Kritische PHP-Sicherheitslücke (PHP2Shell)

Aktuelle Meldung · Stand: 22.10.2026

Was ist passiert?

Hintergrund ist eine kritische Sicherheitslücke in PHP selbst. Sie liegt nicht bei uns oder in unseren Rechenzentren, sondern betrifft die gesamte Hosting-Branche weltweit. Viele Rechenzentren – auch die, mit denen wir zusammenarbeiten – haben deshalb ihre Infrastruktur aktualisiert und alle Websites auf ihren Plattformen vorübergehend offline genommen.

Dieser drastische Schritt war notwendig, um Projekte und Daten bestmöglich vor Code-Injections zu schützen: Angreifer hätten die Lücke nach ihrem Bekanntwerden sofort ausnutzen können. Weil der Patch zunächst nur in seiner Grundform veröffentlicht wurde und für die verschiedenen Systeme teils aufwendig angepasst werden musste, hat die Wiederherstellung länger gedauert als erhofft.

Kurz vorweg: Sie müssen nicht aktiv werden

Wir haben alle wieder freigeschalteten Projekte abgesichert. Sie müssen nichts installieren und keine Dienste neu starten.

Einzige Ausnahme: Projekte mit einer PHP-Version unter 5.6 bleiben vorerst deaktiviert, bis sie auf eine aktuelle Version gebracht wurden. Wenn wir das für Sie übernehmen sollen, buchen Sie einen Termin oder schreiben Sie uns an hallo@homepage-helden.de.

Wie weiß ich, ob mein Projekt abgesichert ist?

Sobald Ihr Projekt wieder online ist, sind alle erforderlichen Sicherheitsmaßnahmen gemeinsam mit unserem Hosting-Partner umgesetzt. Die Updates wurden direkt auf dem Server eingespielt.

Mein Projekt ist weiterhin offline. Was ist zu tun?

Ist Ihre Website noch nicht wieder online, läuft Ihr Projekt mit einer PHP-Version unter 5.6. Für diese veralteten Versionen gibt es keine Sicherheitspatches mehr, deshalb ist ein Update notwendig. Melden Sie sich dazu gern direkt bei Nico und seinem Team: Termin buchen.

Muss ich jetzt meine PHP-Version aktualisieren?

Wegen PHP2Shell nicht, sobald Ihr Projekt wieder online ist. Grundsätzlich raten wir aber, Anwendungen und PHP-Version regelmäßig auf dem aktuellen Stand zu halten. Genau dafür gibt es unseren Wartungsvertrag Helden Care. Sprechen Sie uns gern an: Termin buchen.

Meine Website liegt nicht bei Homepage Helden. Was nun?

Anderer Hosting-Anbieter: Fragen Sie bei Ihrem Anbieter nach, ob, wann und wie das Sicherheitsupdate eingespielt wird. Bei Managed Web Hosting ist davon auszugehen, dass der Anbieter das Update automatisch einspielt.

Eigener dedizierter Server: Dann spielt niemand das Update automatisch für Sie ein, die Verantwortung liegt bei Ihnen. Setzen Sie sich in diesem Fall mit Ihrem Web-Administrator in Verbindung.

Waren auch meine E-Mails betroffen?

Nein. Die E-Mail-Dienste waren zu keinem Zeitpunkt von der Sicherheitslücke oder den Abschaltungen betroffen. Ihre Postfächer haben die ganze Zeit normal funktioniert.

Wurde die Sicherheitslücke von Angreifern ausgenutzt?

Nach allem, was wir derzeit wissen, gibt es keine Anzeichen dafür, dass die Lücke auf den Servern, auf denen Ihre Website läuft, erfolgreich ausgenutzt wurde. Wir verfolgen die Entwicklung weiterhin aufmerksam und informieren Sie umgehend, sollte es neue Erkenntnisse zu Ihrem Projekt geben.

Noch Fragen?

Schreiben Sie uns gern an support@homepage-helden.de.