PHP2Shell: Warum handgecodete Websites sicherer sind

Am 21. Oktober 2026 mussten weltweit Website-Betreiber Notfall-Updates einspielen. Unsere handgecodeten Websites liefen ohne Unterbrechung weiter. In diesem Artikel erklären wir, was passiert ist und warum unsere Bauweise den Unterschied gemacht hat.

Was am 21. Oktober passiert ist

In PHP, der Technik hinter einem Großteil aller Websites, wurden zwei kritische Sicherheitslücken bekannt. Sicherheitsforscher nennen sie „PHP2Shell“. Beide wurden mit 9,2 von 10 Punkten bewertet, also als kritisch (Golem).

Vereinfacht gesagt: Angreifer konnten auf betroffenen Servern eigene Befehle ausführen, ohne sich vorher anmelden zu müssen. Damit hätten sie eine Website übernehmen, verändern oder Daten auslesen können.

Die Folgen waren sofort sichtbar. Dienste wie easybill, die Wiki-Plattform wiki.gg und mehrere Behördenseiten in Europa gingen vorsorglich offline (netzwelt, Krebs on Security). Ein Forscher schätzte, dass mehr als 1,3 Millionen Websites angreifbar waren (Cybersecurity Dive).

Was PHP ist und wer es nutzt

PHP ist eine Programmiersprache, die auf dem Server läuft. Bei jedem Seitenaufruf baut sie die Website frisch zusammen, etwa aus Texten in einer Datenbank, und schickt das Ergebnis an den Browser.

Rund 69 Prozent aller Websites mit erkennbarer Server-Technik nutzen PHP (wirtschaft-tv). Dazu gehören vor allem:

• Content-Management-Systeme wie WordPress, TYPO3, Joomla und Drupal
• Onlineshops mit WooCommerce, Shopware oder Magento
• Klassisches Webhosting, bei dem PHP fast immer vorinstalliert ist

Die meisten Webagenturen bauen ihre Kundenseiten mit genau diesen Systemen. Deshalb hatte eine Lücke im Kern von PHP so große Auswirkungen: Sie betraf nicht eine einzelne Website, sondern Millionen gleichzeitig.

Ist meine Website betroffen?

Eine erste Einschätzung bekommen Sie mit drei Fragen:

• Läuft Ihre Website mit WordPress, TYPO3, Joomla, Drupal oder einem Shop-System wie WooCommerce oder Shopware? Dann nutzt sie mit großer Wahrscheinlichkeit PHP.
• Hat Ihr Hosting-Anbieter bestätigt, dass PHP auf eine der oben genannten, korrigierten Versionen aktualisiert wurde?
• Werden System, Plugins und Themes Ihrer Website regelmäßig aktualisiert, und wer kümmert sich darum?

Können Sie eine dieser Fragen nicht sicher beantworten, lohnt sich ein kurzer Blick von außen. Wir prüfen das gerne für Sie.

Warum unsere Websites nicht betroffen waren

Unsere Websites nutzen kein PHP. Wir programmieren jede Seite von Hand, und das macht an drei Stellen den Unterschied.

Fertige Seiten statt Bau bei jedem Aufruf. Unsere Websites bestehen aus fertigen Dateien, die direkt an den Besucher ausgeliefert werden. Auf dem Server läuft dabei kein Programm, das ein Angreifer ausnutzen könnte.

Moderne Technik, wo Logik nötig ist. Braucht eine Website Funktionen auf dem Server, etwa einen Shop mit Bezahlung, setzen wir auf Node.js. Das ist eine andere Technik, die von der PHP-Lücke nicht berührt war.

Kein Standard-System, kein Plugin-Ballast. Wir verwenden weder WordPress noch fremde Erweiterungen. Unsere Kunden-Systeme, auch die zur Pflege der Inhalte, sind eigene Entwicklungen.

Dazu kommt ein weniger offensichtlicher Punkt. Bei Lücken wie dieser gehen Angreifer in die Masse: Sie durchsuchen das Internet automatisch nach Seiten mit einem bestimmten System und einer veralteten Version. Eine individuell gebaute Website fällt durch dieses Raster.

Was das für Sie bedeutet

Handgecodete Websites sind nicht nur sicherer, sie sind im Alltag auch einfacher. Der Vergleich im Überblick:

Ein Bild hilft beim Verständnis: Eine Website mit Standard-System ist wie ein Haus mit einem Schloss, das in Millionen Türen eingebaut ist. Wird ein Trick gefunden, es zu öffnen, funktioniert er überall. Eine handgecodete Website hat ein eigens angefertigtes Schloss. Wer massenhaft Türen öffnen will, kommt hier nicht weiter.

Schnelle Ladezeiten sind dabei mehr als Komfort. Besucher springen bei langsamen Seiten schneller ab, und Google berücksichtigt die Geschwindigkeit bei der Platzierung. Mehr dazu lesen Sie in unserem Artikel Website-Ladezeit: Warum handgecodete Seiten schneller sind.

Ehrlich gesagt: Hundertprozentige Sicherheit gibt es nicht

Keine Website ist unangreifbar, auch eine handgecodete nicht. Der Unterschied liegt darin, wer die Verantwortung trägt.

Bei Standard-Systemen liefert der Hersteller Sicherheitsupdates, die eingespielt werden müssen. Bei unseren Websites übernehmen wir diese Verantwortung selbst. Dazu gehören:

• Zugangsdaten und Schlüssel liegen nie im Code, sondern geschützt beim Hosting-Anbieter
• Wir halten die verwendeten Bausteine aktuell und lassen uns automatisch über bekannte Lücken informieren
• Logins und Datei-Uploads sichern wir gezielt ab

Weniger fremde Technik bedeutet weniger, worum man sich kümmern muss. Und um das, was bleibt, kümmern wir uns.

Fazit: Sicherheit beginnt bei der Bauweise

Der 21. Oktober hat gezeigt, wie verwundbar Websites werden, wenn Millionen auf derselben Technik laufen. Während viele Betreiber Notfall-Updates einspielten oder ihre Seiten abschalteten, liefen unsere Kundenprojekte einfach weiter.

Handgecodete Websites bieten weniger Angriffsfläche, weniger Pflegeaufwand, mehr Tempo und ein Design, das wirklich zu Ihrem Unternehmen passt.

Quellen

• Golem.de: Kritische PHP-Lücken gefährden unzählige Webserver
• netzwelt: Erste Websites gehen aus Sicherheitsgründen offline
• Krebs on Security: Widespread PHP Flaw May Cause Many Site Outages Today
• Cybersecurity Dive: Critical PHP vulnerabilities expose most websites
• wirtschaft-tv: Millionen Websites betroffen
• Berliner Zeitung: Kritische PHP-Lücken – Warum Websites offline gehen (Kennungen und korrigierte Versionen)