Autohaus-Websites22. Oktober 2026· 12 Min.

php2shell: Die kritische PHP-Lücke, die jetzt WordPress-Websites von Autohäusern bedroht

BSI-Warnstufe Orange: Die PHP-Lücke php2shell macht ungepatchte WordPress-Websites angreifbar. Was dahinter steckt, wie Sie Ihre Autohaus-Website prüfen und warum wir den Umzug empfehlen.

Tobias Müller

Geschäftsführer (Marketing & Operations)

Gerissenes Sicherheitsschild mit Warnsymbol, offenes Vorhängeschloss und Browserfenster mit Code vor einem Fahrzeug im Autohaus-Showroom

Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht, die unter dem Namen php2shell bekannt geworden sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt mit der Warnstufe 3 (Orange) und rät im Zweifel sogar dazu, Webserver vorübergehend vom Netz zu nehmen. Behörden, Universitäten und Krankenhäuser haben genau das getan.

Für Autohäuser ist das eine akute Gefahr. WordPress läuft auf PHP, und damit ist praktisch jede WordPress-Website eines Autohauses betroffen, solange der Server nicht aktualisiert wurde. In diesem Beitrag erklären wir verständlich, was hinter php2shell steckt, wie Sie in wenigen Minuten prüfen, ob Ihre Website sicher ist, und warum wir unseren Kunden nach einem Jahr voller Sicherheitslücken zum Umzug auf eine moderne Website raten.

Das Wichtigste in Kürze

Was ist passiert? Zwei kritische Lücken in PHP (CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 9,2 von 10) erlauben es Angreifern, ohne Login Schadcode auf Webservern auszuführen.
Wer ist betroffen? Jede Website, die auf einer ungepatchten PHP-Version läuft. Dazu gehören WordPress, Joomla, Drupal und TYPO3. PHP läuft laut W3Techs auf 69,3 Prozent aller Websites mit bekannter Serversprache.
Wird die Lücke ausgenutzt? Ja. Amazon beobachtete einen ersten Angriffsversuch schon vier Tage vor der Veröffentlichung, Cloudflare und watchTowr melden weitere Angriffe.
Hilft ein WordPress-Update? Nein. Laut WordPress.org ist kein WordPress-Update nötig oder geplant. Sicher ist nur, wer PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 nutzt.
Unsere Empfehlung: Heute noch beim Hoster prüfen lassen. Mittelfristig raus aus WordPress und PHP und auf eine moderne Website umziehen, die von php2shell gar nicht betroffen ist.

Animierte Grafik: php2shell in Zahlen mit CVSS 9,2 von 10, 69,3 Prozent der Websites auf PHP, über 10 Jahre alter Fehler und kein Login nötig — php2shell in Zahlen.

Was ist php2shell? Die PHP-Sicherheitslücke einfach erklärt

PHP ist die Programmiersprache, mit der ein Großteil des Internets läuft. Jedes Mal, wenn jemand Ihre WordPress-Website aufruft, arbeitet im Hintergrund PHP und baut die Seite zusammen. Genau in diesem Fundament haben Forscher von Wiz Research gleich mehrere schwere Fehler gefunden.

Vereinfacht gesagt: Wenn PHP während einer Anfrage der Arbeitsspeicher ausgeht, räumt es danach nicht sauber auf. Mit gezielt präparierten Anfragen können Angreifer diesen Zustand ausnutzen und eigenen Programmcode auf dem Server ausführen. Fachleute nennen das Remote Code Execution. Zusätzlich lässt sich Arbeitsspeicher auslesen, in dem Passwörter, Zugangsschlüssel und Daten anderer Besucher stecken können.

Drei Punkte machen php2shell so gefährlich:

Kein Login nötig: Angreifer brauchen weder Benutzername noch Passwort. Ein präparierter Aufruf aus dem Internet reicht.
Uralter Fehler: Laut Wiz steckt der fehlerhafte Code seit mehr als zehn Jahren in PHP. Betroffen sind alle Versionen ab PHP 5.4.
WordPress direkt betroffen: Wiz hat die Übernahme ohne Login an aktuellen WordPress-, Drupal- und Joomla-Installationen demonstriert. Laut Wiz kann sogar eine einfache PHP-Seite angreifbar sein.

Bemerkenswert: Laut Wiz hat Künstliche Intelligenz die Entdeckung und die Entwicklung des Angriffs massiv beschleunigt. Was früher ein Team Monate gekostet hätte, schaffte ein einzelner Forscher in einer Woche. Das gilt leider auch für Angreifer.

Warum WordPress-Websites betroffen sind, obwohl WordPress keinen Fehler hat

WordPress selbst ist diesmal nicht schuld. WordPress.org stellt am 21. Oktober 2026 klar, dass kein WordPress-Update nötig oder geplant ist. Das Problem liegt eine Ebene tiefer, auf dem Server. Und genau das macht es für viele Autohäuser tückisch:

Ein Klick auf "Aktualisieren" im WordPress-Dashboard hilft nicht.
Ob Ihre Website sicher ist, hängt allein davon ab, ob Ihr Hoster PHP aktualisiert hat.
Viele Websites laufen noch auf alten PHP-Versionen. Laut W3Techs nutzt rund ein Drittel aller PHP-Websites noch PHP 7 oder älter. Für PHP 8.1 und älter gibt es vom PHP-Projekt keine regulären Updates mehr, für PHP 5.4 bis 7.3 überhaupt keinen Fix.

Wie gefährlich ist die Lage?

Sehr gefährlich. Die Ereignisse der letzten Tage im Überblick:

17. Oktober: Amazon Threat Intelligence registriert laut Tenable einen ersten Angriffsversuch auf seine Köder-Server, vier Tage vor der offiziellen Veröffentlichung.
20. Oktober: Das PHP-Projekt kündigt ein kritisches Sicherheitsupdate an. Die Kennungen der Lücken sickern vorab durch.
21. Oktober, 03:02 Uhr UTC: Cloudflare schaltet Schutzregeln für alle Kunden scharf und beobachtet bereits Angriffe.
21. Oktober, 16 Uhr deutscher Zeit: PHP veröffentlicht die korrigierten Versionen. Das BSI warnt mit Warnstufe 3 (Orange) und empfiehlt, Webserver im Zweifel vorübergehend vom Internet zu trennen.
21. Oktober, abends: Laut dpa haben mehrere Bundesländer, Kommunen, Universitäten und Krankenhäuser ihre Websites vorsorglich vom Netz genommen, darunter die Charité, die Universität Potsdam und die Stadt Mainz.
22. Oktober: Laut Tenable wird die Lücke inzwischen breit ausgenutzt. Sicherheitsforscher schätzen die Zahl potenziell verwundbarer, direkt im Internet erreichbarer Server auf über 1,3 Millionen.

Welche PHP-Versionen sind sicher?

Geschlossen ist php2shell nur in diesen Versionen:

PHP 8.5.12 oder neuer (Sicherheitsupdates bis Ende 2029)
PHP 8.4.27 oder neuer (bis Ende 2028)
PHP 8.3.36 oder neuer (bis Ende 2027)
PHP 8.2.35 oder neuer (nur noch bis 31. Dezember 2026)

Für PHP 7.4 bis 8.1 gibt es lediglich minimale Quellcode-Korrekturen, die Ihr Hoster selbst einbauen müsste. PHP 5.4 bis 7.3 bleibt ungeschützt. Wer eine solche Version nutzt, sollte umgehend auf mindestens PHP 8.3 wechseln, besser 8.4 oder 8.5.

Sofort-Check: So prüfen Sie Ihre Autohaus-Website

Wenn Ihre Website auf WordPress oder einem anderen PHP-System läuft, gehen Sie diese Punkte heute noch durch:

PHP-Version prüfen: Im WordPress-Dashboard unter "Werkzeuge", "Website-Zustand", "Bericht" und "Server". Achtung: Viele Hosting-Oberflächen zeigen nur "8.3" an, nicht die genaue Unterversion.
Hoster kontaktieren: Fragen Sie schriftlich, ob die PHP-Updates vom 21. Oktober 2026 eingespielt sind. Bei Shared und Managed Hosting ist das Aufgabe des Hosters, bei einem eigenen Server oder VPS Ihre oder die Ihres Dienstleisters.
Alte PHP-Versionen ersetzen: Läuft Ihre Website auf PHP 8.1 oder älter, muss gewechselt werden. Testen Sie Theme und Plugins vorher auf einer Kopie der Website.
Cloudflare als Übergangslösung: Läuft Ihre Website über Cloudflare, blockieren Schutzregeln bekannte Angriffe, auch im kostenlosen Tarif. Ein Ersatz für das Update ist das ausdrücklich nicht.
Auf Angriffsspuren achten: Wiz nennt als Warnsignale gehäufte Fehler mit dem HTTP-Status 500 und Meldungen zu erschöpftem Arbeitsspeicher ("memory limit exhausted") im Fehlerprotokoll.
Passwörter und Schlüssel erneuern: Wenn Ihre Website angreifbar war, ändern Sie nach dem Update alle Passwörter und tauschen Sie API-Schlüssel aus, etwa für mobile.de, Ihr DMS oder Ihre Formular-Dienste.
Geräte im Autohaus nicht vergessen: Auch NAS-Speicher, Router und Firewalls nutzen oft PHP für ihre Verwaltungsoberfläche, etwa von Synology, QNAP, DrayTek, Zyxel oder pfSense. Spielen Sie Firmware-Updates ein, sobald sie verfügbar sind, und machen Sie diese Oberflächen nicht aus dem Internet erreichbar.

Sie wissen nicht, ob Ihre Website betroffen ist?

Wir prüfen Ihre Autohaus-Website kostenlos auf php2shell und die weiteren Sicherheitslücken dieses Jahres und sagen Ihnen klar, was zu tun ist. Ohne Verkaufsdruck.

Jetzt kostenlosen Website-Check vereinbaren

Nicht die erste Lücke: 2026 ist ein Rekordjahr für WordPress-Angriffe

php2shell ist der vorläufige Höhepunkt einer ganzen Serie. Seit Juli folgt eine kritische Lücke auf die nächste:

Animierte Zeitleiste der kritischen WordPress-Sicherheitslücken 2026 von wp2shell im Juli bis php2shell am 21. Oktober — Die kritischen Sicherheitslücken rund um WordPress im Jahr 2026.

Juli, wp2shell: Zwei Lücken im WordPress-Kern (CVE-2026-63030 und CVE-2026-60137) erlaubten die Übernahme ohne Login. WordPress verteilte das Update auf Version 7.0.2 zwangsweise, trotzdem zählte watchTowr zehntausende Angriffsversuche und über 100 heimlich angelegte Administrator-Konten.
August, Elementor Pro: Über Formulare mit Datei-Upload ließ sich Schadcode einschleusen (CVE-2026-32475). Betroffen war ein Plugin mit mehr als 6 Millionen Installationen. Die Angriffe begannen am Tag des Updates.
September, CVE-2026-87902: Eine kritische Lücke steckte in allen WordPress-Versionen von 4.7 bis 7.1.1, also seit 2016. Erste Angriffsversuche kamen weniger als fünf Stunden nach dem Update, die US-Behörde CISA stuft sie als aktiv ausgenutzt ein.
Oktober, Bricksforge: Eine Lücke mit der Höchstwertung CVSS 10,0 im Plugin Bricksforge erlaubte das Hochladen von Schadcode ohne Login und wurde seit dem 7. Oktober ausgenutzt.
Oktober, Rank Math PRO: Angreifer schleusten Schadcode in ein offizielles Update des SEO-Plugins ein. Wer Version 3.0.123 am 15. oder 16. Oktober installiert hat, muss seine Website als kompromittiert betrachten.
21. Oktober, php2shell: Die kritischen Lücken in PHP selbst, die jede ungepatchte WordPress-Website angreifbar machen.

Das Muster ist immer gleich: Zwischen Bekanntwerden und ersten Angriffen liegen nur noch Stunden, bei php2shell begannen die Angriffe sogar vor dem Update. Laut Wordfence wurden allein im zweiten Quartal 2026 rund 573.000 WordPress-Websites kompromittiert.

Wie viele Websites sind betroffen?

Sehr viele. PHP läuft laut W3Techs (Stand: 22. Oktober 2026) auf 69,3 Prozent aller Websites mit bekannter Serversprache, WordPress allein auf 39,6 Prozent aller Websites weltweit. Wiz spricht davon, dass php2shell rund 70 Prozent des Internets betrifft. Laut dpa schätzen Experten allein die Zahl der WordPress-Websites weltweit auf 400 bis 500 Millionen.

Auch unter Autohaus-Websites ist WordPress weit verbreitet, meist mit vielen Plugins parallel: ein Fahrzeug-Plugin für den Bestand, ein Page Builder, Formular-Erweiterungen, Slider, Cookie-Banner, Bewertungs-Widgets und ein SEO-Plugin. Jedes davon ist ein zusätzliches Einfallstor, und alle zusammen hängen an PHP.

Warum gerade Autohaus-Websites ein lohnendes Ziel sind

Angreifer suchen nicht gezielt nach Autohäusern. Sie scannen automatisiert das gesamte Internet nach verwundbaren Servern. Getroffen wird, wer offen ist. Für Autohäuser sind die Folgen aber besonders teuer:

Personenbezogene Daten: Über Ankauf-, Finanzierungs- und Werkstattformulare landen Namen, Telefonnummern, E-Mail-Adressen und teilweise Fahrzeugscheine auf Ihrem Server. Bei php2shell kann zudem der Arbeitsspeicher mit Daten anderer Besucher ausgelesen werden. Kommt es zu einer Datenpanne, müssen Sie diese nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde melden.
Verlorene Anfragen: Eine gehackte oder vorsorglich abgeschaltete Website bringt keine Anfragen. Jeder Interessent, der Sie nicht erreicht, landet im Zweifel beim Wettbewerber oder auf mobile.de.
Werbung steht still: Google und Meta können Anzeigen ablehnen, die auf kompromittierte Seiten führen. Ihre Kampagnen für Fahrzeugverkauf und Ankauf laufen dann ins Leere.
Vertrauensverlust: Kunden, die auf Ihrer Website eine Warnmeldung sehen, kommen selten wieder.

Warum Updates allein das Problem nicht lösen

Updates sind Pflicht, aber sie sind nur die halbe Antwort. Das Jahr 2026 zeigt ein strukturelles Problem:

Das Zeitfenster ist weg. Bei php2shell begannen die Angriffe vor dem Update. Selbst wer sofort reagiert, ist im Zweifel schon zu spät.
Sie hängen von anderen ab. Ob Ihre Website sicher ist, entscheiden Ihr Hoster, die Hersteller von Theme und Plugins und das WordPress-Team, jeweils mit eigenem Tempo.
Viele Lücken werden nie geschlossen. Laut Patchstack erhält rund ein Drittel der Schwachstellen im WordPress-Ökosystem überhaupt keinen Patch. Mehr als 60 Prozent der Angriffe nutzen Lücken aus, für die es ein Update gäbe, das aber nicht eingespielt wurde.
Auch Updates können gefährlich sein. Der Fall Rank Math PRO zeigt: Selbst wer brav aktualisiert, kann sich mit einem manipulierten Update Schadcode einfangen.
Bei jedem Seitenaufruf läuft Programmcode. WordPress führt bei jedem Besuch PHP-Code aus und fragt die Datenbank ab. Genau diese Angriffsfläche nutzen php2shell, wp2shell und Co.

Unsere Empfehlung: Umziehen auf eine moderne Website

Wir sagen es deutlich: Für die meisten Autohäuser ist eine klassische WordPress-Website mit vielen Plugins heute nicht mehr die beste Wahl. Wir empfehlen, auf eine moderne Website umzuziehen, deren Seiten vorab erzeugt und als fertige Dateien ausgeliefert werden.

Animierter Vergleich der Angriffsfläche: WordPress-Website mit sechs Angriffspunkten gegenüber moderner Website ohne PHP, Datenbank und Login — Angriffsfläche im Vergleich: klassische WordPress-Website und moderne Website.

Was das in der Praxis bedeutet:

Von php2shell nicht betroffen: Vorab erzeugte Websites führen beim Seitenaufruf kein PHP aus. Eine PHP-Lücke läuft ins Leere.
Kein öffentlicher WordPress-Login: Es gibt keine Admin-Oberfläche, die Angreifer aus dem Internet erreichen können.
Keine Plugin-Landschaft: Keine Dutzenden Erweiterungen fremder Hersteller, die jeweils eigene Lücken oder manipulierte Updates mitbringen können.
Schnellere Ladezeiten: Fertige Seiten laden spürbar schneller. Das verbessert die Core Web Vitals und hilft beim Ranking in Google und in KI-Suchen.
Weniger Wartungsaufwand: Statt laufend Server, Kern, Theme und Plugins zu aktualisieren, gibt es deutlich weniger bewegliche Teile.

Zur Einordnung: Kein System ist zu hundert Prozent sicher, und auch eine moderne Website braucht Betreuung. Die Angriffsfläche ist aber um ein Vielfaches kleiner, und genau darauf kommt es an, wenn Angriffe schon vor dem Update beginnen.

Was beim Umzug erhalten bleibt

Die größte Sorge vieler Autohäuser beim Wechsel ist der Verlust von Google-Rankings und Anfragen. Bei einem sauber geplanten Umzug bleibt erhalten, was zählt:

Ihre Inhalte und Texte, übernommen und auf Wunsch überarbeitet
Ihre Google-Rankings, durch identische oder sauber weitergeleitete URLs
Ihr Fahrzeugbestand, automatisch eingebunden über die Schnittstelle zu mobile.de oder Ihrem DMS
Ihre Formulare und Anfragewege für Verkauf, Ankauf, Finanzierung und Werkstatt
Ihr Tracking für Google Ads, Meta und Analytics

So läuft ein Umzug mit Inception Media ab

Analyse: Wir erfassen alle Seiten, Inhalte, Rankings, Formulare und das Tracking Ihrer bestehenden Website.
Neubau: Ihre Website entsteht auf moderner Technik neu, im Design Ihres Autohauses und optimiert auf Anfragen.
SEO-Sicherung: Alle wichtigen URLs bleiben erhalten oder werden per Weiterleitung sauber umgezogen.
Livegang und Kontrolle: Wir schalten die neue Website live, testen alle Formulare und überwachen Indexierung und Anfragen.

Wie unsere Autohaus-Websites aussehen und was sie leisten, zeigen wir auf unserer Seite Autohaus-Websites. Was eine professionelle Website kostet, haben wir im Beitrag Was kostet eine Autohaus-Website 2026? aufgeschlüsselt.

Raus aus der Update-Schleife?

In einem kurzen Gespräch zeigen wir Ihnen, wie der Umzug Ihrer Website abläuft und was er für Ihr Autohaus bringt. Konkret und unverbindlich.

Umzug unverbindlich besprechen

Häufige Fragen (FAQ)

Was ist php2shell?

php2shell ist der Name für zwei kritische Sicherheitslücken in der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619), die am 21. Oktober 2026 veröffentlicht wurden. Sie erlauben es Angreifern, ohne Anmeldung Schadcode auf Webservern auszuführen und Arbeitsspeicher auszulesen. Betroffen sind alle PHP-Versionen ab 5.4, die nicht aktualisiert wurden.

Ist meine WordPress-Website von php2shell betroffen?

Wenn Ihre Website auf einer PHP-Version vor 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 läuft, ja. Ihre PHP-Version sehen Sie im WordPress-Dashboard unter "Werkzeuge", "Website-Zustand", "Bericht" und "Server". Die genaue Unterversion bestätigt Ihnen Ihr Hoster.

Muss ich WordPress aktualisieren?

Für php2shell nicht, laut WordPress.org ist kein WordPress-Update nötig. Entscheidend ist das PHP-Update auf dem Server. Wegen der weiteren Lücken dieses Jahres sollten WordPress, Theme und alle Plugins trotzdem immer auf dem neuesten Stand sein. Aktuell ist WordPress 7.1.3 (Stand: 22. Oktober 2026).

Reicht Cloudflare als Schutz aus?

Nein. Cloudflare blockiert bekannte Angriffsmuster und ist eine sinnvolle Übergangslösung. Angreifer verändern ihre Anfragen aber laufend. Cloudflare selbst empfiehlt ausdrücklich, PHP zu aktualisieren.

Sind moderne, statische Websites von php2shell betroffen?

Nein, wenn die Seiten vorab erzeugt und ohne PHP ausgeliefert werden. Ohne PHP beim Seitenaufruf gibt es nichts, was php2shell ausnutzen könnte. Absolute Sicherheit gibt es nicht, aber die Angriffsfläche ist deutlich kleiner als bei WordPress.

Verliere ich bei einem Umzug meine Google-Rankings?

Nicht, wenn der Umzug sauber geplant ist. Entscheidend sind identische URLs oder korrekte 301-Weiterleitungen, übernommene Inhalte und Metadaten sowie eine Kontrolle der Indexierung nach dem Livegang. Häufig verbessern sich Rankings sogar, weil die neue Website schneller lädt.

Was mache ich, wenn meine Website gehackt wurde?

Nehmen Sie die Website im Zweifel vom Netz, sichern Sie den aktuellen Zustand von Dateien und Datenbank, ändern Sie alle Passwörter und ziehen Sie Fachleute hinzu. Wurden Kundendaten abgegriffen, müssen Sie das in der Regel innerhalb von 72 Stunden der zuständigen Datenschutzbehörde melden.

Fazit: Jetzt handeln, bevor es teuer wird

php2shell ist die bisher gefährlichste Lücke eines ohnehin dramatischen Jahres: Sie steckt im Fundament von WordPress, betrifft Millionen Websites und wurde schon vor dem Update ausgenutzt. Das BSI stuft die Lage als außerordentlich ernst ein.

Kurzfristig gilt: Lassen Sie heute noch prüfen, ob Ihr Server auf einer sicheren PHP-Version läuft, und achten Sie auf Spuren eines Angriffs. Mittelfristig empfehlen wir den Umzug auf eine moderne Website, die ohne PHP, ohne Plugin-Landschaft und ohne öffentlichen Login auskommt. Damit sind Sie nicht nur sicherer, sondern auch schneller und besser auffindbar.

Sicherheit und mehr Anfragen statt Update-Stress?

Sprechen Sie mit uns. In 15 Minuten wissen Sie, wie es um Ihre Website steht und welcher Weg für Ihr Autohaus der richtige ist.

Jetzt kostenloses Erstgespräch buchen

Quellen

Stand: 22. Oktober 2026. Die Lage entwickelt sich weiter, wir aktualisieren diesen Beitrag bei neuen Erkenntnissen. Dieser Beitrag fasst öffentlich verfügbare Sicherheitsinformationen zusammen und ersetzt keine individuelle Sicherheitsprüfung.

Hinweis: Das Titelbild dieses Beitrags wurde mit KI erstellt.