Aktuelle Sicherheitslücken: Ist Ihre Website betroffen?
Über PHP2Shell, wp2shell und React2Shell wird gerade viel berichtet. Hier steht, ob Ihre Website betroffen sein kann. Fragen Sie Ihren Hoster oder Betreuer, ob die Sicherheitsupdates der letzten Wochen eingespielt sind, oder prüfen Sie Ihre Website hier kostenlos. Stand: .
- Verschlüsselunghttps aktiv
- Software und Servergeht besser
- Handysollte man sich ansehen
- Ladezeitgeht besser
- Googlegeht besser
- Impressum, DatenschutzLinks gefunden
- Aktualitätgeht besser
Kurz vorab
- Betrifft Sie das? Das hängt davon ab, welche Software auf Ihrem Server läuft und ob die Updates der letzten Wochen eingespielt sind. Meist klärt das eine kurze Rückfrage beim Hoster oder bei dem, der Ihre Seite betreut.
- Die meisten Websites laufen mit PHP, auch WordPress, Joomla und TYPO3. Für PHP gibt es seit dem 21. Oktober 2026 dringende Sicherheitsupdates, das BSI rät, sie sofort einzuspielen.
- WordPress hatte 2026 mehrere schwere Lücken, einige wurden aktiv ausgenutzt. Auf dem aktuellen Stand ist eine Seite nur, wenn die Updates auch angekommen sind.
- Wix, Jimdo und Shopify betreiben Server und Software selbst. Die Meldungen betreffen vor allem Websites auf eigenem Webspace, etwa mit WordPress.
- Der kostenlose Check oben zeigt, was Ihre Startseite von außen verrät. Gewissheit gibt nur ein Blick in Server und Verwaltung.
Wenn sich schon jemand um Ihre Website kümmert
Dann ist das Ihr erster Ansprechpartner. Diese Fragen helfen:
- Welche PHP-Version läuft auf dem Server, und sind die Updates vom 21. Oktober 2026 eingespielt?
- Sind WordPress und alle Erweiterungen auf dem aktuellen Stand?
- Gibt es eine aktuelle Sicherung, und wie schnell ist die Seite im Notfall wieder da?
- Wer spielt künftig Updates ein, und wie schnell nach einer Warnung?
Bekommen Sie keine klare Antwort, oder kümmert sich niemand mehr um die Seite, übernehmen wir das gern. In der Pflege sind Updates, Sicherungen und Hosting enthalten, ab 49 € im Monat (ohne Umsatzsteuer, § 19 UStG) und monatlich kündbar. Beim Umzug nehmen wir Ihre Inhalte mit und ziehen die Domain um, sobald der bisherige Anbieter sie freigibt.
Bei Websites in unserer Pflege spielen wir Sicherheitsupdates zeitnah ein. Macht ein Update Probleme oder fehlt die Lizenz für eine Erweiterung, melden wir uns bei Ihnen.
Ist meine Website betroffen? So prüfen Sie es kostenlos
Website-Check machen
Oben auf dieser Seite. Er zeigt meist nach etwa 20 Sekunden, was Ihre Startseite von außen verrät, etwa einen veralteten WordPress-Kern oder eine alte PHP-Version.
WordPress-Version und Plugins prüfen
Melden Sie sich in WordPress an und öffnen Sie „Dashboard“, „Aktualisierungen“. Dort stehen WordPress selbst und alle Erweiterungen (Plugins), für die es Updates gibt.
PHP-Version prüfen
In WordPress unter „Werkzeuge“, „Website-Zustand“, „Bericht“, Bereich „Server“. Bei Hostern mit Plesk oder cPanel steht die Version in den PHP-Einstellungen. Wichtig ist nicht nur die Versionsnummer, sondern ob der Hoster die Updates vom 21. Oktober 2026 eingespielt hat. Das beantwortet am schnellsten der Hoster selbst.
Die aktuellen Lücken im Überblick
PHP2Shell: Sicherheitslücke in PHP (Oktober 2026)
PHP ist die Software, auf der die meisten Websites laufen, auch WordPress, Joomla, TYPO3 und viele Shops. Darin wurden zwei schwere Fehler gefunden. Fremde könnten darüber eine Website übernehmen, ohne ein Passwort zu kennen. Das BSI hat am 21. Oktober 2026 gewarnt und rät, die Updates sofort einzuspielen.
Fragen Sie Ihren Hoster oder Betreuer, ob PHP seit dem 21. Oktober 2026 aktualisiert wurde. Läuft Ihre Seite noch mit PHP 8.1 oder älter, sollte sie auf eine aktuelle Version umziehen.
Für Techniker: Versionen und Quellen
- Lücken
- CVE-2026-109618 und CVE-2026-109619, Ausführung von Code ohne Anmeldung. Laut BSI sind alle PHP-Installationen betroffen, die Webanfragen verarbeiten, zurück bis mindestens PHP 5.
- Behoben in
- PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (21.10.2026). PHP 8.1 und älter bekommen keine regulären Updates mehr. PHP 8.2 wird nur noch bis 31.12.2026 gepflegt.
- Ausgenutzt?
- Stand der BSI-Warnung vom 22.10.2026: keine bestätigte Ausnutzung, aber unbestätigte Berichte über fertige Angriffsprogramme. Das BSI erwartet, dass Angreifer schnell nachziehen.
- Zuständig
- Das Sicherheitsupdate innerhalb einer PHP-Version spielt der Hoster ein. Die Version selbst lässt sich bei vielen Hostern im Kundenbereich umstellen.
- Der Check
- Erkennt veraltete PHP-Versionen, wenn der Server seine Version mitteilt. Viele Hoster blenden sie aus. Manche pflegen Sicherheitskorrekturen in ältere Versionen ein, dann sagt die Versionsnummer allein nicht alles.
WordPress-Sicherheitslücken 2026: wp2shell und weitere
Im Juli 2026 wurde unter dem Namen wp2shell eine schwere Lücke in WordPress selbst bekannt. Sie betraf auch Seiten ganz ohne Plugins. Seitdem gab es sechs Sicherheitsupdates für WordPress, zuletzt Version 7.1.3 am 6. Oktober 2026. Mehrere der Lücken wurden laut der US-Cybersicherheitsbehörde CISA aktiv ausgenutzt.
Prüfen Sie, ob Ihre WordPress-Seite auf dem aktuellen Stand ist (wie, steht weiter unten). Automatische Updates helfen, aber nur, wenn sie nicht abgeschaltet sind.
Für Techniker: Versionen und Quellen
- Lücken
- wp2shell: CVE-2026-63030 und CVE-2026-60137 (Juli 2026). Lokale Dateieinbindung bis zur Codeausführung: CVE-2026-87902 (September 2026).
- Behoben in
- wp2shell in 7.0.2 (17.7.2026, für Seiten mit aktiven automatischen Updates automatisch verteilt), dazu 6.9.5 und 6.8.6. CVE-2026-87902 in 7.1.2 (22.9.2026). Stand 26.10.2026 ist 7.1.3 vom 6.10.2026 aktuell.
- Ausgenutzt?
- Ja. Die CISA führt CVE-2026-63030, CVE-2026-60137 und CVE-2026-87902 als aktiv ausgenutzt.
- Der Check
- Erkennt einen veralteten WordPress-Kern, wenn die Seite ihre Version verrät. Abgleich mit der offiziellen Liste von wordpress.org. Erweiterungen aus dem offiziellen Verzeichnis prüft er auf Updates.
Elementor Pro: Lücke im Seitenbaukasten (August 2026)
Elementor Pro ist ein verbreiteter Seitenbaukasten für WordPress. Über Formulare mit Datei-Upload konnten Fremde ohne Anmeldung Dateien auf den Server laden und so die Seite übernehmen. Laut der Sicherheitsfirma Wordfence gab es in wenigen Tagen über 190.000 Angriffsversuche.
Nutzt Ihre Seite Elementor Pro, muss mindestens Version 4.2.2 installiert sein. Bei Erweiterungen werden laufend neue Lücken bekannt, meist zusammen mit einem Update. Entscheidend ist, dass es eingespielt wird.
Für Techniker: Versionen und Quellen
- Lücke
- CVE-2026-32475, Datei-Upload ohne Anmeldung. Betrifft Elementor Pro bis 4.2.1, wenn ein Formular mit Datei-Upload-Feld veröffentlicht ist.
- Behoben in
- Elementor Pro 4.2.2 (19.8.2026).
- Ausgenutzt?
- Ja, laut Wordfence über 190.000 abgewehrte Versuche vom 19. bis 23.8.2026.
- Der Check
- Nur eingeschränkt. Kostenpflichtige Erweiterungen stehen nicht im offiziellen Verzeichnis, ihre Version ist von außen oft nicht sicher zu lesen.
- Quellen
- BleepingComputer, Borns IT-Blog
React2Shell und Next.js: für individuell programmierte Seiten
React2Shell war Ende 2025 eine der schwersten Lücken des Jahres. Sie betrifft Websites, die mit dem Werkzeug Next.js programmiert wurden, nicht WordPress und keine Baukästen. Seitdem erscheinen für Next.js regelmäßig Sicherheitsupdates, zuletzt am 14. Oktober 2026.
Wurde Ihre Seite von einer Agentur individuell programmiert, fragen Sie dort nach, ob das Update vom 14. Oktober 2026 eingespielt ist.
Für Techniker: Versionen und Quellen
- Lücken
- React2Shell: CVE-2025-55182 (Next.js: CVE-2025-66478), App Router mit React Server Components. Oktober 2026: zwei kritische Lücken (use cache, Bildoptimierung mit SVG) und eine hohe (Server Actions).
- Behoben in
- Stand 26.10.2026: Next.js 16.4.1 und 15.5.28 (14.10.2026). Danach muss die Seite neu gebaut und veröffentlicht werden.
- Ausgenutzt?
- React2Shell: ja, die CISA führt die Lücke seit Dezember 2025 als aktiv ausgenutzt.
- Der Check
- Erkennt, ob eine Seite Next.js mit Server Components nutzt, und weist darauf hin. Die genaue Version verrät Next.js von außen meist nicht.
Was jetzt zu tun ist
- Sichern Sie Dateien und Datenbank, bevor Sie etwas aktualisieren.
- Aktualisieren Sie PHP über den Hoster, danach WordPress, Erweiterungen und Designvorlage (Theme). Erweiterungen, die nicht mehr gepflegt werden, ersetzen oder entfernen Sie.
- Prüfen Sie danach, ob Formulare, Shop und Kontaktseite noch funktionieren.
Leitet Ihre Seite plötzlich auf fremde Seiten weiter oder zeigt sie Werbung, die Sie nicht eingestellt haben, holen Sie sich Hilfe.
Ein Update schließt die Lücke, entfernt aber nichts, was vorher eingeschleust wurde. Waren Kundendaten betroffen, kann eine Meldepflicht bei der Datenschutzbehörde bestehen. Sprechen Sie das mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung ab.
Das ist eine allgemeine Information, keine Beratung für Ihre Seite. Änderungen an Ihrer Website nehmen Sie in eigener Verantwortung vor. Wenn Sie unsicher sind, fragen Sie Ihren Hoster oder uns.
Was der kostenlose Check leisten kann
Der Check sieht nur, was Ihre Startseite jedem Besucher zeigt, und greift nichts an. Ein gutes Ergebnis heißt deshalb nicht, dass Ihre Seite sicher ist, und ein markierter Punkt nicht, dass sie angegriffen wurde. Für Seiten in unserer Pflege prüfen wir auch Unterseiten, Erweiterungen, Server-Einstellungen, Benutzerkonten und Sicherungen. Mehr unter Was der Check nicht kann.
Häufige Fragen
Was bedeutet „2Shell“ im Namen?
Der Zusatz steht für die schwerste Art von Lücke: Fremde können damit eine Website steuern wie ein Administrator, ohne Passwort.
Betrifft das auch Wix, Jimdo oder Shopify?
Bei Baukästen und Shopsystemen, die der Anbieter selbst betreibt, kümmert sich der Anbieter um Server und Software. Ihre Zugangsdaten, selbst eingebundene Zusatz-Apps und Inhalte bleiben Ihre Aufgabe.
Meine Seite ist klein. Lohnt sich ein Angriff überhaupt?
Solche Lücken werden meist automatisch ausgenutzt: Programme durchsuchen das Internet nach angreifbaren Seiten, egal wem sie gehören. Übernommene Seiten werden dann oft für Spam oder Schadsoftware missbraucht.
Ich habe die Updates schon eingespielt. Muss ich noch etwas tun?
Wenn die Seite vorher angreifbar war, lohnt ein Blick auf unbekannte Administrator-Konten, fremde Erweiterungen und geänderte Dateien. Ein Update entfernt nichts, was vorher eingeschleust wurde.
Was kostet es, wenn Sie das übernehmen?
Die Pflege mit Updates, Sicherungen und Hosting gibt es ab 49 € im Monat, ohne Umsatzsteuer (§ 19 UStG), monatlich kündbar. Was an Ihrer Seite zu tun ist, besprechen wir vorher mit Ihnen.
Seite prüfen lassen
Schicken Sie uns die Adresse Ihrer Website per WhatsApp. Wir sagen Ihnen, was wir sehen und was zu tun ist.
Lieber zurückgerufen werden? Schreiben Sie uns per WhatsApp, wann es Ihnen passt.
- Telefon und WhatsApp
- 0151 47342871
- [email protected]
- Region
- Heidekreis, Celle und Uelzen