Am 21. Oktober 2026 wurden zwei kritische PHP-Sicherheitslücken bekannt. PHP läuft im Hintergrund fast jeder WordPress-Website, und über die Lücken konnte unter bestimmten Bedingungen fremder Code auf dem Server ausgeführt werden, ganz ohne Anmeldung. Die großen Hoster haben schnell reagiert. Der Fall zeigt aber deutlich, warum eine Website jemanden braucht, der sich laufend um sie kümmert.
Was am 21. Oktober passiert ist
Damit eine Website funktioniert, braucht es mehr als das, was du im Browser siehst. Auf dem Server, also dem Rechner, auf dem deine Website liegt, läuft Software im Hintergrund. Eine der wichtigsten heißt PHP. Sie sorgt dafür, dass WordPress, Joomla und viele andere Systeme überhaupt arbeiten können: Seiten zusammenbauen, Formulare verschicken, Inhalte aus der Datenbank holen.
Am 21. Oktober hat das PHP-Projekt eine Sicherheitswarnung veröffentlicht. Zwei Lücken wurden als kritisch eingestuft. Vereinfacht gesagt: Ein Angreifer hätte unter bestimmten Bedingungen eigene Befehle auf dem Server ausführen können, ohne Passwort und ohne Zugang zur Website. Gleichzeitig wurden korrigierte Versionen veröffentlicht.
Betroffen war nicht eine einzelne Website, sondern der technische Unterbau sehr vieler Websites. Deshalb ging die Warnung auch durch die Medien, und viele Unternehmen mussten sich plötzlich fragen: Ist meine Website sicher?
Was die Hoster gemacht haben
Um PHP kümmert sich bei normalem Webhosting der Hoster, also der Anbieter, bei dem deine Website liegt. Die Hoster mussten die Korrekturen auf ihren Servern einspielen. Am ersten Tag war bei manchen Anbietern noch unklar, wie weit sie damit sind. Zeitweise waren auch Verwaltungsseiten nicht erreichbar.
Am 22. Oktober lagen dann klare Aussagen vor. ALL-INKL hat mitgeteilt, dass alle dort angebotenen PHP-Versionen mit den Sicherheitskorrekturen versehen wurden, auch ältere. World4You hat erklärt, dass alle Server aktualisiert wurden. ALL-INKL schreibt außerdem, dass es bisher keine konkreten Hinweise auf eine erfolgreiche Ausnutzung gibt, ein Angriff vor dem Update aber nicht ausgeschlossen werden kann. Das ist der Stand vom 22. Oktober 2026.
Welche Gefahren eine solche Sicherheitslücke für deine Website bedeutet
Wer über eine solche Lücke auf einen Server kommt, kann dort im schlimmsten Fall fast alles verändern. Das sieht man nicht immer sofort. Typische Folgen eines Angriffs sind:
- Besucher werden auf fremde Seiten umgeleitet, etwa auf Casino- oder Spam-Seiten.
- Es tauchen fremde Inhalte, unbekannte Benutzer oder versteckte Dateien auf.
- Seiten sind nicht mehr erreichbar oder zeigen nur noch Fehler.
- Die Website wird für Spam oder weitere Angriffe missbraucht, ohne dass du es merkst.
Das ist keine Theorie. Im Mai 2026 hatten wir bei zwei Kunden genau solche Fälle, ausgelöst durch eine Lücke in einem Plugin. Wie das ausgesehen hat, beschreiben wir im Beitrag Warum eine Website laufende Wartung braucht.
Was eine kaputte Website wirklich kostet
Für ein kleines Unternehmen ist eine gehackte Website nicht nur ein technisches Problem. Sie trifft das Geschäft direkt:
- Keine Anfragen: Solange die Website nicht funktioniert, kommt über sie nichts herein. Keine Anrufe, keine Formulare, keine Buchungen.
- Vertrauen: Wer auf deiner Seite plötzlich auf einer Casino-Seite landet, kommt so schnell nicht wieder.
- Zeit und Ärger: Statt zu arbeiten, telefonierst du mit Hoster und Agentur und versuchst zu verstehen, was los ist.
- Geld: Ohne brauchbare Sicherung ist eine Rettung oft aufwendig. Im schlimmsten Fall muss die Website neu gebaut werden, mit allem, was dazugehört: Texte, Bilder, Struktur, Technik.
Für uns gibt es kaum etwas Schlimmeres, als wenn eine Website plötzlich kaputt ist. Genau deshalb ist es so wichtig, vorher vorbereitet zu sein und nicht erst im Ernstfall.
Wer wofür zuständig ist: Hoster, Website und Backup
Bei einer Website arbeiten mehrere Seiten zusammen. Viele Betreiber wissen gar nicht genau, wer was übernimmt. Das fällt meistens erst auf, wenn etwas passiert. Grob lässt es sich so aufteilen:
- Hoster: hält den Server und PHP aktuell und spielt Sicherheitskorrekturen ein. Das war diesmal der entscheidende Teil.
- Website-Wartung: pflegt WordPress, Themes und Plugins, prüft Updates und schaut, ob alles funktioniert. Das macht der Betreiber selbst oder die betreuende Agentur.
- Backup: sorgt dafür, dass es einen sauberen Stand gibt, auf den man zurückgehen kann. Wer das übernimmt, sollte klar vereinbart sein.
- Im Ernstfall: Ursache finden, Lücke schließen, Website wiederherstellen. Hier arbeiten Betreiber, Agentur und Hoster zusammen.
Wichtig dabei: Ein WordPress-Update schließt keine PHP-Lücke. Und umgekehrt kümmert sich der Hoster nicht um deine Plugins. Beides braucht es.
Warum die Versionsnummer allein nichts aussagt
Am 22. Oktober haben bei mehreren Websites noch die bisherigen PHP-Versionsnummern gestanden. Das hat auf den ersten Blick verunsichert. Die Erklärung: Hoster können die Reparatur in eine bestehende Version einbauen, ohne die Nummer zu ändern. World4You hat dieses Verfahren ausdrücklich so beschrieben.
Für dich heißt das: Eine alte Nummer bedeutet nicht automatisch, dass die Lücke offen ist. Und eine neue Nummer bedeutet nicht, dass sonst alles in Ordnung ist. Verlässlich ist die Aussage deines Hosters, nicht der Blick auf eine einzelne Zahl. Langfristig sollte eine Website trotzdem auf einer aktuellen PHP-Version laufen.
Was wir bei MarketiX in diesen zwei Tagen gemacht haben
Als die Warnung bekannt wurde, haben wir nicht abgewartet, bis die Hoster sich melden. Wir haben:
- für alle Kunden mit Wartungsvertrag sofort zusätzliche, aktuelle Backups erstellt und bei uns gespeichert, getrennt vom Server,
- die PHP-Versionen der Websites überprüft, die wir betreuen,
- alle unsere Kunden per E-Mail informiert, nicht nur die mit Wartungsvertrag,
- auch Kunden ohne Wartungsvertrag angeboten, noch schnell ein Backup zu machen, und das für alle erledigt, die sich gemeldet haben,
- die Mitteilungen der Hoster laufend verfolgt, bis klar war, dass die Korrekturen eingespielt sind.
Uns ist bei unseren Kunden bis heute kein Schaden durch diese Lücken bekannt. Darüber sind wir froh. Darauf verlassen wollten wir uns aber nicht, deshalb die zusätzlichen Sicherungen.
Warum wir auch Kunden ohne Wartungsvertrag informiert haben? Weil eine Website für uns mit der Übergabe nicht aus dem Blick ist. Wer mit uns eine Website gebaut hat, soll von so einer Warnung nicht erst aus der Zeitung erfahren. Das verstehen wir unter System und unter einer echten Kundenbeziehung.
Warum ein Wartungsvertrag am Ende Geld spart
Eine Wartung kostet Geld, jeden Monat. Das ist klar. Die Frage ist, was es kostet, wenn sich niemand kümmert. Der Unterschied zeigt sich vor allem dann, wenn etwas passiert:
- Mit Wartung gibt es regelmäßige Backups, die auch getrennt vom Server liegen. Updates werden kontrolliert eingespielt, und jemand schaut regelmäßig auf die Website. Bei einer Warnung wie dieser wird sofort gehandelt, ohne dass du daran denken musst.
- Ohne Wartung gibt es oft nur ein altes oder gar kein Backup. Plugins sind veraltet, und niemand merkt, wenn etwas nicht stimmt. Im Ernstfall beginnt die Suche erst dann, wenn die Website schon nicht mehr funktioniert.
Im besten Fall lässt sich eine gewartete Website nach einem Angriff in kurzer Zeit auf einen sauberen Stand zurücksetzen. Ohne aktuelles Backup bleibt oft nur eine sehr aufwendige Rettung oder eine neue Website. Dazu kommen die Wochen ohne Anfragen und der Ärger. Im Verhältnis dazu ist eine laufende Wartung überschaubar.
Ehrlich gesagt gehört aber auch dazu: Ein Wartungsvertrag macht eine Website nicht zu 100 Prozent sicher. Diesmal kam die eigentliche Reparatur vom Hoster, nicht von uns. Ein Backup verhindert auch keinen Angriff. Was Wartung leistet, ist etwas anderes: Das Risiko sinkt, Probleme fallen früher auf, und im Ernstfall gibt es einen Plan und jemanden, der zuständig ist. Was zu unserer Wartung für WordPress-Websites gehört, findest du bei unseren Leistungen.
PHP-Sicherheitslücke: Was du jetzt tun kannst
Für die aktuelle PHP-Sicherheitslücke haben die großen Hoster die Korrekturen eingespielt. Du musst also nicht in Panik verfallen. Es ist aber ein guter Anlass, ein paar Fragen ehrlich zu beantworten:
- Weißt du, bei welchem Hoster deine Website liegt, und hat er sich zu den PHP-Lücken geäußert?
- Wann wurde deine Website zuletzt gesichert, und wo liegt diese Sicherung?
- Wer kümmert sich um Updates von WordPress, Plugins und Themes?
- Läuft deine Website noch auf einer alten PHP-Version, die modernisiert werden sollte?
- Gibt es Auffälligkeiten, etwa unbekannte Benutzer, fremde Inhalte oder Umleitungen?
Wenn dir dabei etwas komisch vorkommt, melde dich lieber einmal zu viel als zu wenig. Spiel in dem Fall nicht einfach ein altes Backup zurück, sondern lass zuerst prüfen, was passiert ist. Sonst ist die Lücke danach noch immer da.
Und wenn du bei einer der Fragen keine Antwort hast, schauen wir uns deine Website gerne gemeinsam an. Ein kurzes Gespräch reicht oft schon, um zu klären, wo du stehst.
