PHP-Sicherheit: kritische Lücke schließen, bevor es andere tun

Seit dem 21. Oktober 2026 gibt es Updates für zwei kritische Lücken in PHP, bekannt als php2shell. Angreifer können damit ohne Login Code auf deinem Server ausführen. Aqtelo betreut Unternehmen in Deutschland, Österreich und der Schweiz, deren Websites betroffen sind: Wir prüfen, aktualisieren und suchen nach Spuren.

Welche Websites betroffen sind

WordPress und WooCommerce
Die meisten Unternehmenswebsites und viele Shops.
Shopware, Magento und Adobe Commerce
Onlineshops mit Kundenkonten und Bestellungen.
TYPO3, Joomla und Drupal
Verbreitet bei Mittelstand, Verbänden und Verwaltung.
Laravel und Symfony
Eigene Portale und Anwendungen auf PHP.

So könnte deine nächste Website aussehen

Alle Referenzen ansehen →

Was wir übernehmen

PHP aktualisieren.
Auf eigenem Server über die Paketverwaltung, bei Webhosting im Kundenbereich oder mit deinem Hoster.
Alte Versionen ablösen.
PHP 8.1, 7.4 und älter bekommen keinen Patch. Wir heben die Website auf PHP 8.3 oder 8.4 und passen Plugins und Themes an.
Übergangsschutz.
Wenn das Update warten muss: Firewall-Regeln über Cloudflare und abgeschalteter Upload-Fortschritt in der php.ini.
Dauerhaft absichern.
Updates nach Plan, Backups, die sich zurückspielen lassen, und Warnungen bei neuen Lücken.

Im Erstgespräch legen wir dein Ziel fest.

Du erfährst, welcher erste Schritt sich für dich lohnt.

So läuft es ab

  1. Adresse und ZugangDu schickst uns die Adresse deiner Website und den Zugang zum Hosting oder Server.
  2. PrüfungWir lesen PHP-Version, Server, Plugins und Logs aus. Du bekommst das Ergebnis schriftlich.
  3. UpdateWir spielen das Update auf einer Kopie ein, testen Formulare, Shop und Login und schalten dann um.
  4. SpurensucheWir suchen nach neuen Admin-Konten, fremden PHP-Dateien und auffälligen Anfragen. Findet sich etwas, bereinigen wir die Website und tauschen alle Passwörter.

Was php2shell ist

Am 21. Oktober 2026 hat das PHP-Team zwei kritische Lücken geschlossen: CVE-2026-109618 und CVE-2026-109619. Beide erlauben Angreifern, ohne Login Code auf dem Server auszuführen. Betroffen ist jede öffentlich erreichbare Website mit einer ungepatchten PHP-Version. Hintergrund und Selbsthilfe liest du im Beitrag php2shell: was du jetzt tun musst.

Sichere PHP-Versionen

PHP-ZweigSichere Version
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35, Support bis 31.12.2026
8.1 und älterkein Patch, ablösen

Stand 21. Oktober 2026. Linux-Distributionen spielen die Korrektur oft ohne neue Versionsnummer ein.

Referenz-Websites

Alle Referenzen

Erstgespräch

Finden wir gemeinsam heraus, wo dein Wachstum hakt

  • Du sprichst mit dem Team, das auch umsetzt. Keine Vertriebsschleife.
  • Du erfährst, welcher erste Schritt sich für dich lohnt.
  • Passt deine Frage besser zu einem anderen Spezialisten, sagen wir es dir.
Renata WisniewskaGeschäftsführerin, AqteloIch lese jede Anfrage selbst und melde mich innerhalb eines Werktags.office@aqtelo.com

Projekt anfragen

Wobei dürfen wir helfen?

Mehrfachauswahl möglich

Was du wahrscheinlich wissen willst

Ja, solange dein Server keine gepatchte PHP-Version hat. Ein Update von WordPress oder den Plugins reicht nicht, die Lücke steckt in PHP selbst.

Nein. Wir arbeiten über den Zugang zu Hosting oder Server. So beginnen wir, sobald du uns den Zugang gibst.

Nach einem kurzen Blick auf Website und Hosting erhältst du ein Angebot mit festem Preis für Prüfung und Update. Eine Migration auf eine neue PHP-Version rechnen wir separat.

Nicht direkt. Dort betreibt der Anbieter die Server, du hast keine eigene PHP-Installation.

Weiterlesen