Gehackte Webseite besucht? Was die PHP-Lücke für Besucher bedeutet

MacWindowsiPhoneAndroidAktualisiert

PHP2Shell ist eine Lücke in der Software, die auf dem Server einer Website läuft, nicht auf deinem Handy oder Computer. Der Besuch einer PHP-Website setzt dein Gerät nicht dieser Lücke aus. Das Risiko für Besucher entsteht später, wenn Angreifer eine Website übernehmen und verändern, was sie dir zeigt.

Kurze Antwort

Die am 21. Oktober 2026 bekannt gegebenen PHP-Lücken betreffen PHP-Installationen, die Webanfragen verarbeiten, also Webserver. Ein Besuch führt kein PHP auf deinem Gerät aus. Eine gehackte Website kann Besucher aber umleiten, Phishing-Seiten zeigen oder Schadsoftware verbreiten. Halte Browser und Gerät aktuell, meide unerwartete Downloads und prüf die Adresse, bevor du dich anmeldest.

Was bedeutet eine PHP-Lücke auf einer Website für Besucher?

Die Lücke sitzt auf dem Server der Website. Das PHP-Handbuch erklärt, dass PHP-Code auf dem Server ausgeführt wird, der daraus HTML erzeugt und an deinen Browser schickt. Dein Browser bekommt das Ergebnis und sieht den PHP-Code nie. Der PHP-Hinweis zu CVE-2026-109618 und CVE-2026-109619 nennt als gefährdet PHP-Installationen, die Webanfragen verarbeiten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt, Angreifer könnten aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen ausführen.

Die Warnung des BSI richtet sich an IT-Sicherheitsverantwortliche und Betreiber: patchen, prüfen, beobachten. Für Besucher wird PHP2Shell wichtig, wenn eine Website, die du nutzt, übernommen wird, weil sich dann ändern kann, was sie dir zeigt.

Übrigens: Das BSI berichtete, dass einige Betreiber ihre PHP-Server vorsorglich vom Internet getrennt haben und es deshalb zu Einschränkungen bei der Erreichbarkeit verschiedener Websites in Deutschland kam, bis die Server aktualisiert waren. Eine Seite, die gerade nicht lädt, ist also nicht automatisch gehackt.

Was kann eine gehackte Website Besuchern antun?

Das BSI beschreibt in seiner Anleitung für Website-Betreiber, was Angreifer mit einer übernommenen Website machen. Googles Hinweise für Website-Betreiber ergänzen das:

  • Seiten verändern. Laut BSI werden bestehende Webseiten manipuliert oder neue Unterseiten mit eigenen Inhalten eingefügt. Google schreibt, dass Hacker schädlichen Code in bestehende Seiten einschleusen können.
  • Dich umleiten. Laut Google kann eingeschleuster Code manche Nutzer auf schädliche oder Spam-Seiten weiterleiten.
  • Daten abgreifen. Das BSI nennt als Ziel, an persönliche Daten der Besucher zu gelangen, etwa Anschriften oder Kreditkartendaten.
  • Schadprogramme verbreiten. Laut BSI nutzen Angreifer manipulierte Websites, um Schadprogramme über sogenannte Drive-by-Exploits zu verbreiten. Dabei lädt sich das Programm über eine Sicherheitslücke beim Besuch der Seite selbst auf den Rechner. Google zeigt außerdem ein Beispiel für ein irreführendes Pop-up, das zur Installation von Schadsoftware verleiten soll.
  • Nach deinem Passwort fragen. Laut Google können Phishing-Seiten genau wie die echte Website aussehen, und Hacker übernehmen dafür auch harmlose Websites.

Manches davon funktioniert nur, wenn du etwas tust, etwa einen Download annimmst oder ein Passwort auf einer falschen Seite eingibst. Drive-by-Exploits nutzen dagegen laut BSI Sicherheitslücken auf dem Rechner des Besuchers aus. Genau dagegen helfen die Schritte unten, allen voran Updates.

Warnt mich mein Browser vor gefährlichen Seiten?

Möglicherweise. Google Safe Browsing zeigt Warnungen, wenn jemand gefährliche Websites aufrufen oder gefährliche Dateien herunterladen will. Jeder große Browser hat eigene Warnungen:

  • Safari auf dem Mac. Wähl „Safari“ > „Einstellungen“ und klick auf „Sicherheit“. Mit „Bei betrügerischen Inhalten warnen“ erhältst du laut Apple eine Warnung, wenn die besuchte Website eine potenzielle Phishing-Website ist.
  • Chrome. Laut Google zeigt Chrome bei Phishing, Malware, unerwünschter Software oder Social Engineering die rote Warnung „Gefährliche Website“. Auf dem Computer findest du die Schutzstufe über das Dreipunkt-Menü unter Einstellungen > Datenschutz und Sicherheit > Sicherheit, im Bereich Safe Browsing.
  • Microsoft Edge. Laut Microsoft analysiert SmartScreen Webseiten auf Verdächtiges und gleicht Downloads mit einer Liste gemeldeter Malware-Websites und -Programme ab. Bei einem Treffer blockiert SmartScreen den Download und zeigt dazu eine Warnung an.

Diese Listen hängen davon ab, dass Seiten gemeldet werden. Microsoft bietet selbst unter „Einstellungen und mehr“ > „Hilfe und Feedback“ eine Möglichkeit, eine unsichere Website zu melden. Keine Warnung heißt also nur: keine Warnung, nicht: sichere Seite.

Wie schütze ich mich beim Surfen?

Ein paar Gewohnheiten decken die meisten Risiken ab, die BSI und Google beschreiben.

  1. Browser und Gerät aktuell halten. Laut BSI sind viele Nutzer nachlässig mit Browser-Updates, und Drive-by-Angriffe nutzen ungeschlossene Lücken. Das BSI rät, verfügbare Sicherheitsupdates zeitnah zu installieren.
  2. Nichts herunterladen, was du nicht gesucht hast. Das BSI rät, bei Downloads stets die Quelle zu prüfen. Apple warnt, dass Software, die nicht signiert und beglaubigt ist, deinen Mac und deine persönlichen Daten Schadsoftware aussetzen kann, und rät zu Apps aus dem App Store oder direkt von der Website des Entwicklers.
  3. Pop-ups blockieren. Laut BSI lassen sich Pop-ups im Browser meist vollständig blockieren.
  4. Die Adresse prüfen, bevor du ein Passwort eingibst. Das BSI rät, stets die Adressleiste im Browser zu prüfen und häufig genutzte Anmeldeseiten als Lesezeichen zu speichern. Im Zweifel gehst du über die Startseite des Anbieters statt über einen Link.
  5. Einen Passwort-Manager und die Zwei-Faktor-Authentisierung nutzen. Das BSI empfiehlt, für jeden Dienst ein eigenes, starkes Passwort zu verwenden, einen Passwort-Manager zu nutzen und die Zwei-Faktor-Authentisierung zu aktivieren, wo möglich.

Was, wenn ich schon ein Passwort eingegeben oder etwas heruntergeladen habe?

Handle je nach Fall. Bei Passwörtern rät das BSI, das Passwort des betroffenen Kontos sofort zu ändern, ebenso bei anderen Konten mit demselben Passwort. Bei einem E-Mail-Konto beginnst du damit, weil darüber andere Passwörter zurückgesetzt werden können, und meldest dich laut BSI bei allen aktiven Sitzungen ab. Bei einem Download rät das BSI, das Gerät mit einem Virenschutzprogramm zu prüfen; werden Schadprogramme gefunden, müssen sie laut BSI entfernt werden, bevor du weitere Schritte unternimmst.

Ist dir Geld abhandengekommen, rät das BSI, deine Bank oder deinen Zahlungsdienstleister zu informieren, Karten oder Zugänge bei Anzeichen von Missbrauch sperren zu lassen und Anzeige zu erstatten, in Deutschland etwa über die Onlinewache der Polizei deines Bundeslandes. Fragen zur IT-Sicherheit beantwortet das Service-Center des BSI unter 0800 274 1000.

Wo Failshot passt

Failshot ist eine zweite Sicherheitsebene für deinen Mac, für einen anderen Moment: Jemand benutzt deinen Mac vor Ort. Dein Passwort ist die erste Ebene, Failshot ist die Ebene danach. Ist es eingeschaltet, fotografiert es die Person, die deinen Mac entsperrt, nimmt mit Pro danach ein 5-Sekunden-Video auf, und sein Fenster sagt der Person, dass die Entsperrung fotografiert wurde. Zum Ausschalten oder Beenden über sein Menü braucht es Touch ID oder deine Failshot-PIN und deine Antwort, nie dein Mac-Passwort.

Die Mac-App ist ein kostenloser Download ab macOS 14. Kostenlos nutzbar. Pro fügt Video, E-Mail-Warnungen und den verschlüsselten Tresor hinzu. Teste Failshot Pro für den Mac 7 Tage kostenlos auf failshot.app. Deine Karte wird bei der Anmeldung hinterlegt und am 8. Tag belastet, wenn du nicht vorher kündigst. Die App ist auf Englisch. Versionen für iPhone, Android und Windows folgen bald.

Weitere Fragen

Ist es sicher, eine Website mit der PHP-Lücke zu besuchen?

Die Lücke sitzt auf dem Server der Website, und laut PHP-Handbuch läuft PHP auf dem Server, nicht in deinem Browser. Das Problem für Besucher ist eine Website, die übernommen wurde. Sei dort vorsichtig bei unerwarteten Downloads, Umleitungen und Anmeldeaufforderungen, und halte deinen Browser aktuell.

Kann ich erkennen, ob eine Website PHP nutzt?

Nicht zuverlässig. Laut PHP-Handbuch kann ein Webserver so eingestellt werden, dass er alle Seiten mit PHP verarbeitet, und dann können Nutzer nicht erkennen, dass PHP im Einsatz ist.

Merkt ein Betreiber, dass seine Website gehackt wurde?

Nicht immer. Laut Google ist es nicht ungewöhnlich, dass Hacker Cloaking einsetzen, damit der Betreiber den Hack schwerer bemerkt. Das BSI schreibt außerdem, dass selbst seriös wirkende Seiten schädliche Werbebanner ausliefern können. Vorsicht bei Downloads und Passwörtern gilt also auch auf bekannten Seiten.

Wurde PHP2Shell schon gegen Websites eingesetzt?

Stand 23. Oktober 2026 schreibt das BSI, ihm sei noch keine erfolgreiche Ausnutzung in der Breite bekannt; Berichte über Ausnutzungsversuche zeigten aber, dass Angriffe versucht werden. Die US-Behörde CISA schreibt in ihrer Warnung vom 21. Oktober, überarbeitet am 23. Oktober, sie habe zum Zeitpunkt der Veröffentlichung keine erfolgreiche Ausnutzung dieser Schwachstellen in freier Wildbahn beobachtet. Laut PHP-Projekt ist nur ein Update eine vollständige Lösung.

Betrifft das mein Handy?

Nicht direkt. PHP2Shell betrifft PHP-Installationen, die Webanfragen verarbeiten, also Server, keine Handys. Eine gehackte Website kann trotzdem auf jedem Gerät eine falsche Anmeldeseite zeigen oder einen Download anbieten. Es gelten dieselben Gewohnheiten: Updates, Adresse prüfen, Zwei-Faktor-Authentisierung.

Quellen