Ist meine Webseite gehackt?» Die Meldungen über zwei kritische PHP-Sicherheitslücken haben viele Website-Betreiber verunsichert. Verständlich: Wenn von möglichen Serverübernahmen und vorsorglich abgeschalteten Webseiten die Rede ist, möchtest du als Webseitenbetreiber wissen, ob deine Website betroffen ist.

Die wichtigste Unterscheidung vorweg: Eine Sicherheitslücke bedeutet nicht automatisch, dass deine Webseite gehackt wurde. Sie erfordert aber eine zeitnahe Prüfung und die passenden Sicherheitsupdates.

In diesem Beitrag erklären wir die als PHP2Shell bekannten Schwachstellen, den aktuellen Stand bei unserem Hostingpartner METANET und unser Vorgehen bei Gally Websolutions GmbH. Du erfährst ausserdem, wie du den aktuell für dich sichtbaren PHP-Versionenstand richtig einordnest und weshalb WordPress-Wartung, Hosting und Security-Betreuung unterschiedliche Aufgaben erfüllen.

Das Wichtigste auf einen Blick

Unser Hostingpartner METANET hat die Aktualisierung abgeschlossen. Am 22. Oktober um 12:50 Uhr meldete der Hostinganbieter den Abschluss für die betroffenen Managed Server, Shared-Hosting-Server und Reseller-Server. Für bestimmte ältere PHP-Versionen auf Managed Servern gelten zusätzliche Voraussetzungen.
Die sichtbare PHP-Versionsnummer kann unverändert bleiben. Auch eine Anzeige wie PHP 8.2.34 kann bei METANET ein bereits gepatchtes Paket bezeichnen.
Unsere betreuten Webseiten blieben seit bekanntwerden der Lücken online. Wir stellten keine Funktionseinschränkungen und bei unseren stichprobenartigen Prüfungen keine Hinweise auf erfolgreiche Angriffe fest und Metanet hatte zusätzliche Sicherheitsvorkehrungen als Schutz bis zur verfügbaren Updateversion vorgenommen.
Ein WordPress-Update allein behebt diese PHP-Lücken nicht. Die Sicherheitskorrektur muss in der PHP-Umgebung erfolgen.
Bei einem konkreten Hackverdacht braucht es eine Untersuchung. Ein installierter Patch entfernt keine bereits eingeschleuste Schadsoftware.

Direkt zum passenden Abschnitt

Webseite gehackt? Was du jetzt tun solltest
Was bei PHP2Shell passiert ist
PHP-Version und Patchstand richtig prüfen
Handlungsbedarf bei PHP 8.1 und älter
So haben wir bei Gally reagiert
METANET: Schutzmassnahmen und abgeschlossene Updates
WordPress-Wartung, Monitoring und Security
Häufige Fragen

Webseite gehackt? Was du bei einem Verdacht tun solltest

Unerwartete Weiterleitungen, unbekannte Administratorkonten, veränderte Inhalte oder Warnungen vor Schadsoftware sind Gründe für eine genauere Prüfung. Eine nicht erreichbare Webseite allein beweist dagegen keinen Hack: Auch technische Fehler oder eine vorsorgliche Abschaltung können dahinterstecken.

Wenn du einen Angriff vermutest, empfehlen wir dieses Vorgehen:

Auffälligkeiten dokumentieren. Notiere Zeitpunkt, Meldungen und Veränderungen. Screenshots können helfen.
Website-Betreuung und Hostinganbieter kontaktieren. Schildere die Beobachtungen und stimme die nächsten Schritte ab.
Beweise und Backups erhalten. Lass Dateien, Datenbank und Protokolle sichern. Überschreibe vorhandene Sicherungen nicht vorschnell.
Weitere Schäden begrenzen. Bei konkretem Verdacht sollte der öffentliche Zugriff fachgerecht eingeschränkt werden. Unberechtigte Zugänge und aktive Sitzungen müssen ebenfalls berücksichtigt werden.
Ursache untersuchen und schliessen. Schadsoftware entfernen, den Einfallsweg beheben und notwendige Updates installieren lassen.
Kontrolliert wiederherstellen. Nur geprüfte Sicherungen verwenden, Funktionen testen und betroffene Zugangsdaten nach der Bereinigung erneuern.

Ein Backup zurückzuspielen reicht allein nicht. Ist die Sicherung bereits manipuliert oder bleibt die Ursache bestehen, kann die Webseite erneut kompromittiert werden. Weitere Orientierung bietet die offizielle WordPress-Dokumentation für gehackte Webseiten.

Was ist bei der PHP-Sicherheitslücke vom 21. Oktober 2026 passiert?

Die beiden Schwachstellen werden unter CVE-2026-109618 und CVE-2026-109619 geführt. Beide wurden mit 9,2 von 10 Punkten auf der Bewertungsskala CVSS 4.0 eingestuft.

PHP ist die Software auf dem Server, die unter anderem WordPress ausführt. Die Fehler betreffen den Umgang mit Speicher und internen Zuständen bei der Verarbeitung von Anfragen. Unter bestimmten Bedingungen können Angreifer ohne Anmeldung eigenen Code ausführen. Die Sicherheitsforscher von Wiz demonstrierten auch das Auslesen sensibler Speicherinhalte.

Das PHP-Projekt kündigte am 20. Oktober Sicherheitsupdates an und veröffentlichte sie am 21. Oktober. Die offiziellen PHP-Sicherheitsmeldungen und die Warnung des Schweizer Bundesamts für Cybersicherheit BACS erläutern den Handlungsbedarf.

Die Gefahr war nicht nur theoretisch: Cloudflare berichtet von beobachtetem Angriffsverkehr. Das belegt Angriffsversuche, aber keine erfolgreiche Kompromittierung jeder verwundbaren Webseite.

Warum auch ein aktuelles WordPress betroffen sein kann

WordPress, Plugins und Themes bilden die Anwendungsebene. PHP liegt darunter. Deshalb kann eine vollständig aktualisierte WordPress-Webseite auf einer ungepatchten PHP-Umgebung weiterhin gefährdet sein.

Die PHP-Sicherheitslücke wird auf Serverebene geschlossen. Ein WordPress-Update oder Security-Plugin ersetzt diesen Patch nicht. Wie diese technische Grundlage aufgebaut ist, erklären wir unter Domain und Hosting einfach erklärt.

Ist meine PHP-Version abgesichert? Die Versionsnummer allein reicht nicht

Wichtig für unsere METANET-Kunden: In Plesk kann weiterhin PHP 8.2.34 angezeigt werden, obwohl die beiden Sicherheitslücken geschlossen sind.

METANET hat die Sicherheitskorrekturen durch sogenanntes Backporting in bestehende PHP-Pakete übernommen. Dabei bleibt die sichtbare PHP-Versionsnummer unverändert. Lediglich die interne Paket-Release-Version wird erhöht.

Deshalb können Plesk, externe Prüfprogramme oder phpinfo() weiterhin dieselbe Nummer wie vor dem Update anzeigen. Massgeblich sind der konkrete Paketstand und die Bestätigung des Hostinganbieters. Das beschreibt METANET ausdrücklich in seinem Abschlussbericht zu den PHP-Sicherheitsupdates.

Diese offiziellen PHP-Versionen enthalten die Sicherheitskorrekturen

Die Tabelle zeigt die korrigierten stabilen Versionen der unterstützten PHP-Zweige zum Stand dieses Beitrags. Sie ist kein abschliessender Sicherheitstest für Hostingpakete mit Anbieter-Backports.

PHP-Zweig	Offizielle Version vor dem Update	Offizielle Sicherheitsversion vom 21. Oktober 2026
PHP 8.2	8.2.34	8.2.35
PHP 8.3	8.3.35	8.3.36
PHP 8.4	8.4.26	8.4.27
PHP 8.5	8.5.11	8.5.12

Beispiel: Eine unveränderte offizielle Installation von PHP 8.2.34 enthält die Korrekturen noch nicht. Ein von METANET entsprechend aktualisiertes Paket mit derselben sichtbaren Versionsnummer kann beide Sicherheitskorrekturen bereits enthalten.

So prüfst du deine Hostingumgebung sinnvoll

Verwendete PHP-Version ansehen: im Hostingpanel oder in WordPress unter «Werkzeuge → Website-Zustand → Bericht → Server».
Die konkrete Domain berücksichtigen: Verschiedene Webseiten innerhalb eines Hostings können unterschiedliche PHP-Versionen verwenden.
Patchbestätigung des Anbieters prüfen: Bei Backports zählt der bestätigte Paketstand, nicht nur die sichtbare Versionsnummer.
Monitoringmeldungen einordnen: Ein Werkzeug, das nur Versionsnummern vergleicht, kann ein bereits gepatchtes Paket weiterhin als veraltet melden. Die Meldung sollte geprüft und nicht pauschal ignoriert werden.

PHP 8.1 oder älter im Einsatz? Jetzt besteht Handlungsbedarf

PHP 8.1 und ältere Versionszweige erhalten keine regulären Sicherheitsupdates mehr vom PHP-Projekt. Einzelne Anbieter stellen jedoch Sicherheitskorrekturen über Backports und Extended Support bereit. Deshalb müssen zwei Fragen getrennt beantwortet werden: Ist die aktuelle Lücke geschlossen? Und ist die technische Grundlage langfristig noch sinnvoll?

METANET bestätigt, dass auch ältere PHP-Versionen im Shared Hosting durch den PHP Extended Support abgedeckt und gepatcht sind. Für Shared-Hosting- und Reseller-Kunden sind laut Abschlussbericht keine eigenen Schritte zur Installation dieser Updates erforderlich.

Für Managed Server nennt METANET bei PHP 7.3 und älter ohne PHP Extended Server Support ausdrücklich weiteren Handlungsbedarf. Hier ist Extended Support erforderlich oder die Anwendung muss auf eine unterstützte PHP-Version umgestellt werden. Bei anderen älteren Versionsständen auf Managed Servern sollte die konkrete Abdeckung anhand der Anbieterbestätigung und des Vertrags geklärt werden.

Unsere Empfehlung bleibt: Plane den Wechsel auf eine unterstützte, vollständig gepatchte PHP-Version. Dafür gehen wir schrittweise vor:

1. PHP-Update vorbereiten und testen

Zuerst werden Dateien und Datenbank mit einem wiederherstellbaren Backup gesichert. Anschliessend sollte möglichst in einer Testumgebung geprüft werden, ob die Webseite mit der Zielversion funktioniert. Besonders wichtig sind Formulare, Logins, Buchungen und Shopfunktionen.

2. Bei Problemen WordPress, Plugins und Themes aktualisieren

Veraltete Komponenten können den PHP-Wechsel verhindern. In diesem Fall werden WordPress, Plugins und Themes kontrolliert aktualisiert und das PHP-Update erneut getestet. Nicht mehr gepflegte Erweiterungen müssen gegebenenfalls ersetzt werden.

Das WordPress-Update schafft hier die Voraussetzungen für den Versionswechsel. Es schliesst die PHP-Lücke nicht selbst.

3. Eine nicht mehr aktualisierbare Webseiteninfrastruktur erneuern

Wenn alte Themes, aufgegebene Plugins oder inkompatible Eigenentwicklungen eine zuverlässige Aktualisierung verhindern, empfehlen wir eine vollständige technische Erneuerung. Dazu gehören eine unterstützte PHP-Version, ein aktuelles WordPress-System und gepflegte Komponenten.

Bis zur Umstellung braucht es eine abgestimmte Übergangslösung. Fehlt ein bestätigter Patch, muss mit dem Hostinganbieter auch eine vorübergehende Einschränkung der öffentlichen Erreichbarkeit geprüft werden. Eine Webseite weiterzubetreiben, nur weil sie noch funktioniert, ersetzt keine Sicherheitsstrategie.

So haben wir bei Gally Websolutions reagiert

Wir begannen am 21. Oktober vormittags direkt nach Bekanntgabe durch METANET mit der Prüfung. Unser Ziel war, die Lage sachlich einzuschätzen, sinnvolle Massnahmen umzusetzen und die Auswirkungen auf unsere Kunden möglichst gering zu halten.

Phase	Unsere Massnahmen
Lagebeurteilung	Sicherheitsmeldungen recherchiert, Risiken bewertet und mögliche nächste Schritte geprüft.
Priorisierung	Webseiten mit personenbezogenen Daten besonders berücksichtigt und Backups erstellt.
Hostingkontrolle	PHP-Versionen und Schutzmassnahmen in Plesk kontrolliert.
Stichproben	Erreichbarkeit, Auffälligkeiten in Logs, Benutzerkonten und Ergebnisse von Sicherheitsscans geprüft.
Kommunikation auf Nachfrage	Rückfragen innerhalb einer Stunde beantwortet, die Situation erläutert und auf Wunsch das weitere Vorgehen besprochen.
Weitere Beobachtung	Die Situation und mögliche Auffälligkeiten weiter überwacht.

Bei den durchgeführten Prüfungen fanden wir keine Hinweise auf erfolgreiche Angriffe auf unsere betreuten Webseiten. Die Kontrollen erfolgten stichprobenartig; sie waren keine vollständige forensische Untersuchung aller Webseiten.

Wir stellten keine Funktionseinschränkungen fest. Die von uns betreuten Webseiten blieben während des Vorfalls online. Die Überwachung läuft weiter.

Unsere Kommunikation: auf Nachfrage, zeitnah und konkret

Wir versendeten zu diesem Vorfall keine proaktive Kundeninformation. Kunden, die sich mit einer Rückfrage an uns wandten, erhielten innerhalb einer Stunde nach Eingang eine Rückmeldung.

Wir schilderten die Situation, erläuterten die bekannten Schutzmassnahmen und besprachen auf Wunsch das weitere Vorgehen. Dabei unterschieden wir zwischen einer möglichen Gefährdung, beobachteten Auffälligkeiten und einem nachgewiesenen Angriff. So konnten wir unterstützen, ohne unbelegte Aussagen über angeblich gehackte Kundenwebseiten zu verbreiten.

METANET: Schutzmassnahmen und Sicherheitsupdates abgeschlossen

Bei der von METANET verwalteten Serverinfrastruktur liegt die technische Federführung beim Hostinganbieter. METANET entscheidet über serverseitige Schutzmassnahmen, den Ablauf der Aktualisierung und den Weiterbetrieb der Hostingumgebung. Auf diese Entscheidungen haben wir als betreuende Webagentur nur begrenzten direkten Einfluss.

Unsere Rolle ist es, die Lage für unsere Kunden einzuordnen, die vereinbarten Prüfungen durchzuführen und bei Fragen oder Auffälligkeiten zu unterstützen.

Warum die Aktualisierung schrittweise erfolgte

METANET setzte am 21. Oktober im Laufe des Tages vorläufige Schutzmassnahmen um und bereitete parallel die Installation der Updates vor. Für einen Teil der Infrastruktur waren angepasste PHP-Pakete von CloudLinux erforderlich. Diese standen laut METANET erst spät in der Nacht vom 21. auf den 22. Oktober bereit.

Anschliessend wurden zuerst Managed Server, danach Shared-Hosting-Server und zuletzt Reseller-Server aktualisiert. Am 22. Oktober um 12:50 Uhr MESZ veröffentlichte METANET die Abschlussmeldung. Die besonderen Anforderungen für ältere PHP-Versionen auf Managed Servern bleiben dabei zu beachten.

METANET stellte die Webseiten nicht automatisch auf einen anderen PHP-Versionszweig um. Die Sicherheitskorrekturen wurden in bestehende Pakete integriert, um zusätzliche Kompatibilitätsprobleme zu vermeiden. Ein späterer Wechsel auf eine neuere PHP-Version bleibt ein eigener, zu testender Schritt.

Den Ablauf dokumentieren die METANET-Statusseite und der abschliessende Bericht des Hostinganbieters.

Was die vorläufigen Sicherheitseinstellungen bewirkten

Zu den von uns betrachteten Einstellungen gehörte session.upload_progress.enabled = Off. Sie deaktiviert die PHP-Funktion zur Verfolgung des Upload-Fortschritts – nicht grundsätzlich sämtliche Datei-Uploads.

Bei korrekter serverseitiger Umsetzung kann diese Einstellung bestimmte bekannte Angriffspfade blockieren. Wir bewerteten sie als sinnvolle vorläufige Risikoreduktion. Sie ist jedoch kein allgemeiner Schutz gegen jeden Upload oder jede Ausführung von Schadcode.

Auch die Empfehlungen von CERT-EU unterscheiden klar: Vorläufige Massnahmen reduzieren Risiken bestimmter Angriffspfade. Die vollständige Behebung der Schwachstellen erfordert die passenden Sicherheitskorrekturen.

Wer muss noch selbst handeln?

Für die durch METANET aktualisierten Hostingumgebungen müssen Kunden diese PHP-Sicherheitsupdates nicht selbst installieren. Ausnahmen und zusätzliche Anforderungen betreffen insbesondere ältere PHP-Versionen auf Managed Servern ohne passenden Extended Support.

Bei selbst verwalteten VPS und Root Servern bleibt der Betreiber verantwortlich. Dort muss geprüft werden, welche PHP-Installationen vorhanden sind und ob die erforderlichen Korrekturen installiert wurden.

Der Abschluss der Updates bestätigt die Behebung der PHP-Schwachstellen in den entsprechend aktualisierten Paketen. Er ersetzt keine individuelle Untersuchung auf einen möglicherweise zuvor erfolgten Angriff.

Warum andere Anbieter Webseiten vorübergehend abschalteten

Eine Abschaltung kann eine bewusste Sicherheitsentscheidung sein. So dokumentiert cyon auf seiner Statusseite, dass am 21. Oktober um 15:45 Uhr unter anderem Webhostings und Managed Server vorsorglich vom Netz genommen wurden. Um 04:00 Uhr am Folgetag meldete cyon aktualisierte PHP-Versionen auf sämtlichen Servern und die wieder uneingeschränkte Erreichbarkeit aller Websites.

Unsere betreuten Webseiten blieben erreichbar. Daraus ergibt sich jedoch kein allgemeines Urteil über die Qualität der unterschiedlichen Vorgehensweisen. Infrastruktur, verfügbare Schutzmassnahmen und Risikobewertung unterscheiden sich. Eine vorsorglich abgeschaltete Webseite ist kein Beleg für einen erfolgreichen Hack.

WordPress-Wartung, Monitoring und Security: klare Aufgaben statt falscher Erwartungen

Unsere Prüfungen erfolgten primär für Kunden mit einem Security- oder Monitoringvertrag, entsprechend dem vereinbarten Leistungsumfang. Ein reiner WordPress-Wartungsvertrag deckt die zusätzliche Untersuchung und Begleitung eines solchen Infrastrukturvorfalls bei uns nicht automatisch ab.

Auch die Webseiten unserer Wartungskunden hatten wir im Blick. Bei erkennbarem weiterem Handlungsbedarf hätten wir reagiert. Für eine verlässliche Betreuung sollte dennoch vorab klar sein, wer welche Aufgaben übernimmt.

Baustein	Aufgabe
WordPress-Wartung	Pflege von WordPress, Plugins und Themes im vereinbarten Umfang.
PHP- und Serverupdates	Behebung von Schwachstellen in der Hostingumgebung.
Monitoring	Beobachtung vereinbarter Merkmale, beispielsweise der Erreichbarkeit.
Security-Betreuung	Sicherheitsbezogene Prüfungen und Unterstützung gemäss Vertrag.
Backups	Grundlage für eine Wiederherstellung nach einem Schaden.

Eine erreichbare Webseite ist nicht automatisch sicher. Ein Backup verhindert keinen Angriff. Und ein Wartungsvertrag ist nicht automatisch ein umfassender Security-Vertrag. Sicherheit entsteht durch passende Massnahmen, deren Kontrolle und klare Zuständigkeiten.

Mehr zur laufenden Pflege erfährst du unter Warum Website-Wartung wichtig ist. Ergänzende Schutzmassnahmen findest du im Beitrag Sicherheit auf deiner Webseite erhöhen.

Häufige Fragen zu PHP2Shell und gehackten Webseiten

Ist meine Webseite gehackt, wenn sie eine betroffene PHP-Version verwendet?

Nicht automatisch. Eine ungepatchte betroffene Installation bedeutet ein Sicherheitsrisiko. Ob ein Angriff erfolgreich war, muss anhand technischer Spuren untersucht werden. Bei Anbieter-Backports lässt sich bereits der Patchstand nicht allein aus der sichtbaren Versionsnummer ablesen.

In Plesk steht noch PHP 8.2.34. Fehlt das Update?

Bei METANET nicht zwingend. Der Anbieter hat die Korrekturen in bestehende PHP-Pakete integriert. Die sichtbare Versionsnummer kann deshalb gleich bleiben. Entscheidend sind der Paketstand und die Bestätigung, dass deine Hostingumgebung und die verwendete PHP-Version von der Aktualisierung erfasst sind.

Reicht ein Security-Plugin gegen diese PHP-Lücken?

Nein. Die Korrektur muss in der PHP-Umgebung erfolgen. Ein Security-Plugin kann ergänzende Funktionen bieten, ersetzt aber den Serverpatch nicht.

Meine WordPress-Webseite funktioniert nur mit altem PHP. Was jetzt?

Prüfe zunächst, ob aktuelle Versionen von WordPress, Plugins und Themes den Wechsel ermöglichen. Ist die technische Basis nicht mehr zuverlässig aktualisierbar, empfehlen wir eine Erneuerung. Bis dahin muss eine bestätigte Sicherheitsversorgung oder eine geeignete Einschränkung des Betriebs mit dem Hostinganbieter geklärt werden.

Sind mit dem PHP-Update alle Sicherheitsfragen erledigt?

Das Update behebt die betreffenden PHP-Schwachstellen. Es untersucht aber nicht, ob zuvor ein Angriff stattgefunden hat, und ersetzt keine laufende Pflege von WordPress, Plugins, Themes und Zugängen. Bei Auffälligkeiten ist deshalb weiterhin eine Untersuchung nötig.

Du möchtest Klarheit über deine Webseite?

Wir klären mit dir, welche Aufgaben dein Hostinganbieter übernimmt, was dein bestehender Vertrag abdeckt und welche zusätzliche Unterstützung sinnvoll ist. Bei älteren Webseiten prüfen wir, ob ein Update ausreicht oder eine technische Erneuerung erforderlich ist.

Unsere Leistungen zur laufenden Pflege findest du unter WordPress-Wartung bei Gally Websolutions. Wenn du einen konkreten Angriff vermutest, schildere uns direkt die beobachteten Auffälligkeiten, damit wir das weitere Vorgehen mit dir einordnen können.

Quellen und weiterführende Informationen

Die technischen Angaben stützen sich insbesondere auf die Veröffentlichungen des PHP-Projekts, der Sicherheitsbehörden und der beteiligten Anbieter. Angaben zu unseren eigenen Prüfungen und zur Kundenkommunikation beziehen sich auf unser Vorgehen bei Gally Websolutions GmbH. Statusmeldungen und Anbieterinformationen können nach dem oben genannten Stand aktualisiert werden.

Ergänzende Berichterstattung:

Autor:in

Matthias Gally

Mehr

Termin buchen

Inhalt
Kategorien Allgemein Fallstudie Glossary Insights Online Marketing SEO Social Media Webseite Wissenswertes

Liebesbriefe (okay, fast)
– direkt in dein Postfach.

Hol dir mehr von unserem Gally-Wissen:
Tipps, Tricks und geheime Zutaten für deinen digitalen Erfolg.
Alles, was du tun musst?
Dich anmelden – den Rest machen wir.

Mehr davon, bitte!