Versteckte Werbung
Google sieht auf deiner Seite Anzeigen für Medikamente oder Fake-Shops, du und deine Besucher:innen nicht.
PHP2Shell-Check für WordPress
PHP-Sicherheitslücke: Ist deine Website betroffen?
Am 21. Oktober 2026 wurde eine schwere Sicherheitslücke in PHP bekannt, Name „PHP2Shell“. Die meisten Hosting-Anbieter haben ihre Sicherheitsupdates schon eingespielt.
- 145 € zzgl. 20 % USt
- Fixpreis
- mit PDF-Bericht
* Fixpreis für eine WordPress-Website (eine Installation, eine Domain). Mehrere Websites, Multisite oder Online-Shops: gern auf Anfrage.
Was ist passiert?
PHP ist die Programmiersprache, auf der WordPress und viele andere Websites laufen. Über die Lücke können Fremde eigenen Code auf dem Server ausführen, ohne Passwort. Das Problem steckt in PHP selbst, darum hilft ein WordPress-Update allein nicht. Geschlossen wird die Lücke nur über ein PHP-Update bei deinem Hosting-Anbieter.
Die meisten Hosting-Anbieter haben das Update inzwischen eingespielt. Ob das bei deinem Anbieter der Fall ist, muss geprüft werden, und das ist ein Teil meines Checks.
Dazu kommt die Frage, ob deine Seite in der Zwischenzeit verändert wurde. Manchmal sieht man das, meistens aber nicht.
Was kann passieren?
Schadcode verändert eine Website oft so, dass sie aussieht wie immer.
Im Hintergrund passiert aber etwas ganz anderes, zum Beispiel:
Umleitungen
Wer über Google oder vom Handy kommt, landet auf einer fremden Seite. Wer die Adresse direkt eintippt, merkt nichts.
Hintertüren
Ein zusätzliches Admin-Konto oder eine versteckte Datei, über die später jemand wieder hineinkommt, auch wenn PHP längst aktualisiert ist.
Deshalb reicht ein Blick auf die Seite nicht. Wichtig ist, auch den Code und die Dateien zu prüfen.
Für wen und für wen nicht?
Dieser Check ist für dich, wenn …
- du deine Website mit WordPress selbst betreust oder betreibst
- deine Website schon länger nicht mehr aktualisiert wurde
- egal, wie groß dein Unternehmen oder deine Website ist: Angriffe laufen automatisch und suchen nach offenen Lücken, nicht nach bekannten Namen
Nicht nötig ist er, wenn …
- deine Website auf einem Baukasten wie Wix, Jimdo oder Squarespace läuft
- dort kümmert sich der Anbieter selbst um solche Updates
Woher weiß ich, ob ich WordPress habe?
Wenn du dich über deinedomain.at/wp-admin einloggst, ist es WordPress. Bist du unsicher? Schreib mir an
office@gocreate.at
und schick mir deine Website-Adresse, ich sage dir kurz Bescheid.
Was wird geprüft?
- ob dein Hosting-Anbieter das PHP-Sicherheitsupdate eingespielt hat
- ob in deiner WordPress-Installation Schadcode, fremde Dateien oder unbekannte Admin-Konten stecken
- ob deine Seite für Google und Besucher:innen gleich aussieht (keine versteckten Inhalte oder Umleitungen)
Das Ergebnis bekommst du als PDF-Bericht. Findet sich etwas, steht im Bericht, was es ist, und wir besprechen gemeinsam, wie es weitergeht.
So läuft es ab
- 01 Online buchen. Du bekommst sofort eine Bestätigung.
- 02 Ich melde mich bei dir wegen der Zugänge.
- 03 Ich mache den Check.
- 04 Du bekommst den PDF-Bericht.
Wichtig: Der Check ist eine Prüfung. Wenn ich etwas finde, ist das Beheben nicht im Preis enthalten. Jeder Fall ist anders. Wir besprechen dann, was zu tun ist, und du bekommst vorab ein eigenes Angebot.
Fragen
Ist dieser Check für alle Websites geeignet?
Nein, nur für WordPress-Websites. Dabei ist egal, ob gocreate sie erstellt hat, eine andere Agentur oder du selbst.
Muss ich dafür etwas installieren?
Nein. Ich brauche nur den Zugang zu deiner Website und den Zugang zum Hosting (FTP).
Was passiert, wenn du etwas findest?
Dann siehst du im Bericht, was es ist und wie dringend. Wir besprechen gemeinsam, was zu tun ist, und du bekommst vorab ein Angebot. Ohne dein Okay mache ich nichts.
Was, wenn mein Hosting-Anbieter das Update noch nicht eingespielt hat?
Das steht dann im Bericht, mit einer Empfehlung, was du tun kannst.
Wie lange dauert der Check?
Du bekommst den PDF-Bericht innerhalb von 7 Tagen nach deiner Buchung.
Kann ich den Check für mehrere Websites buchen?
Der Fixpreis gilt für eine WordPress-Website (eine Installation, eine Domain). Für mehrere Websites, Multisite oder Online-Shops mache ich dir gern ein eigenes Angebot.
Bekomme ich eine Rechnung?
Ja, per E-Mail, mit ausgewiesener Umsatzsteuer.
Ich betreue seit über zehn Jahren WordPress-Websites. Unter der Marke gocreate entwickle ich professionelle Websites für Dienstleister:innen, Selbstständige und Unternehmen.
Wenn du vorher eine Frage hast, schreib mir einfach an office@gocreate.at.
Mag. Julia Wirnsberger, MSc gocreate! e.U.
Nächster Schritt
Damit du weißt, woran du bist.
Ich prüfe deine WordPress-Website auf die PHP2Shell-Lücke und auf versteckten Schadcode. Das Ergebnis bekommst du als PDF-Bericht. 145 € zzgl. 20 % USt · Fixpreis