PHP-Sicherheit
Mach deine Website statisch, und PHP2Shell läuft ins Leere.
Mit PHP2Shell kann jeder im Internet Code auf einem Server ausführen, dessen PHP nicht aktuell ist, ganz ohne Login, ob darauf nun WordPress, Joomla, Drupal oder TYPO3 läuft. MakeStatic macht aus deiner Website eine statische, die genauso funktioniert: dieselben Seiten, deine eigene Domain, Suche und Kontaktformulare inklusive. Für deine Besucher läuft kein PHP, also bietet deine öffentliche Website PHP2Shell keine Angriffsfläche. Kein Plugin, nichts zu installieren: Wir brauchen nur die Adresse.
Deine ganze Website, unter deiner eigenen Domain.
Während der Beta gratis, keine Kreditkarte.
Teste es mit einer deiner Seiten
Rund zwanzig Sekunden, ohne Konto. Du siehst deine Seite und die Kopie nebeneinander und klickst dich selbst durch.
Eine Kopie, die funktioniert wie deine Website
Ein einfacher HTML-Export speichert jede Seite mit den Dateien, auf die sie verweist. Was eine Seite erst nach dem Öffnen lädt, fehlt dann oft: Bilder, die beim Scrollen erscheinen, ein Menü, das sich aufbaut, Inhalte, die ein Skript nachholt, oder ein Link mit Weiterleitung. Und davon erfährst du dann von einem Besucher.
Eine Kopie von MakeStatic funktioniert wie deine Website, sie sieht nicht nur so aus. Du testest sie selbst im direkten Vergleich, bevor du irgendetwas entscheidest. Und verhält sich eine Seite der Kopie mal anders als deine, schreib an [email protected] und wir beheben es.
- Bilder, die beim Scrollen laden, in jeder Größe, die deine Website für Handy und großen Bildschirm hat.
- Schriften, Icons und alles, was dein Theme oder Page Builder mitbringt.
- Inhalte, die ein Skript nach dem Öffnen nachlädt, und Menüs, die beim Drüberfahren aufklappen.
- Links mit Weiterleitung leiten weiter wie bisher.
- Videos, die abspielen und sich vorspulen lassen.
- Kontaktformulare, die ankommen, und eine Suche, die Treffer liefert.
Warum eine statische Website außer Reichweite ist
Der Angriff ist eine Anfrage, die PHP verarbeitet. Er funktioniert an jeder Adresse, an der PHP beantwortet, was ein Besucher schickt, egal was die Website darauf tut, und auf manchen Servern, bevor der Code der Website und damit ihr Login gelaufen ist.
Eine statische Kopie beantwortet jeden Besuch mit Dateien. Für die Besucher läuft kein PHP: Die Suche läuft im Browser des Besuchers, Kontaktformulare kommen bei uns an, und eine Adresse, die es in der Kopie nicht gibt, wird schlicht nicht gefunden. Hinter der öffentlichen Adresse gibt es kein PHP, an das man den Angriff schicken könnte.
Deine Website, statisch, in drei Schritten
- Gib die Adresse deiner Website ein. Mehr brauchen wir nicht: kein Plugin, kein Passwort, das du herausgeben musst.
- MakeStatic kopiert die ganze Website in eine statische, die genauso funktioniert: Seiten, Bilder, Schriften, Suche und Kontaktformulare.
- Verbinde deine Domain, und deine Besucher bekommen die statische Website unter deiner eigenen Adresse. Du bearbeitest weiter, wo du es immer getan hast; wenn du veröffentlichst, zieht die Kopie nach.
Was PHP2Shell ist
Zwei Schwachstellen, CVE-2026-109618 und CVE-2026-109619, mit einer Ursache. Bricht PHP eine Anfrage vorzeitig ab, etwa weil der Speicher ausgeht, kann es Daten zurücklassen, die erst halb eingerichtet oder schon freigegeben sind. Eine Anfrage eines Angreifers kann PHP dazu bringen, diese Daten zu benutzen, und am Ende läuft Code auf dem Server. Das PHP-Projekt bewertet beide mit 9,2 von 10; der älteste betroffene Code reicht bis PHP 5.4 zurück, erschienen 2012.
Betroffen ist jedes PHP, das Anfragen aus dem Web beantwortet, egal wie der Server es betreibt: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Das PHP-Projekt sieht das höchste Risiko bei Apache mit mod_php, wo eine Anfrage von jemandem ohne Konto wirkt, bevor überhaupt Code der Website gelaufen ist. Die Forscher haben den Angriff gegen WordPress, Drupal, Joomla, Magento und andere vorgeführt.
Die Lücken wurden bekannt, bevor der Fix da war, und Cloudflare hat Angriffe auf seine Kunden gesehen. Das PHP-Projekt sagt, keine Einstellung schützt vollständig: Das Update ist der einzig sichere Weg.
Welche Versionen, und was sie behebt
- PHP 8.2 bis 8.5: behoben in 8.2.35, 8.3.36, 8.4.27 und 8.5.12, erschienen am 21. Oktober 2026.
- PHP 7.4, 8.0 und 8.1 bekommen vom PHP-Projekt keine neuen Versionen mehr. Es hat die Fixes dafür als Quellcode veröffentlicht; ob dein Hoster oder deine Distribution sie einspielt, liegt bei ihnen.
- PHP 5.4 bis 7.3 sind betroffen und bekommen keinen Fix. Der Ausweg ist eine unterstützte Version.
Und das System, in dem du bearbeitest?
Das System, in dem du bearbeitest, läuft weiter mit PHP. Es bleibt unter seiner eigenen Adresse online, und bis sein PHP aktualisiert ist, funktioniert PHP2Shell dort wie überall sonst. Sein Login schützt es nicht, denn die Lücke sitzt in PHP, unterhalb von WordPress oder Joomla. Aktualisiere sein PHP oder bitte deinen Hoster darum.
Was die Kopie ändert: Deine öffentliche Website hängt nicht davon ab. Nichts aus der Bearbeitungs-Installation erreicht deine Besucher, bevor du veröffentlichst, und jede Veröffentlichung listet die geänderten Seiten auf. Eine Seite, die sich ohne dich geändert hat, siehst du also vor deinen Besuchern.
Eine alte Website auf PHP 7? Schalte PHP ab.
Viele fertige Websites laufen noch mit PHP 7 oder 8.1, für die das PHP-Projekt keine Fixes mehr ausliefert. Bearbeitet niemand mehr eine solche Website, hält eine Kopie jede Seite unter ihrer Adresse online, und das alte PHP kann endgültig abgeschaltet werden.
Wenn deine Website mit PHP läuft
- Prüf, mit welcher PHP-Version sie läuft; die Verwaltungsoberfläche deines Hosters zeigt sie an. 8.2.35, 8.3.36, 8.4.27, 8.5.12 und alles danach sind behoben.
- Aktualisiere es. Eine geänderte Einstellung schließt die Lücke nicht, sagt das PHP-Projekt, und Cloudflare rät auch hinter seinen Firewall-Regeln zum Update.
- Prüf den Server auf Spuren eines Einbruchs, auch wenn er schon aktualisiert ist: Er kann übernommen worden sein, bevor es den Fix gab.
- Ist das passiert, räum sie zuerst auf. Eine Kopie zeigt, was die Website zeigt, inklusive allem, was dort eingeschleust wurde.
- Dann mach sie statisch, damit auch die nächste Lücke in PHP deine Besucher nicht erreicht.
Quellen
Die Sicherheitsmeldung des PHP-Projekts vom 21. Oktober 2026 auf php.net; seine Advisories GHSA-w8hw-w9fx-j79w und GHSA-6wmf-4rv5-p3rp auf GitHub; die Forschungsberichte von Calif und Wiz; Cloudflares Bericht über die Angriffe, die es abgewehrt hat. Geprüft am 22. Oktober 2026.
Häufige Fragen
- Braucht PHP2Shell einen Login?
- Nein. Laut PHP-Projekt funktionieren beide Lücken ohne jedes Konto, und bei Apache mit mod_php wirkt eine einzige Anfrage, bevor der Code der Website und damit ihr Login überhaupt gelaufen ist.
- Meine Website läuft mit WordPress. Ist sie betroffen?
- Ja, wenn auf ihrem Server ein PHP ohne den Fix läuft. WordPress, Joomla, Drupal und TYPO3 sind in PHP geschrieben, und die Lücke steckt in PHP, nicht in ihnen. Ein WordPress-Update behebt sie nicht, ein PHP-Update schon.
- Muss ich für eine statische Website auf WordPress verzichten?
- Nein. Du bearbeitest weiter in WordPress, Joomla oder worauf deine Website läuft, genau wie heute. Wenn du veröffentlichst, bekommen deine Besucher eine statische Kopie, die funktioniert wie die Website: Die Suche läuft in ihrem Browser, und Kontaktformulare kommen weiter bei dir an.
Während der Beta kostenlos
MakeStatic ist neu, und solange wir in der Beta sind, bekommst du alles kostenlos: deine ganze Website, unter deiner eigenen Domain. Keine Kreditkarte, keine Bindung.
Irgendwann wird MakeStatic etwas kosten. Sobald es einen Preis gibt, siehst du ihn, bevor sich an deiner Website irgendetwas ändert.