PHP2Shell: Was du als Internetnutzer tun kannst

Eine vertraute Website kann zum Risiko werden, wenn ihr Server eine Sicherheitslücke hat. Genau darum geht es bei PHP2Shell.

Unter diesem Namen werden zwei kritische Fehler in PHP zusammengefasst. PHP läuft auf den Servern vieler Websites und verarbeitet dort etwa Anmeldungen oder Formulare. Angreifer können die Lücken unter bestimmten Bedingungen ausnutzen, um Server zu übernehmen oder Daten auszulesen. Das PHP-Team hat am 21. Oktober Sicherheitsupdates veröffentlicht. Entscheidend ist jetzt, dass Betreiber und Hosting-Anbieter sie einspielen. PHP-Sicherheitshinweis

Die Lücke liegt auf dem Server.

1. Betroffene WebsiteUngepatchtes PHP verarbeitet eine manipulierte Anfrage.
2. Unter bestimmten BedingungenEin Angreifer kann Befehle auf dem Server ausführen.
3. Mögliche FolgenInhalte verändern oder dort verarbeitete Daten auslesen.

Für dich als Besucher bedeutet das: Auch ein normalerweise seriöser Dienst kann betroffen sein. Auf einem übernommenen Server könnten Angreifer Inhalte verändern oder dort verarbeitete Daten abgreifen. Ob das bei einem bestimmten Dienst passiert ist, lässt sich aus der allgemeinen Warnung allein nicht ablesen.

Was hat das mit KI zu tun?

Die Forschungsteams von Calif und Wiz fanden die Fehler unabhängig voneinander mit KI-Unterstützung. Die Modelle halfen dabei, den PHP-Programmcode zu untersuchen und Schwachstellen aufzuspüren. Menschen prüften die Ergebnisse; das PHP-Team entwickelte die Sicherheitsupdates. OpenAI unterstützte die Koordination der Offenlegung. OpenAI zur gemeinsamen Sicherheitsarbeit

Die KI war hier ein Werkzeug der Sicherheitsforschung. Die Lücke selbst steckt in PHP auf dem Website-Server, nicht in deinem KI-Chat. Deshalb kann ein betroffener Dienst auch für dich ein Risiko sein, wenn du selbst gar keine KI nutzt. Entscheidend bleibt das Sicherheitsupdate beim Betreiber.

Fünf Dinge, die du tun kannst

1. Geräte und Browser aktuell halten. Installiere Sicherheitsupdates über die eingebauten Einstellungen. Das schützt vor weiteren bekannten Lücken; das PHP-Update muss der Website-Betreiber erledigen.

2. Bei deiner eigenen Website nachfragen. Lass dir vom Hoster bestätigen, dass der Sicherheitsfix für PHP2Shell aktiv ist. Ein allgemeiner Hinweis auf eine Firewall ersetzt das Update nicht.

3. Wichtige Konten absichern. Nutze Passkeys, wo sie angeboten werden. Sonst helfen einzigartige Passwörter im Passwortmanager und Zwei-Faktor-Anmeldung, besonders beim E-Mail-Konto. Diese Maßnahmen schützen die Anmeldung; sie schließen keine Serverlücke.

4. Warnmails unabhängig prüfen. Öffne die bekannte Anbieteradresse selbst. Gib keine Zugangsdaten über einen zugeschickten „PHP-Sicherheitsupdate“-Link ein. Auch Betrüger können die Meldung für gefälschte Warnungen nutzen. NCSC: Betrugsversuche erkennen

5. Wichtige Daten sichern. Lege eine zusätzliche Kopie deiner Fotos und Dokumente an und prüfe, ob du eine Datei wiederherstellen kannst. Ein Backup hilft nach Datenverlust.

Die allgemeinen Empfehlungen zu Updates, Kontoschutz und Backups entsprechen den NCSC-Grundtipps. Das britische Sicherheitszentrum empfiehlt ausdrücklich Passkeys.

Welcher Schutz hilft wo?

• PHP-UpdateHoster / Betreiber
  Schließt die PHP2Shell-Lücken auf dem Server.
• Passkeys / 2FADu
  Schützen die Anmeldung. Kein Ersatz für das PHP-Update.
• BackupsDu
  Helfen nach Datenverlust. Verhindern keinen Serverangriff.

Bei Hexpex selbst nachgesehen

Unsere Magazinseiten bestehen aus fertigen HTML-Dateien. Nach Prüfung der Dateien und aktiven Serverregeln verwenden sie kein PHP. Unser Hoster STRATO bestätigt inzwischen, das offizielle Sicherheitsupdate auf allen selbst betriebenen Hosting-Plattformen eingespielt zu haben. Diese Patchbestätigung stammt vom Anbieter; die genaue laufende PHP-Version haben wir nicht separat gemessen. STRATO-Hinweis im Kunden-Login

Quellen

1. PHP · Sicherheitshinweis vom 21. Oktober 2026

   Primärquelle zu den beiden Lücken und den Sicherheitsupdates; Quellenstand 22.10.2026.

2. OpenAI · Coordinated disclosure of critical vulnerabilities

   Primärquelle zur unabhängigen Entdeckung durch Calif und Wiz mit KI-Unterstützung; Quellenstand 22.10.2026.

3. NCSC · Top tips for staying secure online

   Grundempfehlungen zu Updates, Kontoschutz und Backups; Quellenstand 22.10.2026.

4. NCSC · Passkeys

   Empfehlung für Passkeys; Quellenstand 22.10.2026.

5. STRATO · Öffentlicher Hinweis im Kunden-Login

   Am 22.10.2026 in Safari gelesen: offizielles Update auf allen selbst betriebenen Plattformen eingespielt. Anbieterbestätigung, keine eigene Messung der PHP-Patchversion. Der Hinweis auf der Loginseite kann sich ändern.

6. NCSC · Phishing: How to spot and report scam emails, texts and calls

   Allgemeine Hinweise zum Erkennen und unabhängigen Prüfen verdächtiger Nachrichten; Quellenstand 22.10.2026.