Vorsorglich offline · 21. Oktober 2026
Schulen und Krankenhäuser offline. Ist Ihre Website sicher?
Smartschool, Krankenhäuser und Behörden nahmen Websites nach zwei kritischen PHP-Lücken offline. Geben Sie Ihre Adresse ein und erkennen Sie in zehn Sekunden, ob Ihre Website gefährdet sein könnte.
- Kostenlos
- Ergebnis in 10 Sekunden
- Keine Installation oder Anmeldung
- Wir versuchen keinen Angriff
Möchten Sie Ihre Website auch wöchentlich prüfen lassen? Kostenloses Konto erstellen
Die Lücke in drei Punkten
Was
Zwei kritische Sicherheitslücken in PHP
CVE-2026-109618 und CVE-2026-109619 erlauben Angreifern Codeausführung auf Ihrem Server ohne Passwort. Schweregrad: 9,2 von 10. Bei Erfolg können sie Website, Kundendaten und Postfach übernehmen.
Wer
Mehr als 70% aller Websites
PHP steckt unter WordPress, WooCommerce, Joomla, Drupal, Magento und PrestaShop. Jede Version ab PHP 5 ist betroffen. Auch kleine Websites: Angreifer scannen automatisch statt nach Namen.
Was jetzt
Aktualisieren ist die einzige vollständige Lösung
Die Korrektur steckt in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Versionen vor 8.2 erhalten keine Korrektur mehr und müssen wechseln. Eine Firewall hilft vorübergehend, ersetzt aber kein Update.
Was Sie heute tun sollten
Prüfen Sie Ihre Website oben
Sie sehen, ob Ihre Website PHP verwendet und welche Version der Server gegebenenfalls nennt.
Schreiben Sie Ihrem Webdienstleister oder Hoster
Fragen Sie nach einer Version mit Korrektur. Kopieren Sie mit einem Klick eine fertige Nachricht.
Aktualisieren Sie auch CMS und Plugins
Veraltete Plugins sind nach solchen Lücken der häufigste Einstieg. Aktualisieren Sie sie gleichzeitig.
Lassen Sie Ihre Website weiter überwachen
Mit einem Konto prüfen wir Ihre Website wöchentlich und melden Änderungen per E-Mail. Die ersten 50 Nutzer erhalten ein Jahr kostenlos.
Was wir prüfen und was wir nicht prüfen können
Wir prüfen
- Ob Ihre Startseite PHP-Anzeichen zeigt
- Die PHP-Version, falls der Server sie nennt
- Welches CMS Ihre Website nutzt
- Ob eine Firewall wie Cloudflare vorgeschaltet ist
Wir prüfen nicht
- Ob Ihre Website bereits gehackt wurde
- Ob der Hoster die Korrektur unbemerkt angewandt hat
- Andere Server als den Ihrer Startseite
- Wir probieren die Sicherheitslücke niemals aus
Fragen
Wurde meine Website gehackt?
Das zeigt diese Prüfung nicht: Wir prüfen nur PHP-Nutzung und ob die Version die Korrektur enthält. Laut belgischem Zentrum für Cybersicherheit (CCB) wurden noch keine erfolgreichen Angriffe in Belgien bestätigt; Cloudflare sah bereits erste Versuche. Aktualisieren Sie heute.
Mein Server nennt keine Version. Bin ich sicher?
Nicht unbedingt. Die meisten Server verbergen ihre Version, was sinnvoll ist. Von außen lässt sie sich dann nicht erkennen. Ihr Hoster oder Webdienstleister weiß es: Fragen Sie nach.
Reicht Cloudflare oder eine andere Firewall?
Sie hilft. Cloudflare hat Regeln gegen bekannte Angriffsmuster eingeführt. Angreifer suchen Umwege, und eine Firewall schützt nicht jeden Weg zum Server. Die Korrektur bleibt die einzige vollständige Lösung.
Meine Website läuft auf Wix, Squarespace oder Shopify.
Dann verwaltet die Plattform den Server, und Ihre Website hat meist keine eigene PHP-Installation. Die Prüfung zeigt gewöhnlich 'Kein PHP erkannt'. Separate Shops, Blogs oder Kundenportale sollten einzeln geprüft werden.
Probieren Sie die Lücke auf meiner Website aus?
Nein. Wir rufen Ihre Startseite einmal wie normale Besucher ab und lesen öffentliche Serverangaben. Wir versuchen niemals einen Angriff: Das wäre ein Einbruch in einen fremden Server.
Warum sollte ich ein Konto anlegen?
Eine weitere Lücke wird kommen, und Sie möchten früh davon erfahren. Mit einem Konto prüfen wir wöchentlich Sicherheit, Google-Auffindbarkeit und mehr und melden Änderungen. Die ersten 50 Nutzer erhalten ein Jahr kostenlos, mit bis zu 3 Websites pro Konto. Danach wählen Sie einen Tarif oder hören auf; es wird nichts automatisch berechnet.
Noch nicht geprüft?
Die Prüfung ist kostenlos und dauert zehn Sekunden. Danach wissen Sie, was Sie Ihren Webdienstleister fragen sollten.
Meine Website prüfenWeiterlesen
- PHP-Lücke (php2shell): Was sollten Unternehmer tun?
- Ist Ihre Website für die PHP-Lücke anfällig? So prüfen Sie
- WordPress und die PHP-Lücke: Was Sie heute veranlassen
- Welche PHP-Version nutzt meine Website? So finden Sie sie
- Muss meine Website wegen der PHP-Lücke offline gehen?
- PHP-Lücke: Welche E-Mail schreiben Sie Ihrem Webdienstleister?
- Onlineshop und PHP-Lücke: Kundendaten und Zahlungen schützen
Quellen
- VRT NWS: erste Angriffe auf PHP-Lücken (Niederländisch)
- TechPulse: DPG Media und Smartschool nehmen Websites offline (Niederländisch)
- Tenable: Fragen zu CVE-2026-109618 und CVE-2026-109619 (Englisch)
- Help Net Security: php2shell-Lücken korrigiert (Englisch)
- PHP: offizielle Versionsankündigungen (Englisch)
Seite und Übersetzungen am 29. Oktober 2026 aktualisiert. Nachrichtenkontext: 21. Oktober 2026.