Aktuell

PHP2Shell-Statusübersicht: Wer warnt, wer hat gepatcht, wer ist offline?

Laufend aktualisiert: Warnungen von Behörden, Patch-Stand von Hostern und Distributionen sowie vorsorgliche Abschaltungen rund um PHP2Shell.

22. Oktober 2026

Security
Updates
Kommunen

PHP2Shell betrifft weltweit Millionen Webseiten und Anwendungen. Wer sich gerade fragt, ob der eigene Hoster schon fertig ist, warum eine Behördenseite nicht erreichbar ist oder welche offiziellen Warnungen es gibt, findet hier den aktuellen Stand auf einen Blick.

Laufend aktualisierte Übersicht

Stand: 22.10.2026, 6. Aktualisierung

Diese Übersicht fasst öffentlich bekannte Angaben zu PHP2Shell zusammen: Warnungen von Behörden, den Patch-Stand von Herstellern, Hostern und Distributionen sowie vorsorgliche Abschaltungen öffentlicher Stellen. Wir führen nur auf, was die jeweilige Stelle selbst oder seriöse Medien veröffentlicht haben, jeweils mit Quelle. Wir aktualisieren die Übersicht mehrmals täglich. Zur Lage: Große Hoster wie Hetzner und IONOS haben ihre verwalteten Systeme gepatcht. Erste öffentliche Stellen sind wieder online, etwa in Thüringen und bei der Polizei NRW. Viele Angebote, vor allem in Nordrhein-Westfalen, Berlin und Baden-Württemberg, sind weiterhin eingeschränkt – in Baden-Württemberg auch zahlreiche Kommunen. Eine große Schadwirkung wurde nach Medienberichten bislang nicht beobachtet.

Neu seit der letzten Aktualisierung

22.10.2026, 6. Aktualisierung

Neu offline gemeldet: Laut SWR-Newsticker sind mehrere Kommunen in Baden-Württemberg offline, darunter die Stadt Pforzheim. Bereits gemeldet: Die Cyberbehörde CSA in Singapur warnt ebenfalls; die Lücken stehen weiterhin nicht im KEV-Katalog der CISA. IONOS hat das Update abgeschlossen; Thüringen, die Polizei NRW und die IONOS-Dienste sind wieder online.

Hintergründe, Prüfbefehle und Empfehlungen finden Sie in unserem ausführlichen Beitrag „PHP2Shell: Wer kümmert sich eigentlich um das PHP auf Ihrer Webseite?“.

1. Warnungen von Behörden

BSI (Deutschland), 21.10.: Cybersicherheitswarnung mit Kritikalität 3 (orange), inzwischen in Version 1.1. Aufruf, die Patches unverzüglich zu installieren.
CERT-EU, 20.10.: Security Advisory 2026-018, Empfehlung, aus dem Internet erreichbare PHP-Anwendungen bis zum Patch zu isolieren.
CERT.at (Österreich), 20.10.: Warnung vor dem bevorstehenden Sicherheitsupdate.
CISA (USA), 21.10.: Warnung „Critical Vulnerabilities in PHP Require Immediate Patching“. Die Lücken stehen weiterhin nicht im Katalog nachweislich ausgenutzter Schwachstellen (KEV).
NCSC (Großbritannien), 21.10.: eigene Warnung veröffentlicht.
NCSC-NL (Niederlande), 21.10.: keine Hinweise auf aktive Ausnutzung, aber kurzfristig großflächige Angriffe erwartet.
CSA (Singapur), 21.10., aktualisiert 22.10.: Warnung mit dem Aufruf, sofort zu aktualisieren.

2. Patch-Stand von Hostern, Panels und Distributionen

Angaben nach eigener Meldung der Anbieter. ✅ = Updates verfügbar bzw. eingespielt, ⏳ = teilweise noch in Arbeit. Bei PHP 7.4 bis 8.1 bleibt die Versionsnummer meist gleich – entscheidend ist das Build-Datum ab dem 21. Oktober. Wichtig: Bei Hostern gilt der Status für deren verwaltete Angebote wie Webhosting und Managed Server. Eigene virtuelle oder dedizierte Server müssen die Kunden selbst aktualisieren.

✅ Hetzner: Webhosting und Managed Server mit PHP 7.4 und 8.0 bis 8.5 gepatcht (21.10., 19:50 Uhr), Backports für ältere Versionen in Arbeit. Cloud- und Dedicated-Server verwalten die Kunden selbst. Statusseite
✅ IONOS: Sicherheitsupdate auf allen Systemen eingespielt; seit 22.10., 10:02 Uhr laufen laut IONOS alle Dienste wieder stabil. Laut IONOS sind die Websites bei IONOS geschützt. Selbstverwaltete Anwendungen auf VPS oder Bare-Metal-Servern müssen die Kunden selbst aktualisieren. Statusseite, IONOS-Mitteilung
✅ cPanel: EA4 25.91 mit PHP 8.2 bis 8.5 in den korrigierten Versionen.
✅ DirectAdmin: 8.2 bis 8.5 aktualisiert, 7.4, 8.0 und 8.1 unter gleicher Versionsnummer gepatcht.
✅ CloudLinux: gepatchte alt-php-Pakete (5.2 bis 8.5) seit 22.10., 02:07 Uhr; ea-php-Pakete freigegeben.
✅ Ubuntu: USN-8948-1 und USN-8948-2, Standard-Support für 22.04 bis 26.10, ältere Versionen über Ubuntu Pro ESM. PHP 8.1 unter 22.04 ohne geänderte Versionsnummer gepatcht. Ubuntu-Blog
✅ Debian: DSA-6574-1 (Debian 13) und DLA-4848-1 (Debian 12).
✅ Red Hat: RHSA-2026:87072 (RHEL 9, php 8.2) und RHSA-2026:87080 (RHEL 8, php 7.4).
✅ AlmaLinux: gepatchte Pakete veröffentlicht. AlmaLinux-Blog
✅ TuxCare: Patches für PHP-Versionen, die vom PHP-Projekt keine Updates mehr erhalten. TuxCare-Blog
⏳ Plesk: Unter Linux gepatchte Pakete für 8.2 bis 8.5 sowie neu gebaute 7.4, 8.0 und 8.1 verfügbar. Für Plesk unter Windows und das PHP der Plesk-Oberfläche selbst (sw-engine) lag uns bis zum Stand dieser Übersicht noch keine Meldung über eine fertige Korrektur vor. Empfehlung bis dahin: Zugang zur Plesk-Oberfläche auf bekannte IP-Adressen oder VPN beschränken. Plesk-Hinweis

Schutzregeln von Sicherheitsanbietern

Cloudflare: WAF-Regeln für alle Tarife einschließlich des kostenlosen, ausdrücklich nur als Notlösung. Sie wirken nur, wenn der Server ausschließlich Verbindungen über Cloudflare annimmt.
Check Point: IPS-Schutzregel CPAI-2026-15172.
Sophos: Advisory veröffentlicht, Prüfung der eigenen Produkte läuft. Eine IPS-Signatur für die Sophos Firewall war uns bis zum Stand dieser Übersicht nicht bekannt.

3. Wieder online

✅ IONOS: Die vorsorglich abgeschalteten Nextcloud-Instanzen sind seit dem Abend des 21.10. wieder verfügbar; Control-Center und Website-Builder laufen seit 22.10., 09:15 Uhr wieder stabil, alle übrigen Dienste seit 10:02 Uhr. Quelle
✅ Thüringen: seit dem Abend des 21.10. wieder online, unter anderem Staatskanzlei, Landespolizei und Innenministerium. Quelle
✅ Polizei Nordrhein-Westfalen: mehrere Online-Dienste nach Angaben des Landesamts für Zentrale Polizeiliche Dienste wieder erreichbar (22.10.). Quelle

4. Weiterhin offline (vorsorglich)

Kein Hinweis auf einen Angriff

Die hier genannten Stellen haben ihre Angebote vorsorglich vom Netz genommen, um Updates einzuspielen. Das ist eine Schutzmaßnahme und kein Hinweis auf einen erfolgreichen Angriff. Sobald uns eine Meldung über die Wiederinbetriebnahme vorliegt, verschieben wir den Eintrag in die Rubrik „Wieder online“.

Landesregierung Baden-Württemberg: Webseiten der Ministerien und Regierungspräsidien (seit 21.10.). Quelle
Kommunen in Baden-Württemberg: Laut SWR-Newsticker vom 22.10. sind mehrere Kommunen offline, darunter die Stadt Pforzheim. Quelle SWR
Weitere Landesregierungen: Bayern und Hessen (seit 21.10.). Quelle
Nordrhein-Westfalen: mehrere bekannte Webseiten, darunter die Homepage des Kreises Düren und Webseiten in Aachen (Stand 22.10. morgens). Quelle
Berlin: Hauptstadtportal berlin.de, Kliniken einschließlich der Charité sowie die Webseiten der Berliner Feuerwehr. Quelle, Quelle Feuerwehr
Städte: Mainz (Ämter telefonisch und per Mail erreichbar) und Dresden (seit 21.10.).
Hochschulen in Baden-Württemberg: Universitäten Freiburg, Heidelberg, Tübingen und Ulm sowie das KIT (seit 21.10.). Quelle
Ruhr-Universität Bochum: von außen gesperrt bis voraussichtlich 22.10., 12 Uhr; intern und per VPN erreichbar. Aktueller Status: noch keine Meldung.
Uniklinik Freiburg: Webseite vorsorglich offline (seit 21.10.). Quelle
Kommunale IT-Dienstleister: einzelne Fachanwendungen und Online-Dienste vorsorglich abgeschaltet.
International: Behörden in den Niederlanden (u. a. das Parlament und rund hundert öffentliche Einrichtungen über einen gemeinsamen Anbieter), Finnland, Dänemark und Frankreich. Quelle
Unternehmen und Plattformen: BambooHR (USA, Kanada, Irland), easybill, wiki.gg, Choice of Games, Angebote der Caritas und der NÖN sowie zahlreiche Hoster mit vorübergehend pausierten PHP-Diensten oder gesperrten Uploads.

Fragen zu Ihrer Umgebung?

Wir helfen beim Prüfen Ihrer Webseiten und Anwendungen und bei der Abstimmung mit Hostern und Dienstleistern.

Kontakt aufnehmen

Quellen & weiterführende Links

Diese Übersicht enthält ausschließlich öffentlich bekannte Angaben. Der Patch-Stand eines Anbieters sagt nichts darüber aus, ob ein einzelner Server bereits aktualisiert ist – fragen Sie im Zweifel direkt bei Ihrem Hoster nach.