Version nachsehen
Im Kundenbereich Ihres Hosters steht, mit welcher PHP-Version Ihre Seite läuft. Unter 8.2 gibt es kein offizielles Update.
PHP2Shell · CVE-2026-109618 · CVE-2026-109619
Am 21. Oktober kam das Update.
Für alte Seiten kommt keins.
Zwei kritische Lücken in PHP – der Sprache, in der WordPress, Joomla, TYPO3 und die meisten kleinen Webseiten laufen – erlauben es Fremden, ohne Anmeldung eigenen Code auf dem Server auszuführen. Für aktuelle PHP-Versionen gibt es das Update. Für die alten, auf denen viele Seiten noch laufen, gibt es keins.
Was passiert ist
Ein Update für die einen.
Eine offene Tür für die anderen.
Die Einzelheiten waren schon einen Tag vor dem Update im Netz, Sicherheitsfirmen melden erste Angriffsversuche. Das PHP-Projekt sagt dazu: Es gibt keine vollständige Abhilfe ausser dem Update. Ob Ihre Seite es bekommen kann, hängt allein an der PHP-Version, auf der sie läuft.
- Mangel: PHP 5.4 bis 7.3 Kein Update. Diese Versionen pflegt seit Jahren niemand mehr – die Lücke bleibt offen.
- Hinweis: PHP 7.4 bis 8.1 Kein offizielles Update, nur Korrekturen im Quelltext. Ob Ihr Hoster sie einspielt, entscheidet er.
- In Ordnung: PHP 8.2 bis 8.5 Geschlossen ab 8.2.35, 8.3.36, 8.4.27 und 8.5.12 – sobald jemand das Update einspielt.
Klartext
Bauen lassen kann man heute fast alles – auch von einer KI.
Wartbar, verwaltbar und sicher ist ein anderes Thema.
Eine KI baut Ihnen an einem Nachmittag eine Seite, die gut aussieht. Das ist kein Kunststück mehr, und dagegen ist nichts zu sagen.
Die Arbeit beginnt danach: Welche PHP-Version läuft? Wer spielt das Update vom 21. Oktober ein, und wer merkt, dass es fehlt? Wer sichert, wer stellt wieder her, wer ändert die Datenschutzerklärung, wenn ein Dienst dazukommt?
Das baut keine KI für Sie. Das ist Betrieb – und Betrieb braucht jemanden, der dafür geradesteht.
Warum alte Seiten festhängen
Das Update gibt es.
Ihre Seite verträgt es nicht.
Eine Seite, die seit Jahren keiner angefasst hat, läuft auf einem alten System, alten Erweiterungen und oft auf eigenem Code, der nur mit der alten PHP-Version funktioniert. Stellt der Hoster auf eine aktuelle Version um, steht die Seite weiss da – oder zeigt Fehlermeldungen, die mehr verraten, als sie sollten.
Also bleibt die alte Version, manchmal gegen Aufpreis. Seriös aktualisieren hiesse: System, Erweiterungen und Code anheben. Bei einer alten Seite ist das oft ein Neubau – nur ohne dessen Vorteile.
Wie wir umziehenIst PHP das Problem?
Keine Technik ist sicher.
Sicher ist, wer nachziehen kann.
Gerade erklären viele Videos, PHP sei von gestern – wer modern baue, nehme JavaScript. Nur: Im Dezember 2025 traf eine ebenso kritische Lücke React und Next.js, das Fundament vieler dieser modernen Seiten. Ihr Spitzname: React2Shell.
Wir setzen PHP ein und daneben andere Technik, je nachdem, was eine Aufgabe braucht. Jede davon hat Schwachstellen, und jede wird irgendwann eine neue haben. Die perfekte Technik gibt es nicht.
Die eigentliche Frage ist eine andere: Lässt sich das Update einspielen, sobald es erscheint – oder hängt die Seite an Erweiterungen und Abhängigkeiten, die es nicht vertragen? Das entscheidet nicht die Sprache, sondern wie eine Seite gebaut ist und ob sie jemand betreibt.
Was das System dahinter kannUmzug ohne Zugang
Ihren alten Webspace
brauchen wir nicht.
Was Ihre Seite kann, sieht jeder Besucher. Genau das übernehmen wir – und setzen es auf Technik, die heute aktuell ist und es bleibt.
-
Adresse schicken
Sie nennen uns die Adresse und erzählen kurz, was die Seite können muss. Zugangsdaten zum alten Webspace brauchen wir nicht.
-
Übernehmen, was da ist
Texte, Bilder, Seitenaufbau, Formulare, Öffnungszeiten, Kontaktdaten: Wir holen alles aus der öffentlichen Seite und ordnen es neu.
-
Auf aktueller Technik aufsetzen
Ihre Seite läuft danach auf unserem CMS, auf aktuellem PHP, auf Servern, die wir überwachen und sichern. Sie sehen sie, bevor sie live geht.
-
Umziehen und betreut bleiben
Die Domain zeigt auf die neue Seite, alte Adressen leiten weiter. Die nächste Lücke ist dann unsere Aufgabe, nicht Ihre.
Das Standardangebot
Gebaut, übergeben –
betreut allein gelassen.
So entstehen gerade viele Seiten: Jemand bedient ein KI-Werkzeug, es kommt etwas heraus, das gut aussieht, und am Ende gehört alles Ihnen – die Seite, das Hosting, die Pflichten. Nur Hilfe gibt es keine mehr.
-
Üblich Gebaut von jemandem, der KI-Werkzeuge bedient, aber nicht liest, was sie erzeugen.
Bei uns Gebaut und geprüft von Entwicklern, die seit 2008 Webseiten bauen und betreiben.
-
Üblich Das Hosting läuft auf Ihren Namen, beim günstigsten Anbieter, eingerichtet und vergessen.
Bei uns Ihre Seite läuft auf unserer Infrastruktur – überwacht, gesichert, aus einer Hand.
-
Üblich Sicherheitsupdates? Spielt keiner ein. Bis zur nächsten Lücke.
Bei uns Updates sind unsere Aufgabe, und wir spielen sie für alle Seiten zugleich ein.
-
Üblich Impressum, Datenschutz, Einwilligung: Ihr Problem – und Ihr Abmahnrisiko.
Bei uns Rechtstexte und Einwilligung sind im System eingebaut und werden gepflegt, wenn sich Pflichten ändern.
-
Üblich Nach der Übergabe geht keiner mehr ans Telefon.
Bei uns Ein Ansprechpartner, der erreichbar bleibt – auch beim nächsten Notfall.
Seit 2008
Wir betreiben die Seiten unserer Kunden mit.
Jetzt wissen alle, warum.
Seit 2008 betreuen wir Kunden mitsamt Hosting. Nicht, weil sich das besser verkauft, sondern weil eine Seite nach dem Start erst anfängt, Arbeit zu machen: Updates, Sicherungen, neue Pflichten, neue Lücken.
Und die kommen schneller. Mit KI werden Lücken schneller gefunden – von denen, die sie schliessen, und von denen, die sie ausnutzen. Wir rechnen damit, dass Meldungen wie diese in immer kürzeren Abständen kommen.
Eine Seite, um die sich keiner kümmert, hält das nicht aus. Deshalb sind Infrastruktur, Verwaltung und Service bei uns kein Zusatz, sondern das Angebot.
Was das CMS kannWas Sie heute tun können
Drei Schritte,
bevor Sie irgendwen beauftragen.
Hoster fragen
Fragen Sie, ob das Update vom 21. Oktober eingespielt ist. Läuft 8.2 oder neuer, ist das meist schnell erledigt.
Adresse schicken
Läuft Ihre Seite auf PHP 5 oder 7, oder weiss keiner mehr, wer sie betreut: Schicken Sie uns die Adresse. Wir sagen Ihnen, was zu tun ist.
Seite prüfen lassenHäufige Fragen
Ist meine Seite betroffen?
Wenn sie mit PHP läuft – das gilt für WordPress, Joomla, TYPO3, Contao und die meisten Seiten beim klassischen Webhoster –, ist sie es, bis das Update eingespielt ist. Läuft eine Version, für die es kein Update gibt, bleibt die Lücke offen.
Reicht es nicht, PHP einfach hochzustellen?
Bei einer gepflegten Seite ja. Bei einer alten bricht dabei oft etwas, weil Erweiterungen, Vorlagen oder eigener Code nur mit der alten Version laufen. Ob das bei Ihrer Seite so ist, steht im Befund.
Läuft Ihr System nicht auch mit PHP?
Doch – unter anderem, und natürlich in der neuesten Version. Der Unterschied ist nicht die Sprache, sondern dass jemand das Update einspielt: bei uns einmal für alle Seiten, nicht als Auftrag je Kunde.
Brauchen Sie Zugang zu meinem Webspace?
Für den ersten Befund nicht – in den meisten Fällen genügt uns die Adresse. Für den Umzug brauchen wir später Zugriff auf Ihre Domain, damit sie auf die neue Seite zeigt. Das richten wir gemeinsam ein, Passwörter schicken Sie uns nie per Mail.
Was kostet das?
Das hängt davon ab, was Ihre Seite können muss. Nach dem Befund bekommen Sie ein Angebot, das zu Ihrer Seite passt – eine Visitenkarte kostet bei uns nicht, was eine Plattform kostet. Realistisch gemessen an dem, was die Seite leistet.
Nächster Schritt
Bevor die nächste Lücke kommt:
Ihre Adresse.
Mehr brauchen wir für den ersten Blick nicht. Kein Zugang zum Webspace, keine Passwörter – nur die Adresse und zwei Sätze, was Sie stört.
Sie sprechen mit den Leuten, die Ihre Seite danach bauen und betreuen. Kein Vertrieb dazwischen.