PHP2Shell wird bereits ausgenutzt: Eine 30-Minuten-Checkliste, um sicherzugehen, dass Ihre WordPress-Website gepatcht ist

⏱ 7 min read

„Kein Modell ist einfach in der Lage, mit simplen Anweisungen ‚alle Fehler‘ aufzuspüren.“ Dieser Satz stammt von Calif, der Sicherheitsfirma, die die beiden Web-Lücken gefunden hat, die alle vergangene Woche gepatcht haben. Er erinnert an etwas Wichtiges: KI hat geholfen, aus einem alten Fund einen funktionierenden Angriff zu machen, aber die Lösung hängt immer noch an ganz normalen Menschen, die ganz normale Wartung erledigen. Wenn die Website Ihres Unternehmens mit WordPress läuft, sind Sie diese Woche dieser normale Mensch.

Hier ist eine ruhige Schritt-für-Schritt-Checkliste für Selbstständige, die keine Entwickler sind. Planen Sie etwa 30 Minuten ein und lassen Sie sich bei den technisch klingenden Teilen von einem KI-Assistenten helfen.

Was PHP2Shell ist, einfach erklärt

PHP ist die Programmiersprache, auf der WordPress und ein riesiger Teil des Webs aufgebaut sind. Laut dem TechCrunch-Bericht über die Lücken stützen sich rund 70 % des öffentlich erreichbaren Internets darauf. Am 21. Oktober 2026 machte die PHP Foundation zwei kritische Schwachstellen öffentlich, geführt als CVE-2026-109618 und CVE-2026-109619 (eine CVE ist einfach eine öffentliche Kennnummer für eine bekannte Sicherheitslücke), und veröffentlichte am selben Tag Patches (die offiziellen Hinweise stehen im PHP-Nachrichtenarchiv). Die US-Cybersicherheitsbehörde CISA gab gleichzeitig eine Warnung heraus.

Warum diese Lücke zählt: Sie erlaubt Codeausführung aus der Ferne ohne Passwort. Ein Fremder im Internet könnte also eigene Befehle auf Ihrem Webserver ausführen, ohne sich anzumelden und ohne dass Sie irgendetwas anklicken. Amazon entdeckte Angriffe etwa eine Woche vor den Patches, deshalb sollen Verteidiger nach Spuren ab dem 17. Oktober suchen.

Die gute Nachricht: WordPress selbst braucht dafür kein spezielles Plugin-Update. Die Korrektur liegt eine Ebene tiefer, in der PHP-Software Ihres Hosters. Ihre Aufgabe ist zu bestätigen, dass diese Ebene aktualisiert wurde, und dann zu prüfen, ob sich vorher etwas eingeschlichen hat.

Schritt 1: Klären Sie, wer für Ihr PHP zuständig ist

Diese eine Frage entscheidet, wie viel Arbeit bei Ihnen liegt.

• Verwaltetes WordPress-Hosting (Sie sehen nie einen Server, nur ein Dashboard): Ihr Hoster aktualisiert PHP für Sie. Ihre Aufgabe ist, sich das bestätigen zu lassen.
• Shared Hosting mit Control Panel wie cPanel: Meist patcht der Hoster PHP, aber eventuell wählen Sie die Version selbst in einem Bereich wie „Select PHP Version“ oder „MultiPHP“.
• Eigener Server oder VPS (ein virtueller privater Server, den Sie oder ein Freelancer eingerichtet haben): Niemand patcht ihn, solange niemand die Updates einspielt. Behandeln Sie das als dringend.

Unsicher, was Sie haben? Schauen Sie auf Ihre letzte Hosting-Rechnung. Steht dort „Managed WordPress“, gehören Sie zur ersten Gruppe.

Schritt 2: Lesen Sie Ihre PHP-Version ab, ohne Code anzufassen

Gehen Sie im WordPress-Dashboard zu Werkzeuge, dann Website-Zustand, dann Reiter Bericht, dann Server. Dort steht eine Zeile „PHP-Version“. Notieren Sie diese Nummer. Sie müssen sie nicht selbst deuten; Sie geben sie im nächsten Schritt an Ihren Hoster weiter.

Schritt 3: Stellen Sie Ihrem Hoster eine klare Frage (die KI schreibt die E-Mail)

Die meisten Hoster haben vergangene Woche einen Hinweis veröffentlicht, schauen Sie also zuerst auf deren Statusseite oder Blog. Finden Sie keine klare Antwort, schicken Sie eine kurze Support-Nachricht. Diesen Prompt können Sie in ChatGPT, Claude oder Gemini einfügen:

„Schreibe ein kurzes, höfliches Support-Ticket an meinen Webhoster. Meine WordPress-Website ist [Domain]. Der Website-Zustand zeigt PHP-Version [Nummer]. Bitte sie, schriftlich zu bestätigen, ob mein Server die am 21. Oktober 2026 veröffentlichten Patches der PHP Foundation für CVE-2026-109618 und CVE-2026-109619 hat und ob sie seit dem 17. Oktober Anzeichen einer Ausnutzung in meinem Konto gesehen haben.“

Verlangen Sie ein schriftliches Ja oder Nein. „Wir nehmen Sicherheit ernst“ ist keine Antwort. Legen Sie die Antwort bei Ihren Geschäftsunterlagen ab.

Betreiben Sie einen eigenen Server, ändert sich der Prompt: Lassen Sie sich von der KI für Ihre genaue Umgebung (zum Beispiel Ubuntu mit einer bestimmten PHP-Version) erklären, wie Sie die neuesten PHP-Sicherheitsupdates installieren und den Webserver neu starten. Gleichen Sie die Anleitung dann mit der Dokumentation Ihres Anbieters ab, bevor Sie etwas ausführen. KI-Assistenten können Befehle erfinden, und sie tun es. Deshalb empfiehlt unser Einsteigerleitfaden zu KI-Halluzinationen, alles zu prüfen, worauf Sie handeln wollen.

Schritt 4: Suchen Sie nach allem, was seit dem 17. Oktober hinzugekommen ist

Der Patch schließt die Tür. Er verrät nicht, ob vorher jemand hereingekommen ist. Nehmen Sie sich zehn Minuten für diese Prüfungen:

1. Benutzer: Öffnen Sie Benutzer, dann Alle Benutzer, und sortieren Sie nach Rolle. Jeder Administrator, den Sie nicht kennen, ist ein Warnsignal.
2. Plugins: Achten Sie auf Plugins, die Sie nie installiert haben, besonders mit vagen Namen oder ohne Beschreibung.
3. Jüngste Änderungen: Bietet Ihr Hoster einen Dateimanager, suchen Sie im Hauptordner nach Dateien, die ab dem 17. Oktober geändert wurden und die Sie nicht angefasst haben.
4. Ein kostenloser Scan: Ein Sicherheits-Plugin wie Wordfence oder der kostenlose Scanner von Sucuri vergleicht Ihre Kerndateien mit sauberen Kopien und markiert Abweichungen.
5. Ihre Website im privaten Fenster: Besuchen Sie Startseite und Kontaktseite, ohne angemeldet zu sein. Unerwartete Weiterleitungen oder seltsame Pop-ups sind ein klassisches Zeichen für Manipulation.

Wirkt etwas merkwürdig, halten Sie inne und kontaktieren Sie Ihren Hoster, bevor Sie etwas löschen. Viele Hoster spielen bei einem solchen Ereignis kostenlos ein sauberes Backup von vor dem 17. Oktober ein.

Schritt 5: Lassen Sie die KI die beängstigenden Teile lesen, mit Vorsicht

Sicherheitsscans und Serverprotokolle sind für Techniker geschrieben. Hier hilft ein Assistent wirklich. Fügen Sie die Zusammenfassung eines Scans in Ihren Chatbot ein und fragen Sie: „Erkläre jede Warnung in einfachen Worten, ordne sie nach Dringlichkeit und sag mir, welche ich meinem Hoster melden sollte.“

Zwei Regeln halten das sicher:

• Entfernen Sie Geheimnisse vor dem Einfügen. Löschen Sie Passwörter, Datenbanknamen, API-Schlüssel und Kunden-E-Mail-Adressen aus allem, was Sie teilen.
• Behandeln Sie die Antwort als Übersetzung, nicht als Urteil. Die KI kann Ihnen sagen, was eine Warnung bedeutet. Nur Ihr Hoster oder ein Sicherheitsprofi kann bestätigen, ob Ihre Seite wirklich kompromittiert ist.

Schritt 6: Tauschen Sie die Schlüssel, auch wenn alles sauber aussieht

Da die Angriffe begannen, bevor jemand von den Lücken wusste, lohnt es sich, Ihre Zugangsdaten vorsorglich zu erneuern:

• Ihr WordPress-Administratorpasswort und das aller anderen Kontoinhaber.
• Anwendungspasswörter (unter Benutzer, dann Profil), mit denen Tools und Automatisierungen auf Ihrer Seite veröffentlichen. Widerrufen Sie alle, die Sie nicht mehr nutzen.
• Das Passwort Ihres Hosting-Kontos und, falls vorhanden, Ihr FTP- oder SFTP-Passwort.
• Alle in Plugins gespeicherten API-Schlüssel, etwa für Zahlungen, E-Mail-Marketing oder KI-Schreib-Plugins.

Aktivieren Sie bei der Gelegenheit die Zwei-Faktor-Anmeldung für Ihr Hosting-Konto. Das dauert fünf Minuten und blockiert den häufigsten Folgeangriff.

Schritt 7: Sorgen Sie dafür, dass der nächste Fall langweilig wird

PHP2Shell wird nicht die letzte große Web-Lücke sein, und KI hilft Angreifern, bekannte Schwachstellen schneller in funktionierende Angriffe zu verwandeln. Ein paar Gewohnheiten machen aus dem nächsten Notfall ein Nicht-Ereignis:

• Automatische tägliche Backups, gespeichert außerhalb Ihres Servers, mit mindestens zwei Wochen Verlauf.
• Automatische kleinere Updates für den WordPress-Kern und vertrauenswürdige Plugins.
• Ein einzeiliger Sicherheitsabschnitt in Ihrer KI-Richtlinie, der festlegt, was in Chatbots eingefügt werden darf und was nicht. Unsere schnellen Tipps für eine einseitige KI-Richtlinie zeigen, wie Sie sie an einem Nachmittag schreiben.
• Ein gespeicherter Prompt, der jede Sicherheitsschlagzeile in „Was bedeutet das für meine Website, und was frage ich meinen Hoster?“ übersetzt.

Ihre Website ist Ihr Schaufenster, und zunehmend ist sie auch das, was KI-Assistenten lesen, wenn Kunden sie um eine Empfehlung bitten. Eine gehackte Seite kann still aus diesen Antworten verschwinden. Ein Grund mehr, sie gesund zu halten, wie wir in wie Selbstständige von KI empfohlen werden beschrieben haben.

Ihre 30-Minuten-Zusammenfassung

Prüfen Sie Ihre PHP-Version im Website-Zustand. Holen Sie sich ein schriftliches Ja Ihres Hosters zu den Patches vom 21. Oktober. Suchen Sie nach neuen Administratoren, unbekannten Plugins und seltsamen Weiterleitungen seit dem 17. Oktober. Erneuern Sie Passwörter und Anwendungspasswörter. Schalten Sie Backups und Zwei-Faktor-Anmeldung ein. Fertig.

Hat Ihr Hoster schon geantwortet? Schreiben Sie in die Kommentare, wie schnell und was er gesagt hat. So wissen andere Selbstständige, wie eine gute Antwort aussieht.

Weiterlesen

• Was ist eine KI-Halluzination? Ein Einsteigerleitfaden, um erfundene Fakten zu erkennen
• Nur 23 % der Kleinunternehmen haben eine KI-Richtlinie. 9 schnelle Tipps für Ihre eigene
• 45 % der Kunden lassen sich lokale Betriebe inzwischen von KI empfehlen
• 5 Regeln, bevor Sie einem KI-Agenten ein Konto geben