Kurz gesagt: Was tun als Hosting-Kunde bei der PHP-Lücke PHP2Shell? Das PHP-Update müssen Sie meist nicht selbst einspielen, das übernimmt beim Shared Hosting der Hoster. Ihre Aufgaben sind andere: eine schriftliche Bestätigung des Patchstands einholen, im Kundenmenü eine unterstützte PHP-Version wählen und Ihre Website auf Auffälligkeiten prüfen. Die 15 häufigsten Fragen dazu beantwortet dieser Beitrag kurz und der Reihe nach.
PHP-Lücke als Hosting-Kunde: Bin ich betroffen, was tun?
Seit dem 21. Oktober 2026 erreichen uns viele Fragen von Unternehmen, deren Website bei einem Hoster liegt. Die meisten drehen sich um dieselben Punkte. Wer die Zuständigkeiten ausführlicher nachlesen möchte, findet sie unter Shared Hosting: Was der Hoster macht und was Sie tun müssen.
1. Ist meine Website überhaupt betroffen?
Wenn Ihre Website mit WordPress, Shopware, TYPO3, Joomla, Contao oder einem anderen PHP-System läuft, ist der Server darunter möglicherweise betroffen. Reine HTML-Seiten ohne PHP sind es nicht. Im Zweifel hilft ein Blick ins Kundenmenü: Gibt es dort eine Einstellung für die PHP-Version, nutzen Sie PHP.
2. Was ist der Unterschied zwischen Shared Hosting und eigenem Server?
Beim Shared Hosting teilen Sie sich einen vom Hoster betriebenen Server mit anderen Kunden; der Hoster pflegt PHP. Beim eigenen Root-Server oder vServer sind Sie selbst zuständig. Beim Managed Server regelt der Vertrag, wer Updates einspielt.
3. Mein Hoster hat eine Rundmail geschickt. Muss ich noch etwas tun?
Lesen Sie genau, was darin steht. Eine Rundmail bestätigt oft nur, dass der Hoster „an dem Thema arbeitet“. Sie brauchen eine Aussage zu Ihrem Paket: PHP-Zweig, Patchstand, Zeitpunkt und Neustart.
Zuständigkeit und Update
4. Spielt der Hoster das Update automatisch ein?
In der Regel ja, für die PHP-Versionen, die er auf seinen Servern anbietet. Ob das schon geschehen ist und ob auch ältere Versionen abgedeckt sind, ist von Hoster zu Hoster verschieden. Fragen Sie nach.
5. Mein Kundenmenü zeigt eine alte Versionsnummer. Bin ich ungeschützt?
Nicht unbedingt. Viele Hoster bauen Korrekturen als Backport ein, die Nummer bleibt dann gleich. Plesk etwa kann weiter 8.2.34 anzeigen, obwohl der Fehler behoben ist. Massgeblich ist die Bestätigung des Hosters.
6. Ich nutze noch PHP 7.4 oder 8.1. Was nun?
Diese Zweige erhalten vom PHP-Projekt keine offiziellen Updates mehr. Manche Hoster liefern eigene Korrekturen, andere nicht. Klären Sie das schriftlich und planen Sie den Wechsel auf einen unterstützten Zweig. Prüfen Sie vorher in den Systemanforderungen Ihres CMS, welche PHP-Versionen es unterstützt.
7. Kann ich die PHP-Version selbst umstellen?
Bei den meisten Hostern ja, im Kundenmenü. Wie das geht und worauf Sie vorher achten sollten, beschreibt der Beitrag PHP-Version im Hosting-Kundenbereich ändern. Machen Sie vorher eine Sicherung.
8. Hilft es, WordPress oder Plugins zu aktualisieren?
Gegen PHP2Shell nicht, denn die Lücke steckt in PHP. CMS-Updates sind trotzdem sinnvoll, weil sie andere Lücken schliessen.
Prüfen und nachweisen
9. Wie bekomme ich einen Nachweis vom Hoster?
Mit einer schriftlichen Anfrage, die konkrete Angaben verlangt: Paketstand je PHP-Zweig, Datum der Installation, Neustart aller PHP-Prozesse. Eine Vorlage zum Kopieren bietet der Ratgeber Hoster-PHP-Update-Bestätigung anfordern.
10. Kann ich Übergangsmassnahmen über .user.ini setzen?
Nein. php.net rät ausdrücklich davon ab, die Übergangseinstellungen über ini_set() oder .user.ini zu setzen. Sie gehören in die Serverkonfiguration, und die verwaltet beim Shared Hosting der Hoster.
11. Meine Website war kurz offline. Wurde ich gehackt?
Nicht zwingend. Manche Hoster haben Websites vorsorglich abgeschaltet oder Server neu gestartet. Fragen Sie nach dem Grund, bevor Sie Schlüsse ziehen.
12. Woran erkenne ich, dass meine Website angegriffen wurde?
Mögliche Hinweise sind unbekannte Administratorkonten, neue PHP-Dateien im Upload-Ordner, Weiterleitungen auf fremde Seiten, fremde Seiten im Google-Index oder Warnungen in der Search Console. Bitten Sie den Hoster, Zugriffslogs ab dem 20. Oktober aufzubewahren.
Wenn etwas nicht stimmt
13. Der Hoster antwortet nicht oder ausweichend. Was tun?
Fragen Sie schriftlich nach und setzen Sie eine angemessene Frist. Bleibt die Antwort aus, sollten Sie den Server als ungeprüft behandeln und überlegen, die Website vorübergehend auf eine statische Notseite umzustellen.
14. Soll ich den Hoster wechseln?
Ein Wechsel mitten in der Lage schafft eigene Risiken. Sinnvoll ist er, wenn der Hoster dauerhaft keine Auskunft gibt oder alte PHP-Versionen ohne Korrektur weiterbetreibt. Was dabei zu beachten ist, beschreibt Hoster wechseln nach einem Vorfall.
15. Muss ich etwas melden?
Wenn Hinweise auf einen Angriff bestehen und personenbezogene Daten betroffen sein können, kann eine Meldepflicht nach DSGVO bestehen, in der Regel binnen 72 Stunden. Klären Sie das mit Ihrem Datenschutzbeauftragten oder einem Anwalt. Dies ist keine Rechtsberatung.
Ihre Kurzcheckliste
- Hoster schriftlich nach Patchstand und Neustart fragen.
- PHP-Version im Kundenmenü prüfen, veraltete Zweige ablösen.
- Administratorkonten und Upload-Ordner durchsehen.
- Search Console auf Warnungen prüfen.
- Bei Auffälligkeiten Hilfe holen, bevor Sie Dateien löschen.
Wie hilft PHP SOS konkret?
- Klärung mit dem Hoster: Wir formulieren die Anfrage oder führen das Gespräch und bewerten die Antwort.
- Prüfung der Website: Wir suchen nach Spuren in Dateien, Datenbank und Konten, soweit das Hosting-Paket es zulässt.
- Bereinigung: Finden wir Schadcode, entfernen wir ihn und wechseln alle Zugänge.
- Dokumentation: Sie erhalten den Stand schriftlich.
Bei einem konkreten Verdacht hilft die Notfallhilfe bei gehackten Websites.
Fazit
Als Hosting-Kunde tragen Sie bei PHP2Shell nicht die Last des Updates, aber die Verantwortung für Ihre Website. Die meisten Fragen lassen sich mit einer klaren schriftlichen Antwort Ihres Hosters erledigen. Was danach bleibt, ist der Blick auf die eigene Website: Konten, Dateien, Google-Hinweise. Wer beides getan hat, hat seinen Teil erledigt und kann im Zweifel belegen, dass er sorgfältig gehandelt hat.
Häufige Fragen
Wer ist beim Webhosting für das PHP-Update zuständig?
Beim Shared Hosting in der Regel der Hoster, denn er betreibt den Server und die PHP-Installation. Sie sind für Ihre Website, Ihre Zugänge und die Auswahl der PHP-Version im Kundenmenü verantwortlich. Bei Managed Servern regelt der Vertrag die Aufteilung.
Warum zeigt mein Hoster eine alte PHP-Version an?
Viele Hoster und Distributionen bauen die Korrektur als Backport in die bestehende Version ein. Die Nummer bleibt dann gleich, obwohl die Lücke geschlossen ist. Verlassen Sie sich deshalb auf eine schriftliche Bestätigung des Hosters, nicht auf die Anzeige.
Was kann ich als Hosting-Kunde selbst prüfen?
Sie können die eingestellte PHP-Version im Kundenmenü kontrollieren, Administratorkonten Ihres CMS durchsehen, nach unbekannten Dateien im Upload-Ordner schauen und die Search Console auf Warnungen prüfen. Den Patchstand des Servers selbst kann nur der Hoster belegen.
Hilft eine Firewall-Einstellung im Hosting-Paket?
Firewall-Regeln des Hosters oder eines vorgeschalteten Dienstes können das Risiko senken. Sie ersetzen aber das PHP-Update auf dem Server nicht. Fragen Sie deshalb immer zuerst nach dem Update.