Auf einen Blick
Am 21. Oktober 2026 wurde eine schwere Sicherheitslücke in PHP bekannt, Name „PHP2Shell“. Die meisten Hosting-Anbieter haben ihre Sicherheitsupdates seither eingespielt. Ob das bei deinem Anbieter der Fall ist und ob Schadcode auf deine Website gelangt ist, muss gesondert geprüft werden.
Dieser Beitrag erklärt, was passiert ist, was Schadcode auf einer Website anrichten kann, für wen eine Prüfung sinnvoll ist und wie mein Check zur PHP2Shell-Lücke abläuft.
Was ist passiert?
PHP ist die Programmiersprache, auf der WordPress und viele andere Websites laufen. Über die Lücke können Fremde eigenen Code auf dem Server ausführen, ohne Passwort. Das Problem steckt in PHP selbst, darum hilft ein WordPress-Update allein nicht. Geschlossen wird die Lücke nur über ein PHP-Update bei deinem Hosting-Anbieter.
Wichtig
Die meisten Hosting-Anbieter haben das Update inzwischen eingespielt. Ob das bei deinem Anbieter der Fall ist, muss geprüft werden, und das ist ein Teil meines Checks.
Dazu kommt die Frage, ob deine Seite in der Zwischenzeit verändert wurde. Manchmal sieht man das, meistens aber nicht.
Was kann passieren?
Schadcode verändert eine Website oft so, dass sie aussieht wie immer. Im Hintergrund passiert aber etwas ganz anderes, zum Beispiel:
Versteckte Werbung
Google sieht auf deiner Seite Anzeigen für Medikamente oder Fake-Shops, du und deine Besucher:innen nicht.
Umleitungen
Wer über Google oder vom Handy kommt, landet auf einer fremden Seite. Wer die Adresse direkt eintippt, merkt nichts.
Hintertüren
Ein zusätzliches Admin-Konto oder eine versteckte Datei, über die später jemand wieder hineinkommt, auch wenn PHP längst aktualisiert ist.
Deshalb reicht ein Blick auf die Seite nicht. Wichtig ist, auch den Code und die Dateien zu prüfen.
Für wen ist der Check, und für wen nicht?
Dieser Check ist für dich, wenn …
- du deine Website mit WordPress selbst betreust oder betreibst
- deine Website schon länger nicht mehr aktualisiert wurde
- egal, wie groß dein Unternehmen oder deine Website ist: Angriffe laufen automatisch und suchen nach offenen Lücken, nicht nach bekannten Namen
Nicht nötig ist er, wenn …
- deine Website auf einem Baukasten wie Wix, Jimdo oder Squarespace läuft
- dort kümmert sich der Anbieter selbst um solche Updates
Woher weiß ich, ob ich WordPress habe?
Wenn du dich über deinedomain.at/wp-admin einloggst, ist es WordPress. Bist du unsicher? Schreib mir an office@gocreate.at und schick mir deine Website-Adresse, ich sage dir kurz Bescheid.
Was wird geprüft?
- ob dein Hosting-Anbieter das PHP-Sicherheitsupdate eingespielt hat
- ob in deiner WordPress-Installation Schadcode, fremde Dateien oder unbekannte Admin-Konten stecken
- ob deine Seite für Google und Besucher:innen gleich aussieht (keine versteckten Inhalte oder Umleitungen)
Das Ergebnis bekommst du als PDF-Bericht. Findet sich etwas, steht im Bericht, was es ist, und wir besprechen gemeinsam, wie es weitergeht.
Jetzt prüfen lassen
145 € zzgl. 20 % USt, Fixpreis für eine WordPress-Website, mit PDF-Bericht.
Check zur PHP2Shell-Lücke buchenSo läuft es ab
- Online buchen. Du bekommst sofort eine Bestätigung.
- Ich melde mich bei dir wegen der Zugänge.
- Ich mache den Check.
- Du bekommst den PDF-Bericht.
Wichtig
Der Check ist eine Prüfung. Wenn ich etwas finde, ist das Beheben nicht im Preis enthalten. Jeder Fall ist anders. Wir besprechen dann, was zu tun ist, und du bekommst vorab ein eigenes Angebot.
Wenn deine WordPress-Website danach laufend aktuell gehalten werden soll, passt dazu die WordPress-Betreuung & Wartung. Macht eine bestehende WordPress-Website bereits Probleme, findest du hier mehr zur WordPress-Rettung & Sanierung.
Damit du weißt, woran du bist.
Ich prüfe deine WordPress-Website auf die PHP2Shell-Lücke und auf versteckten Schadcode. 145 € zzgl. 20 % USt, mit PDF-Bericht.
Check zur PHP2Shell-Lücke buchenZusammenfassung
- Das Problem steckt in PHP selbst, darum hilft ein WordPress-Update allein nicht. Nur ein PHP-Update bei deinem Hosting-Anbieter schließt die Lücke.
- Schadcode verändert eine Website oft so, dass sie aussieht wie immer: versteckte Werbung, Umleitungen oder Hintertüren fallen beim Blick auf die Seite nicht auf.
- Der Check prüft Hosting-Update, WordPress-Installation und Google-Sicht, mit PDF-Bericht, zum Fixpreis von 145 € zzgl. 20 % USt für eine WordPress-Website.
Autorin
Julia Wirnsberger
Julia entwickelt unter der Marke gocreate professionelle Websites für Dienstleister:innen, Selbstständige und Unternehmen — mit Fokus auf Strategie, klare Struktur, verständliche Texte und moderne Umsetzung. Wichtig ist ihr dabei die individuelle Beratung und Betreuung: Jede:r soll die Lösung bekommen, die wirklich zum eigenen Angebot passt — gerade im Dienstleistungsbereich macht das den Unterschied. Mehr über gocreate erfahren
FAQ
Häufige Fragen zu diesem Thema.
Ist dieser Check für alle Websites geeignet?
Muss ich dafür etwas installieren?
Was passiert, wenn du etwas findest?
Was, wenn mein Hosting-Anbieter das Update noch nicht eingespielt hat?
Wie lange dauert der Check?
Kann ich den Check für mehrere Websites buchen?
Bekomme ich eine Rechnung?
Passender nächster Schritt
Du möchtest deine Website nicht allein sortieren?
gocreate begleitet professionelle Website-Projekte von Strategie und Struktur bis Design, Umsetzung, SEO-/GEO-Basis und Launch.
Kostenloses Erstgespräch buchen!