BSI-Warnung vom 21.10.2026: kritische Lücke in PHP
Adresse eingeben. In wenigen Sekunden siehst du, ob die PHP- oder WordPress-Version deiner Website eine der Lücken hat.
Dein Ergebnis
Wir sehen persönlich nach, spielen die Updates ein oder klären es mit deinem Hoster. Hinterlass deine Daten, wir melden uns.
Worauf sich der Check stützt
Was auf dem Spiel steht
Bei beiden Lücken braucht ein Angreifer kein Passwort. Das macht sie so gefährlich.
Beide Lücken lassen sich ohne Anmeldung ausnutzen. Ein Angreifer braucht nur die Adresse deiner Website.
Für php2shell und wp2shell sind fertige Angriffswerkzeuge im Umlauf. Wer sie nutzt, braucht kein Spezialwissen.
Auf übernommenen WordPress-Seiten wurden versteckte Hintertüren, fremde Admin-Konten und Schad-Plugins gefunden. Das zu bereinigen ist viel aufwendiger als ein Update.
Zwei Lücken, zwei Stellen
Die Namen klingen ähnlich, die Lücken stecken aber an verschiedenen Stellen. Deshalb prüft der Check beide getrennt, und gegen jede hilft ein anderes Update.
Zwei kritische Lücken in PHP (CVE-2026-109618 und CVE-2026-109619)
Ein WordPress-Update hilft gegen php2shell nicht.
Zwei Lücken in WordPress selbst (CVE-2026-63030 und CVE-2026-60137)
WordPress hat das Update für betroffene Seiten automatisch angestoßen. Ob es durchgelaufen ist, siehst du nur im Backend.
Wir machen das für dich
Von außen sieht man nicht alles. Wir schauen direkt nach und bringen es in Ordnung.
Wir prüfen die PHP- und WordPress-Version direkt im Backend oder beim Hoster, nicht nur von außen.
WordPress aktualisieren wir selbst, das PHP-Update klären wir mit deinem Hoster.
Du erfährst kurz und verständlich, was wir gefunden und erledigt haben.
Nächster Schritt
Von außen sieht man nicht alles. Wir prüfen deine Website direkt und sagen dir klar, ob sie betroffen ist.
Häufige Fragen
php2shell sind zwei Lücken in PHP, also in der Software auf dem Server. Sie sind seit dem 21.10.2026 bekannt. wp2shell sind zwei Lücken in WordPress selbst, bekannt seit dem 17.07.2026. Eine Website kann von einer, von beiden oder von keiner betroffen sein.
Nein. php2shell steckt in PHP auf dem Server, das Update spielt dein Hoster ein. Gegen wp2shell hilft dagegen nur das WordPress-Update auf 6.8.6, 6.9.5 oder 7.0.2.
Viele Websites zeigen ihre PHP- und WordPress-Version öffentlich, etwa im Quelltext oder in den Antworten des Servers. Genau das lesen wir. Was eine Website nicht zeigt, können wir von außen nicht sehen.
Deine Website verrät ihre Versionen nicht. Das ist an sich gut. Die WordPress-Version siehst du im Backend unter Dashboard → Aktualisierungen, die PHP-Version nennt dir dein Hoster. Oder du lässt uns nachsehen.
Beides kann stimmen. Andere Prüfer, etwa der Check der Entdecker von wp2shell, schauen nur auf WordPress und arbeiten mit eigenen Verfahren. Unser Check prüft PHP und WordPress, liest aber nur, was jede Website öffentlich zeigt, und sagt ehrlich, wenn das nicht reicht. Ob php2shell geschlossen ist, zeigt am Ende nur die PHP-Version beim Hoster.
Nein. Wir rufen die Startseite und höchstens noch den Feed ab, so wie jeder Besucher. Es wird nichts ausprobiert, kein Angriff geschickt und nichts verändert.
Die geprüfte Adresse und das Ergebnis speichern wir 90 Tage. Name, E-Mail und Telefon nur, wenn du einen Rückruf anforderst. Details in der Datenschutzerklärung.
Kostenlos, ohne Anmeldung, nur lesend. Und wenn etwas offen ist, helfen wir.
Official Winner. Eine Website, die wir gebaut haben, wurde ausgezeichnet.
Zur Auszeichnung →
