Kurz gesagt: Ob Sie eine Website wegen der PHP-Lücke offline nehmen sollten, hängt an einer Frage: Läuft PHP auf diesem Server nachweislich auf einem behobenen Stand, und sind alle Prozesse neu gestartet? Wenn ja, ist keine Abschaltung nötig. Wenn das Update nicht sofort möglich ist, empfiehlt das BSI, den Webserver vorübergehend vom Netz zu nehmen. Abwarten ist nur vertretbar, wenn das System kein PHP nutzt, nicht öffentlich erreichbar ist oder der Anbieter den Patch schriftlich bestätigt hat.
Die Lage, in der Sie entscheiden müssen
PHP2Shell umfasst zwei Lücken in PHP selbst, CVE-2026-109618 und CVE-2026-109619, beide mit CVSS v4.0 9.2 bewertet. Sie erlauben Ausführung von Schadcode aus der Ferne ohne Anmeldung. Behobene Versionen sind seit dem 21.10.2026 verfügbar: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr.
Das BSI hat Warnstufe Orange ausgegeben und rät zum sofortigen Update, ersatzweise zur vorübergehenden Abschaltung. Laut Medienberichten haben die Stadt Mainz, Stellen der hessischen Landesregierung und weitere öffentliche Einrichtungen Websites vorsorglich vom Netz genommen; die hessische Staatskanzlei meldete keinen Angriff. Was Unternehmen daraus ableiten können, steht unter Behörden nehmen Websites vom Netz.
Für Verantwortliche in Unternehmen ist die Frage praktischer: Was tun wir mit unserem Shop, unserem Portal, unserer Firmenwebsite, heute?
Website offline nehmen, patchen oder abwarten: die drei Optionen im Vergleich
Die folgende Tabelle stellt die Optionen nebeneinander. Sie ersetzt nicht die Bewertung Ihres Einzelfalls, macht aber die Abwägung sichtbar.
| Kriterium | Sofort patchen | Vorübergehend abschalten | Abwarten |
|---|---|---|---|
| Schutz vor PHP2Shell | Hoch, wenn Patch und Neustart belegt sind | Hoch für die Dauer der Abschaltung | Keiner, solange ungepatcht |
| Betriebsunterbrechung | Kurz, für Update und Neustart | Stunden bis Tage | Keine |
| Voraussetzung | Unterstützte PHP-Version, Zugang, Wartungsfenster | Entscheidung der Geschäftsführung, statische Ersatzseite | Belegter Grund, warum kein Risiko besteht |
| Aufwand | Gering bis mittel | Gering technisch, hoch organisatorisch | Gering, aber Prüfaufwand für den Beleg |
| Typischer Fall | Server mit PHP 8.2 bis 8.5 | Altsystem mit PHP 8.1 oder älter, unklarer Stand | System ohne PHP oder nur intern erreichbar |
| Rest-Risiko | Vorheriger Einbruch bleibt möglich | Vorheriger Einbruch bleibt möglich | Voll bestehend |
Eine Zeile verdient Aufmerksamkeit: Weder Patch noch Abschaltung klären, ob vorher schon etwas passiert ist. Laut Medienberichten gab es den ersten beobachteten Angriffsversuch am 17.10.2026, also vor dem Patch. Ein Blick auf mögliche Spuren gehört deshalb zu jeder Option.
In fünf Fragen zur Entscheidung
Arbeiten Sie die Fragen der Reihe nach ab. Die erste klare Antwort führt meist zur Entscheidung.
- Läuft auf dem System überhaupt PHP, und ist es aus dem Internet erreichbar? Wenn nein, ist das System von PHP2Shell nicht direkt betroffen. Dokumentieren Sie, wie Sie das festgestellt haben.
- Ist der Patch-Stand belegt? Belegt heißt: behobene Version oder Backport mit CVE-Nummern im Paket-Changelog und Neustart aller PHP-Prozesse. Eine Versionsanzeige im Panel genügt nicht. Wie Sie das prüfen, steht unter PHP-Version und Patchstand richtig prüfen.
- Lässt sich das Update in den nächsten Stunden einspielen? Wenn ja: patchen, neu starten, kontrollieren. Bis dahin können Übergangsmaßnahmen helfen.
- Ist das nicht möglich, etwa wegen PHP 8.1 oder fehlenden Zugangs? Dann ist die vorübergehende Abschaltung laut BSI der Weg. Übergangsmaßnahmen nach php.net senken das Risiko, schützen aber nicht vollständig; die Einzelheiten stehen unter Sofortmaßnahmen, wenn Sie noch nicht patchen können.
- Gibt es Anzeichen einer Kompromittierung? Dann ist die Frage nicht mehr „patchen oder abschalten“, sondern „Vorfall bearbeiten“. Abschalten, Beweise sichern, nicht vorschnell löschen.
Wenn Sie abschalten: richtig abschalten
Eine Abschaltung soll die Angriffsfläche entfernen, nicht nur die Startseite verstecken. Eine Wartungsseite, die weiterhin durch PHP erzeugt wird, erfüllt diesen Zweck nicht. Besser ist eine statische HTML-Seite, die der Webserver ohne PHP ausliefert, oder eine Umleitung auf einen anderen Server.
Denken Sie an alles, was am selben PHP hängt: Unterseiten, Schnittstellen für Apps oder Warenwirtschaft, Admin-Bereiche, Zahlungs-Rückrufe. Sprechen Sie vorab mit Zahlungsanbieter und Logistik, wenn ein Shop betroffen ist. Und informieren Sie Mitarbeitende und Kunden in klaren Worten: Die Seite ist vorsorglich offline, Kontakt läuft über Telefon und E-Mail. Das ist besser als Schweigen, das Spekulationen nährt.
Wichtig ist auch das Ende der Abschaltung. Legen Sie fest, unter welcher Bedingung die Seite wieder online geht, etwa „PHP auf behobenem Stand, Neustart kontrolliert, erste Spurenprüfung ohne Befund“. So wird aus einer Notbremse ein geordneter Ablauf.
Abschalten ist keine Niederlage. Mehrere öffentliche Stellen haben laut Medienberichten genau das getan, ohne dass ein Angriff vorlag. Eine vorsorgliche Abschaltung bedeutet nicht automatisch, dass eine Website gehackt wurde.
Wann Sie keinen Dienstleister brauchen
Nicht jede Entscheidung erfordert externe Hilfe. Wenn Ihre Website bei einem Hoster liegt, der den Patch-Stand und den Neustart schriftlich bestätigt, und es keine Auffälligkeiten gibt, sind Sie mit einer kurzen Dokumentation gut aufgestellt. Gleiches gilt, wenn Ihre eigene IT einen Server mit unterstützter PHP-Version selbst patchen kann und die Kontrolle beherrscht.
Hilfe lohnt sich, wenn Systeme mit alter PHP-Version laufen, der Stand unklar ist, mehrere Server betroffen sind oder Anzeichen eines Einbruchs vorliegen.
Wie hilft PHP SOS konkret?
- Wir klären mit Ihnen in kurzer Zeit, welche Systeme betroffen sind und welcher Patch-Stand belegt ist.
- Wir liefern der Geschäftsführung eine Entscheidungsgrundlage auf einer Seite: Optionen, Risiken, empfohlener Weg.
- Wir setzen den gewählten Weg um, also Patch mit Neustart, Übergangsmaßnahmen oder eine saubere Abschaltung mit statischer Ersatzseite, als Teil unserer PHP2Shell-Soforthilfe.
- Wir prüfen auf Spuren seit dem 17.10.2026 und dokumentieren das Ergebnis.
Fazit
Patchen ist der Normalfall, Abschalten die richtige Notbremse, Abwarten nur mit Beleg vertretbar. Wer die fünf Fragen ehrlich beantwortet und die Entscheidung schriftlich festhält, handelt im Sinne der BSI-Empfehlung und kann später zeigen, warum.
Häufige Fragen
Muss ich meine Website wegen PHP2Shell offline nehmen?
Nicht, wenn PHP bereits auf einem behobenen Stand läuft und alle Prozesse neu gestartet sind. Das BSI empfiehlt die vorübergehende Abschaltung für den Fall, dass ein sofortiges Update nicht möglich ist.
Was kostet eine Abschaltung mehr: Umsatz oder Risiko?
Das lässt sich nur im Einzelfall beantworten. Ein Ausfall von Stunden ist meist besser planbar als ein Einbruch, dessen Folgen und Dauer niemand kennt. Halten Sie die Abwägung schriftlich fest, unabhängig davon, wie sie ausgeht.
Darf eine Wartungsseite über denselben Server laufen?
Ja, wenn sie als statische Datei ohne PHP ausgeliefert wird. Wird die Wartungsseite weiter durch PHP erzeugt, bleibt die Angriffsfläche bestehen.
Ist Abwarten jemals die richtige Wahl?
Ja, in klar umrissenen Fällen: wenn auf dem System kein PHP läuft, wenn es nicht aus dem Internet erreichbar ist oder wenn der Anbieter Patch und Neustart schriftlich bestätigt hat. Abwarten ohne solche Belege ist keine Option, sondern ein Risiko.
Wer sollte die Entscheidung treffen?
Die Person, die das Geschäftsrisiko verantwortet, in der Regel Geschäftsführung oder Inhaber. Die IT liefert die Fakten. Wer entscheidet, sollte vorab im Notfallplan stehen.