Technische Details zum Ergebnis
Versionsangaben können abweichen. Hoster können Sicherheitskorrekturen nachträglich eingespielt haben. Der Check prüft nur öffentlich sichtbare Hinweise und bestätigt keine Ausnutzbarkeit. Offizielle PHP-Meldung ↗
Kostenloser PHP2Shell-Check / Stand 28.10.2026
Ist Deine Website von der PHP-Sicherheitslücke betroffen?
Über die Lücke können Angreifer Deine Website übernehmen und Kundendaten abgreifen. Ganz ohne Passwort. Prüfe jetzt in wenigen Sekunden, ob Deine Website Hinweise auf ein fehlendes Update zeigt.
- Verbindung zu deiner Website wird aufgebaut
- Öffentliche Server-Antwort wird gelesen
- PHP-Version und System werden erkannt
- Abgleich mit den Sicherheitsupdates 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12
Persönlich betreut von Moritz BennerWebdesigner aus Weinfelden, Thurgau
Diese Unternehmen vertrauen bereits auf meine Arbeit
Die Lage in 30 Sekunden
Zwei Lücken. Millionen Websites. Eine Frage: Deine?
PHP ist die Technik im Hintergrund der meisten Websites, auch von WordPress. Im Oktober wurden darin zwei kritische Lücken bekannt. Sicherheitsexperten nennen sie «PHP2Shell».
- 17.10.2026
Erste Angriffe, noch vor dem Update
Laut Amazon gab es erste Angriffsversuche bereits vier Tage, bevor die Lücke öffentlich wurde. Quelle ↗
- 21.10.2026
PHP veröffentlicht Notfall-Updates
Zwei Lücken (CVE-2026-109618 und CVE-2026-109619) mit dem Schweregrad 9,2 von 10. Behoben ab PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. PHP.net ↗
- 21.10.2026
BSI warnt mit Warnstufe Orange
Das deutsche Bundesamt für Sicherheit in der Informationstechnik rät dringend, betroffene Websites nicht ohne Update weiter zu betreiben. Behörden nehmen vorsorglich Seiten vom Netz.
- Heute
Viele Websites sind noch offen
Für PHP 8.1 und ältere Versionen gibt es kein offizielles Update mehr. Wer auf einer alten Version läuft, muss wechseln.
9,2/10Schweregrad der Lücken (CVSS). Das ist «kritisch», die höchste Stufe.
≈ 70%aller Websites mit bekannter Server-Technik laufen mit PHP. W3Techs ↗
> 1/3der PHP-Websites laufen noch auf PHP 7 oder älter. Dafür gibt es kein Update. W3Techs ↗
0Passwörter braucht ein Angreifer. Die Lücke funktioniert ohne Login.
Deine Kundendaten fliessen ab
Namen, Adressen, Bestellungen, Passwörter. Alles, was Deine Kunden Dir über die Website anvertrauen, kann unbemerkt bei Kriminellen landen.
Google straft Deine Seite ab
Gehackte Seiten können bei Google abrutschen oder ganz aus den Suchergebnissen verschwinden. Wer Dich bisher dort gefunden hat, findet Dich nicht mehr. Neue Anfragen bleiben aus.
Meldepflicht bei Datenlecks
Fliessen Kundendaten ab, können in der Schweiz und der EU Meldepflichten greifen. Dann musst Du unter Umständen die Behörden und Deine Kunden informieren.
Dein guter Ruf
Spam von Deiner Adresse, eine gefälschte Seite, ein Ausfall mitten im Tagesgeschäft. Vertrauen, das Du Dir über Jahre aufgebaut hast, ist schnell beschädigt.
Drei Irrtümer, die jetzt gefährlich werden.
«Meine Website ist zu klein. Wer interessiert sich schon dafür?»
Die Wahrheit: Angriffe laufen automatisiert. Programme durchsuchen rund um die Uhr das ganze Internet nach Servern ohne Update. Die Grösse Deiner Firma spielt dabei keine Rolle.
«Darum kümmert sich doch mein Hoster.»
Die Wahrheit: Manche ja, manche nicht. Und läuft Deine Website auf einer alten PHP-Version, gibt es gar kein Update. Dann muss die Version gewechselt werden. Ungetestet kann das Deine Website lahmlegen.
«Ich habe doch erst WordPress aktualisiert.»
Die Wahrheit: WordPress- und Plugin-Updates aktualisieren PHP nicht. PHP läuft eine Ebene tiefer, direkt auf dem Server. Dort muss das Update ankommen.
Jetzt meine Website prüfen Kostenlos · dauert wenige Sekunden
So einfach geht's
Von «Bin ich betroffen?» zu «Alles erledigt.»
Du musst kein Technik-Profi sein. Du brauchst nur die Adresse Deiner Website. Den Rest machen wir gemeinsam.
- 01
Website prüfen
Du gibst Deine Adresse ein. Der Check liest die öffentliche Antwort Deines Servers und gleicht sie mit den Sicherheitsupdates ab. Dauert wenige Sekunden.
- 02
Rückruf erhalten
Zeigt sich Handlungsbedarf oder bleibt etwas unklar, hinterlässt Du Deine Nummer. Ich rufe Dich persönlich an und erkläre Dir Dein Ergebnis in Klartext.
- 03
Sicher weiterarbeiten
Wir klären den Stand bei Deinem Hoster. Auf Wunsch übernehme ich die Umsetzung: Sicherung, Update und Funktionstest Deiner Website. Oder Du bekommst eine klare Anleitung.
Wer hier für Dich da ist
Ich bin Moritz. Und ich lasse Dich mit der Technik nicht allein.
Ich entwickle Websites für Unternehmen in der Schweiz und in Deutschland. Vom kleinen Fotostudio bis zum Onlineshop.
Dabei habe ich eines gelernt: Eine schöne Website nützt nichts, wenn die Technik dahinter nicht stimmt. Darum habe ich diesen Check gebaut. Damit Du schnell weisst, woran Du bist, und nicht allein mit einer Warnmeldung dastehst.
Ich spreche Deine Sprache, nicht Fachchinesisch. Und wenn etwas zu tun ist, sage ich Dir ehrlich, was nötig ist und was nicht.
TÜV-zertifizierter KI-BeraterTÜV Rheinland · gültig bis 12/20285,0 von 5 SternenKundenbewertungen auf ProvenExpertAusgewählte Websites
Websites, die ich für meine Kunden gebaut habe.
Echte Projekte für echte Unternehmen. Ein Klick öffnet die Seite live.
Das sagen Kunden
Zusammenarbeit, die man weiterempfiehlt.
«Die Kommunikation mit Moritz war jederzeit transparent, professionell und lösungsorientiert.»
«Mir hat besonders die strukturierte und leidenschaftliche Herangehensweise gefallen.»
5,0
Durchschnitt auf ProvenExpert
Häufige Fragen
Ehrliche Antworten. Ohne Fachchinesisch.
Deine Frage ist nicht dabei? Fordere einfach einen Rückruf an.
Rückruf anfordernWas ist PHP überhaupt?
PHP ist eine Programmiersprache, die auf dem Server läuft, also auf dem Computer, auf dem Deine Website liegt. Sie baut Deine Seiten zusammen, sobald jemand sie aufruft. WordPress, viele Onlineshops und Kontaktformulare laufen damit. Du siehst PHP nicht, aber es arbeitet bei jedem Seitenaufruf mit.
Kann der Check sicher sagen, ob ich betroffen bin?
Er liefert eine ehrliche Ersteinschätzung. Der Check liest die öffentliche Antwort Deines Servers und vergleicht eine dort sichtbare PHP-Version mit den Sicherheitsupdates. Viele Server verstecken ihre Version, und Hoster bauen Korrekturen manchmal nachträglich ein. Eine verbindliche Aussage gibt es deshalb nur mit einem Blick ins Hosting. Genau dabei helfe ich Dir.
Verändert der Check etwas an meiner Website?
Nein. Es wird nur Deine öffentliche Startseite aufgerufen, so wie es jeder Besucher auch tut. Es gibt keine Anmeldung, keine Angriffsversuche und keine Änderungen an Deiner Website.
Ich habe einen Baukasten wie Wix oder Shopify. Muss ich etwas tun?
Bei solchen Anbietern betreibt der Anbieter die Server. Ein eigenes PHP-Update ist dann in aller Regel nicht Deine Aufgabe. Der Check erkennt viele dieser Systeme und sagt Dir das direkt. Betreibst Du zusätzlich einen eigenen Blog oder Shop auf einem anderen Server, sollte dieser separat geprüft werden.
Reicht ein WordPress- oder Plugin-Update?
Leider nein. PHP ist die Software auf dem Server, auf der WordPress läuft. WordPress-Updates aktualisieren PHP nicht mit. Der Patchstand muss im Hosting-Konto oder beim Hoster geprüft werden. Vor einem Versionswechsel sollte immer eine Sicherung gemacht und die Website getestet werden.
Was kostet mich das?
Der Check und der Rückruf sind kostenlos und unverbindlich. Im Gespräch klären wir, was bei Dir zu tun ist. Oft reicht ein Hinweis an Deinen Hoster. Brauchst Du Unterstützung bei der Umsetzung, bekommst Du vorher ein klares Angebot. Ohne Deine Zusage passiert nichts.
Was passiert mit meiner eingegebenen Adresse?
Der Check startet erst mit Deiner Einwilligung. Benner Media speichert die Website-Adresse, den Zeitpunkt und das Prüfergebnis, um die Anfragen auszuwerten. Geprüft wird nur die Startseite; Pfade und Parameter werden vorher entfernt. Durch den Check entsteht kein Kundenkontakt und keine Werbung. Erst wenn Du das Rückrufformular absendest, übermittelst Du Deine Kontaktdaten. Mehr dazu in den Datenschutzhinweisen.
Machst Du auch neue Websites?
Ja, das ist mein Kerngeschäft. Wenn Deine Website ohnehin in die Jahre gekommen ist, kann ein Neustart auf moderner, sicherer Technik sinnvoller sein als ein Flicken. Das besprechen wir gerne im Gespräch. Mehr zu meinen Website-Leistungen.
Lieber direkt sprechen?
Trag Deine Nummer ein. Ich rufe Dich zurück.
Egal, ob Du den Check schon gemacht hast oder lieber gleich mit einem Menschen sprechen willst: Ich melde mich persönlich bei Dir.
Kostenlosen Rückruf anfordern
Dauert 30 Sekunden. Unverbindlich.
Das Rückrufformular wird geladen …
Das Formular lädt gerade nicht. Rückruf per E-Mail anfragen.
Deine Angaben werden über SalesSuite nur für Deine Anfrage verarbeitet. Datenschutz. Kein Abo, keine Kosten.