Ist Ihre Website noch sicher?

Seit dem 21. Oktober warnt das BSI vor PHP2Shell. Über die Lücke können Angreifer ohne Passwort die Kontrolle über Webserver übernehmen. Gefährdet ist jede Website auf PHP, deren Server noch nicht gepatcht ist, darunter viele mit WordPress, Joomla oder TYPO3.

Ergebnis in wenigen Sekunden. Ohne Anmeldung, ohne Angriff auf Ihre Seite.

BSI-Warnung BITS-H 2026-297981-1132 vom 21.10.2026 · Kritikalität 3 / Orange

ihre-firma.de
Läuft auf PHP
?
PHP-Version
?
System
?

Ist Ihre Website betroffen?

Geben Sie Ihre Adresse ein. Ihr Ergebnis erscheint hier.

Wer die Lücke ausnutzt, übernimmt Ihren Server.

Angreifer können darüber eigenen Code auf Ihrem Webserver ausführen, ohne Passwort und ohne Zutun Ihres Teams. Damit stehen Ihre Website, Ihre Datenbank und die Kundendaten darin offen.

  • 9,2 von 10Schweregrad beider Lücken (CVSS 4.0)
  • Stufe 3 von 4Warnstufe des BSI, „Orange“
  • Wochen bis Monateso lange soll die Welle automatisierter Angriffe laufen, laut tagesschau.de

So schließen Sie die Lücke.

  1. SOFORT

    Kostenlos prüfen

    Sie geben Ihre Adresse ein. Wir zeigen sofort, ob Ihre Website ein Risiko erkennen lässt.

  2. PERSÖNLICH

    Server prüfen lassen

    Wir sehen uns Ihren Server direkt an und sagen Ihnen verbindlich, ob er betroffen ist.

  3. BEI BEDARF

    Lücke schließen

    Ist Ihr Server betroffen, spielen wir das Update ein oder klären es mit Ihrem Hoster. Danach testen wir Ihre Website.

Fragen zu PHP2Shell

Was ist PHP2Shell?

Zwei kritische Sicherheitslücken in PHP, CVE-2026-109618 und CVE-2026-109619, bekannt seit dem 21. Oktober 2026. Angreifer können darüber ohne Anmeldung eigenen Code auf Webservern ausführen. Das BSI stuft das Risiko mit Warnstufe 3 von 4 ein.

Ist meine WordPress-Seite betroffen?

WordPress läuft auf PHP. Betroffen ist jede WordPress-Seite, deren Server noch nicht gepatcht ist. Ein Update von WordPress oder den Plugins schließt die Lücke nicht, darauf weist auch das BSI hin.

Kann ich einfach auf meinen Hoster warten?

Große Hoster haben bereits nachgezogen. Geschützt sind aber nur Server, auf denen die Updates auch automatisch ankommen. Ob Ihrer dazugehört, wissen Sie erst nach einer Prüfung.

Greift der Check meine Website an?

Nein. Wir rufen Ihre Seite einmal auf, so wie jeder Besucher. Die Lücke selbst testen wir nicht aus.

Was speichern Sie?

Den Hostnamen, das Ergebnis und die erkannten Merkmale. Keine IP-Adresse, keine E-Mail. Nach 180 Tagen löschen wir den Eintrag.

Wer steht hinter dem Check?

Brixon Group, eine Agentur für digitales Marketing für B2B-Technologie. Wir bauen Websites für Technologieunternehmen und haben den Check nach der BSI-Warnung für alle geöffnet.

Wissen Sie, ob Ihre Website sicher ist?

Der Check dauert Sekunden und kostet nichts.

Jetzt kostenlos prüfen

Quelle: BSI BITS-H 2026-297981-1132, 21.10.2026

Server persönlich prüfen lassen