Sicherheitslücke in PHP: Warum die Websites unserer Kunden nicht betroffen sind

Am 21. Oktober 2026 wurde eine schwere Sicherheitslücke in PHP bekannt – der Technik, auf der ein großer Teil aller Websites im Internet läuft. Viele Betreiber müssen jetzt dringend handeln. Die Websites unserer Kunden sind nicht betroffen. Hier erklären wir, was passiert ist und warum.

Was ist passiert?

PHP ist eine Programmiersprache, mit der viele Websites auf dem Server „zusammengebaut" werden, während der Besucher die Seite aufruft. Bekannte Systeme wie WordPress, Joomla, Drupal und zahlreiche Online-Shops basieren darauf.

Die jetzt veröffentlichten Lücken (Sicherheitsforscher nennen sie „PHP2Shell", offiziell CVE-2026-109618 und CVE-2026-109619) gelten als kritisch: Angreifer können darüber ohne Passwort eigene Programme auf dem Server ausführen – und damit im schlimmsten Fall Daten stehlen, Inhalte verändern oder den Server für weitere Angriffe missbrauchen. Betroffen sind PHP-Versionen der letzten zehn Jahre, und es wurden bereits erste Angriffe beobachtet. Am selben Tag hat außerdem die verbreitete Server-Software Node.js wichtige Sicherheitsupdates veröffentlicht.

Warum die Websites unserer Kunden nicht betroffen sind

Wir bauen Websites bewusst anders. Statt jede Seite bei jedem Aufruf auf einem Server neu zu erzeugen, erstellen wir die fertigen Seiten vorab. Ausgeliefert werden dann nur noch diese fertigen Seiten.

• Kein PHP, kein WordPress: Die Seiten selbst sind fertig erzeugt und brauchen beim Aufruf keine Server-Software. Wo zusätzliche Funktionen wie Formulare, Anmeldungen oder eine Datenbank nötig sind, laufen diese getrennt davon in abgesicherten Umgebungen – ebenfalls ohne PHP. Eine Lücke wie PHP2Shell hat damit keinen Angriffspunkt.
• Keine Server-Software zur Laufzeit: Node.js nutzen wir nur beim Erstellen der Seiten, nicht beim Ausliefern. Die Updates vom 21. Oktober betreffen die Websites deshalb ebenfalls nicht.
• Kein Admin-Panel, das man knacken kann: Es gibt keinen Bearbeitungszugang im Internet, für den Passwörter erraten oder gestohlen werden könnten. Änderungen laufen ohne eigenen Login über uns.

Was wir regelmäßig für die Sicherheit tun

• Weltweites Sicherheitsnetz: Die Websites liegen im Netzwerk von Cloudflare, einem der größten Sicherheitsdienstleister der Welt. Verschlüsselung per HTTPS und Schutz vor Überlastungsangriffen sind automatisch dabei.
• Automatische Sicherheitsprüfung: Jede Änderung am Programmcode wird automatisch auf bekannte Sicherheitsprobleme geprüft, bevor sie online geht.
• Jede Version gesichert: Jede Änderung wird lückenlos gespeichert. Jeder frühere Stand lässt sich jederzeit wiederherstellen.
• Rund um die Uhr überwacht: Wir überwachen die Erreichbarkeit der Websites und werden sofort benachrichtigt, wenn etwas nicht stimmt.
• Immer auf dem neuesten Stand: Wir behalten aktuelle Sicherheitsmeldungen im Blick und spielen Sicherheitsupdates zeitnah ein – meist innerhalb weniger Stunden.

Sie nutzen WordPress, Joomla oder ein anderes PHP-System?

Das betrifft neben WordPress und Joomla auch Drupal, TYPO3, Contao sowie die meisten Online-Shops wie Shopware oder WooCommerce. Lassen Sie jetzt prüfen:

• PHP-Version: Hat Ihr Hoster PHP bereits auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert? Ältere PHP-Versionen (8.1 und früher) bekommen keine Updates mehr.
• System und Erweiterungen: Sind WordPress bzw. Joomla selbst sowie alle Plugins, Erweiterungen und Themes auf dem neuesten Stand?

Die Alternative: Website ohne Update-Sorgen

Mit dem Webseiten-Service der Minicon eG müssen Sie sich um PHP-Versionen, Plugins und Sicherheitslücken nicht mehr kümmern:

• Sicher gebaut: Ihre Website läuft ohne PHP, ohne WordPress und ohne Admin-Panel – genau die Technik, die von Lücken wie PHP2Shell nicht betroffen ist.
• Änderungen per E-Mail: Sie schreiben, was geändert werden soll, bekommen eine Vorschau und geben frei. Kein Login, kein Fachwissen.
• Alles inklusive: Hosting, SSL-Zertifikat, Wartung und Updates übernehmen wir.
• Schnell online: Professionelle Website ab 199 €, in der Regel innerhalb von 24 Stunden online. Ihre bestehende Domain können Sie behalten.

So starten Sie: Beschreiben Sie Ihre Wünsche ganz entspannt unserem KI-Berater – er sammelt alle Informationen für Ihre neue Website, und wir melden uns mit einem Vorschlag. Alle Pakete und Preise finden Sie auf webseiten.minicon.eu.

Mehr dazu: Website ohne Login bearbeiten – sicherer als ein CMS und Website per E-Mail pflegen.