Kurz gesagt: Bei einer PHP-Sicherheitslücke wie PHP2Shell ist beim Webhosting der Hoster für das PHP-Update zuständig, nicht Sie. Ihre Aufgabe ist es, eine schriftliche Bestätigung einzuholen, im Kundenmenü eine unterstützte PHP-Version zu wählen und Ihre Website auf Spuren eines Angriffs zu prüfen. Ein Patch des Hosters entfernt keine Schadsoftware, die vorher auf Ihre Website gelangt ist.
Die Lage in einfachen Worten
PHP ist die Programmiersprache, mit der die meisten Websites, Shops und CMS wie WordPress laufen. PHP2Shell bezeichnet zwei kritische Fehler in PHP selbst (CVE-2026-109618 und CVE-2026-109619). Angreifer können darüber ohne Passwort eigenen Code auf dem Server ausführen. Das BSI hat Warnstufe 3 (Orange) ausgerufen und empfiehlt ein sofortiges Update.
Beim Shared Hosting teilen sich viele Kunden einen Server. Die Technik darunter, also Betriebssystem, Webserver und PHP, betreibt der Hoster. Sie selbst verwalten nur Ihre Website, Datenbank und Zugänge. Deshalb können Sie das PHP-Update nicht selbst einspielen und müssen es auch nicht.
Webhosting und PHP-Sicherheitslücke: Wer ist zuständig?
Die Aufteilung ergibt sich aus Ihrem Vertrag. In den meisten Tarifen gilt grob folgende Verteilung:
| Aufgabe | Hoster | Sie als Kunde |
|---|---|---|
| PHP-Pakete aktualisieren | ja | nein |
| PHP-Prozesse neu starten | ja | nein |
| Serverweite Übergangswerte setzen | ja | nein |
| PHP-Version Ihrer Website wählen | stellt bereit | wählt aus |
| CMS, Plugins, Themes aktualisieren | nein | ja |
| Zugangsdaten und Admin-Konten | nein | ja |
| Website auf Schadcode prüfen | teilweise | ja |
| Datenschutzrechtliche Bewertung | nein | ja |
Wichtig ist die letzte Zeile: Kommt es auf Ihrer Website zu einem Vorfall mit personenbezogenen Daten, sind in der Regel Sie als Betreiber verantwortlich, nicht der Hoster. Mehr dazu unter DSGVO-Meldepflicht.
Was Sie jetzt selbst tun sollten
1. Bestätigung einholen. Fragen Sie Ihren Hoster schriftlich, ob die PHP-Versionen in Ihrem Paket gegen beide CVEs abgesichert sind, seit wann, und ob alle PHP-Prozesse neu gestartet wurden. Eine fertige Vorlage finden Sie unter Hoster nach dem Patch-Status fragen. Wundern Sie sich nicht, wenn im Kundenmenü weiter eine ältere Versionsnummer wie 8.2.34 steht: Manche Anbieter liefern Korrekturen als Backport aus, ohne dass sich die Nummer ändert.
2. PHP-Version prüfen. Schauen Sie im Kundenmenü nach, welche PHP-Version Ihre Website nutzt. PHP 8.1 und älter erhalten vom PHP-Projekt keine offiziellen Updates mehr. PHP 8.2 erreicht am 31.12.2026 das Ende der Unterstützung. Ob Ihr CMS eine neuere Version verträgt, prüfen Sie laut Systemanforderungen des Herstellers, etwa auf wordpress.org.
3. Website kontrollieren. Achten Sie auf unbekannte Administrator-Konten, unerwartete Weiterleitungen, fremde Dateien im FTP-Zugang und Warnungen in der Google Search Console. Eine Liste typischer Anzeichen steht unter Bin ich schon kompromittiert?.
4. Sicherung anlegen. Laden Sie eine aktuelle Sicherung von Dateien und Datenbank herunter und bewahren Sie sie getrennt auf. Bitten Sie den Hoster außerdem, die Zugriffsprotokolle Ihres Pakets ab dem 20.10.2026 aufzubewahren.
Ändern Sie nach der Bestätigung des Hosters vorsorglich die Passwörter für Kundenmenü, FTP/SFTP, Datenbank und CMS-Administratoren und aktivieren Sie, wo möglich, die Zwei-Faktor-Anmeldung.
Was Sie beim Shared Hosting nicht selbst lösen können
Die von php.net empfohlenen Übergangsmaßnahmen, etwa session.upload_progress.enabled=0, wirken nur, wenn sie in der Serverkonfiguration gesetzt werden. Ein Eintrag in .user.ini oder per ini_set() im Code reicht laut php.net nicht. Auch Speichergrenzen auf cgroup-Ebene und der Neustart der PHP-Prozesse liegen beim Hoster.
Antwortet Ihr Hoster nicht oder nur ausweichend, haben Sie drei Möglichkeiten: nachhaken und eine Frist setzen, die Website vorübergehend in den Wartungsmodus nehmen oder zu einem Anbieter mit klarer Aussage wechseln. Das BSI empfiehlt, Webserver vorübergehend vom Netz zu nehmen, wenn ein Update nicht sofort möglich ist.
Prüfen Sie außerdem, ob Ihr Tarif noch zeitgemäß ist. Pakete, die seit vielen Jahren unverändert laufen, liegen manchmal auf älteren Server-Generationen mit älteren PHP-Versionen, die der Hoster nur noch eingeschränkt pflegt. Ein Wechsel auf einen aktuellen Tarif desselben Anbieters ist oft mit wenig Aufwand verbunden und bringt neuere PHP-Versionen mit. Fragen Sie danach, wenn die Antwort zum Patch-Status unbefriedigend ausfällt.
Wenn die Website bereits auffällig ist
Ein Patch beim Hoster schließt die Lücke für die Zukunft. Er entfernt aber keine Hintertür, die Angreifer vorher eingebaut haben, und beweist nicht, dass vorher nichts geschehen ist. Finden Sie Auffälligkeiten, löschen Sie nicht wahllos Dateien. Sichern Sie zuerst den Zustand, damit die Ursache später nachvollziehbar bleibt.
Wie hilft PHP SOS konkret?
- Wir formulieren mit Ihnen die Anfrage an den Hoster und bewerten dessen Antwort technisch.
- Wir prüfen Ihre Website auf Webshells, fremde Konten und manipulierte Dateien und bereinigen sie bei Befund über unsere Malware-Entfernung.
- Bei akutem Verdacht übernehmen wir die Notfallhilfe für gehackte Websites mit Beweissicherung.
- Wir helfen bei der Wahl einer passenden PHP-Version und testen die Website danach.
Häufige Fragen
Muss ich als Hosting-Kunde PHP selbst aktualisieren?
In der Regel nicht, denn PHP gehört beim Shared Hosting zur Plattform des Hosters. Sie können aber im Kundenmenü oft die PHP-Version wählen. Steht dort eine Version ohne offizielle Updates, sollten Sie wechseln oder den Hoster fragen, wie er sie absichert.
Meine Website ist offline. Wurde ich gehackt?
Nicht unbedingt. Einige Anbieter haben Websites vorsorglich vom Netz genommen, um die Lücke zu schließen. Fragen Sie beim Hoster nach dem Grund und lassen Sie sich bestätigen, ob es Hinweise auf einen Angriff auf Ihr Paket gibt.
Kann ich die Übergangsmaßnahmen in .user.ini selbst setzen?
Für session.upload_progress.enabled nennt php.net ausdrücklich, dass .user.ini und ini_set() nicht ausreichen. Diese Einstellung muss der Hoster in der Serverkonfiguration setzen.
Was sollte ich vom Hoster schriftlich haben?
Eine Bestätigung, dass die PHP-Versionen Ihres Pakets gegen CVE-2026-109618 und CVE-2026-109619 abgesichert sind, ab wann das gilt und dass die PHP-Prozesse neu gestartet wurden. Bewahren Sie diese Antwort zusammen mit Ihren Unterlagen auf.