Bei Strato, IONOS, all-inkl, Hetzner und den meisten anderen deutschen Webhostern ist das PHP2Shell-Update auf den Webhosting-Plattformen eingespielt – wer ein Hosting-Paket, Managed WordPress oder einen Baukasten nutzt, muss dort selbst nichts patchen. Selbst handeln muss, wer einen eigenen Server betreibt, im Paket eine alte PHP-Version eingestellt hat oder Geräte mit Weboberfläche im Netz hat: NAS, Firewall, Telefonanlage.
Das sagen die Hoster in Pressemitteilungen und auf ihren Statusseiten vom 21. und 22. Oktober 2026. Primärquellen für die Lücke sind das PHP-Projekt und die Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI, Stufe Orange, Fassung vom 22. Oktober); die Übersichten über die Hoster führen heise und severint.net. Dieser Artikel ist der Anbieter-Blickwinkel zum Hauptartikel PHP2Shell: Was die kritische PHP-Lücke für Unternehmen bedeutet.
Drei Fragen klärt die Geschäftsführung dazu heute: Welches Hosting-Modell haben wir je Website? Hat unser Anbieter schriftlich bestätigt, dass unser Paket gepatcht ist? Und welche Geräte im Haus haben eine Weboberfläche, die aus dem Internet erreichbar ist?
Inhaltsverzeichnis
Hoster oder wir – wer ist zuständig?
Zuständig ist, wer PHP betreibt: bei Hosting-Paketen, Managed WordPress und Baukästen der Anbieter, bei VPS, Root-, Dedicated- und Cloud-Servern der Kunde oder sein IT-Dienstleister. Diese Trennung ziehen alle Hoster gleich, Strato und IONOS schreiben sie ausdrücklich in ihre Mitteilungen. Wer nicht weiß, welches Modell er hat, findet es auf der Rechnung des Hosters.
| Hosting-Modell | Wer patcht PHP | Was der Kunde trotzdem tut |
|---|---|---|
| Webhosting-Paket (Strato, IONOS, all-inkl, Hetzner Webhosting u. a.) | der Hoster | PHP-Version im Paket prüfen, Bestätigung lesen, Seite auf Spuren prüfen |
| Managed WordPress (Strato, IONOS, Raidboxes, Mittwald) | der Hoster für PHP | WordPress, Plugins und Themes bleiben meist Kundensache – das schließt diese Lücke nicht, hält aber die nächste fern |
| Baukasten (Strato SmartWebsite, IONOS Website Builder, Wix, Jimdo, Shopify) | der Anbieter, vollständig | nichts |
| Managed Server | der Anbieter im vereinbarten Umfang | Bestätigung mit Version und Datum einholen |
| VPS, Root-, Dedicated-, Cloud-Server | der Kunde oder sein IT-Dienstleister | Update einspielen, PHP und Webserver neu starten, Spurensuche ab 17. Oktober |
Was haben Strato, IONOS, all-inkl und Co. gemeldet?
Alle acht großen Hoster in der Tabelle melden ihre Webhosting-Plattformen seit dem 22. Oktober als gepatcht. Unterschiede gibt es bei alten PHP-Versionen: Fünf bestätigen die Korrektur auch für Versionen unter 8.2, Strato und IONOS sagen dazu nichts, Host Europe nennt keine Versionen. Die Tabelle fasst zusammen, was auf den Statusseiten und in den Mitteilungen steht – Stand 23. Oktober, 9:00 Uhr.
5 von 8
Hostern bestätigen die Korrektur ausdrücklich auch für alte PHP-Versionen. Wer bei einem der anderen drei eine Version unter 8.2 eingestellt hat, braucht eine eigene Antwort vom Support. Quelle: Statusseiten und Mitteilungen der Hoster, ausgewertet am 23. Oktober 2026
| Hoster | Stand | Was der Hoster sagt | Alte Versionen (unter 8.2) |
|---|---|---|---|
| STRATO | 22.10., Pressemitteilung | Update auf allen selbst betriebenen Plattformen eingespielt: Webhosting, Managed WordPress, SmartWebsite. VPS- und Dedicated-Kunden patchen selbst. Warnt vor Phishing-Mails, die sich auf die PHP-Lücke berufen | keine Angabe |
| IONOS | 22.10., 13:03, Statusseite „gelöst“ | Update auf allen eigenen Systemen; Nextcloud-Instanzen waren am 21.10. von 14:26 bis 22:55 Uhr vorsorglich abgeschaltet. VPS- und Bare-Metal-Kunden patchen selbst | keine Angabe |
| ALL-INKL.COM | 22.10., Hinweisseite | Alle angebotenen PHP-Versionen korrigiert, auch die vom Projekt nicht mehr unterstützten; keine Hinweise auf erfolgreiche Angriffe; Kunden sollen ihre Seiten auf fremde Dateien und Konten prüfen | ja, alle |
| Hetzner | 21.10. abends, 22.10. früh, Statusseite | Webhosting und Managed Server: 7.4 und 8.0 bis 8.5 am ersten Abend, 5.6 und 7.3 am Morgen danach. Cloud- und Dedicated-Kunden patchen selbst | ja, bis 5.6 |
| Mittwald | 22.10., 0:28, Statusseite | Systeme am 21.10. nachmittags komplett heruntergefahren, abends wieder online; alle Versionen außer unter 5.6 korrigiert | ja, ab 5.6 |
| netcup | 22.10., 4:09, Statusseite | Webhosting-Pakete und Managed Server vom Netz genommen, gepatcht, ab 22:51 Uhr wieder online | laut Übersichten ja |
| DomainFactory | 22.10., 17:07, Statusseite | Alle Systeme gepatcht, Korrekturen für 7.4 bis 8.1 eingebaut; VPS-Kunden patchen selbst | ja |
| Host Europe | 22.10., 15:30, Hilfeseite | „Alle Systeme wurden nun erfolgreich gepatcht“; unsichere PHP-Funktionen serverseitig abgeschaltet, wo nötig | nicht benannt |
Die Angaben zu Mittwald, netcup, DomainFactory und Host Europe stammen aus der laufend aktualisierten Übersicht von severint.net, die rund dreißig deutsche Hoster mit Quelle und Uhrzeit führt; Strato, IONOS, all-inkl und Hetzner haben wir direkt gelesen. Wer seinen Hoster hier nicht findet, sucht dort – oder fragt den Support, bis eine Antwort mit Version und Datum da ist.
Praxis-Tipp
Die Bestätigung steht nicht im Kundenmenü, sondern auf der Statusseite: ionos-status.de, status.hetzner.com, mittwald-status.de, netcup-status.de; Strato in der Pressemitteilung, all-inkl unter all-inkl.com/wichtig. Und Strato warnt zu Recht: Mails, die zur „PHP-Lücke“ auffordern, einen Link zu klicken oder Zugangsdaten einzugeben, sind Phishing. Die Statusseite ruft man selbst auf.
Was heißt „gepatcht“ beim Hoster – und was nicht?
„Unsere Plattform ist gepatcht“ heißt: Die PHP-Versionen, die der Hoster anbietet, haben die Korrektur. Es heißt nicht, dass jedes Kundenpaket geschützt ist, dass niemand vorher drin war, und dass alle Funktionen wieder laufen. Drei Dinge bleiben beim Kunden.
Die eingestellte Version. Viele Pakete laufen noch auf PHP 7.4, 8.0 oder 8.1, oft gegen Aufpreis als „Extended Support“. all-inkl, Hetzner und DomainFactory bestätigen die Korrektur auch für diese Versionen, Strato und IONOS sagen dazu nichts. Wer dort eine alte Version eingestellt hat, fragt nach – oder stellt die Domain auf 8.3 oder 8.4 um, mit Backup davor und einem Test der Seite danach.
Die Spuren von vorher. Die ersten Angriffsversuche liefen laut Amazon ab dem 17. Oktober, das Update kam am 21. Der Patch schließt die Tür, räumt aber nichts auf, was in diesen Tagen hereingekommen ist. all-inkl schreibt das offen und bittet die Kunden um die Prüfung – wie, steht im Blickwinkel-Artikel PHP2Shell: So prüfen Unternehmen, ob ihre Website betroffen ist.
Die Nebenwirkungen. Mittwald hatte Uploads abgeschaltet, manitu Formular-Anhänge gesperrt, IONOS seine Nextcloud-Instanzen, all-inkl WebMail und WebFTP. Die meisten Sperren sind aufgehoben, aber nicht jede Website hat es unbeschadet überstanden. Kontaktformular, Bewerbungsformular und Shop-Bestellung einmal selbst durchspielen – heute, nicht nächste Woche.
Der Hoster patcht seine Plattform. Was im Paket eingestellt ist und was im Serverraum steht, bleibt Sache des Betriebs.
Welche Geräte und Programme im Haus können betroffen sein?
Alles mit einer Weboberfläche kann PHP enthalten: Das BSI nennt in seiner zweiten Aktualisierung ausdrücklich Firewalls, Router, Load Balancer und NAS-Geräte und führt eine Liste betroffener Hersteller, die täglich wächst. Für Betriebe in Mittelbaden zählen vor allem die Geräte, die in fast jedem Büro stehen – NAS und Firewall.
| Gerät oder Programm | Stand (22./23. Oktober) | Was zu tun ist |
|---|---|---|
| Synology NAS | betroffen; Updates für PHP 7.4 bis 8.4, Mail Station und Calendar veröffentlicht (Advisory SA-26:14, kritisch); PHP 7.3 bekommt keins mehr | im Paket-Zentrum PHP und die genannten Pakete aktualisieren; das NAS-eigene PHP ist laut Synology von außen nicht erreichbar |
| QNAP NAS | betroffen laut BSI-Liste; QNAP untersucht noch, Updates waren am 22. Oktober nicht genannt (QSA-26-18) | bis zum Update nicht aus dem Internet erreichbar lassen – Port-Weiterleitung aus, Zugriff nur per VPN |
| Sophos Firewall, Endpoint, Central | nicht betroffen (Advisory Version 4, 22. Oktober); nur das Lizenzportal für die abgekündigte SG UTM war offline | nichts; seit 22. Oktober erkennen IPS-Signaturen Angriffsversuche auf dahinterliegende Webserver |
| Citrix NetScaler, F5, Palo Alto, pfSense, OPNsense, cPanel | laut BSI mindestens teilweise betroffen | Herstellerhinweis lesen, Verwaltungsoberfläche nicht aus dem Internet erreichbar lassen |
| Nextcloud, selbst betrieben | Nextcloud selbst ist eine PHP-Anwendung (BSI); IONOS hatte seine Instanzen deshalb abgeschaltet | das PHP darunter aktualisieren, Docker-Container neu bauen – ein Nextcloud-Update allein reicht nicht |
| FRITZ!Box | steht nicht in der BSI-Liste; eine Herstellermeldung zu PHP2Shell liegt uns nicht vor | kein bekannter Handlungsbedarf, Fernzugriff wie immer nur mit Bedacht |
Cisco, WatchGuard und Broadcom führt das BSI unter „Betroffenheit unbekannt oder nicht betroffen“. Die Liste ist nicht abschließend; wer ein Gerät mit Weboberfläche im Netz hat, das hier nicht steht, sieht beim Hersteller nach oder fragt den, der es betreut.
Was tun Betriebe ohne eigene IT heute?
Sie holen von jedem Beteiligten eine Antwort ein: vom Hoster die Bestätigung, vom IT-Dienstleister den Stand der eigenen Server, vom Hersteller den Hinweis zu jedem Gerät mit Weboberfläche. Die Technik erledigen die anderen; der Betrieb sorgt dafür, dass es heute passiert.
PHP2Shell – Anbieter und Geräte, heute klären
- Je Website das Hosting-Modell feststellen: Paket, Managed, Baukasten oder eigener Server
- Bestätigung des Hosters lesen oder anfordern – mit PHP-Version und Datum, bei Versionen unter 8.2 ausdrücklich
- Eigene Server und Cloud-Server: Update und Neustart durch die IT oder den Dienstleister bestätigen lassen
- Kontakt-, Bewerbungs- und Bestellformulare einmal selbst durchspielen
- Geräte mit Weboberfläche auflisten: NAS, Firewall, Telefonanlage, Kameras, Zeiterfassung – je Gerät den Herstellerhinweis prüfen
- Keine Links aus Mails anklicken, die sich auf die „PHP-Lücke“ berufen
Die Liste „welches Gerät hat eine Weboberfläche, wer hält es aktuell“ ist genau das, was ein Managed-IT-Vertrag führt. HÖLL in Baden-Baden übernimmt das für Betriebe in Mittelbaden im Rahmen der Managed IT Services von HÖLL: Server, Firewall und NAS stehen auf einer Liste, Updates laufen nach Plan, und bei einer BSI-Warnung meldet sich HÖLL beim Kunden – nicht umgekehrt. Wer nur den eigenen Server in gute Hände geben will, findet das unter Server Management, die Firewall unter Managed Firewall; den Überblick gibt die Seite IT-Lösungen von HÖLL.
Fazit
Wer sein Hosting-Paket bei Strato, IONOS, all-inkl, Hetzner oder einem der anderen großen Anbieter hat, muss PHP nicht selbst patchen – aber prüfen, welche Version im Paket eingestellt ist, ob die Formulare laufen und ob zwischen dem 17. und 21. Oktober jemand drin war. Eigene Server, NAS-Geräte und Firewalls bleiben Sache des Betriebs: Synology hat Updates, QNAP noch nicht, Sophos ist nicht betroffen, und für alles andere gilt die Liste des BSI.
Mehr dazu
- PHP2Shell: Was die kritische PHP-Lücke für Unternehmen bedeutet – der Hauptartikel
- PHP2Shell: So prüfen Unternehmen, ob ihre Website betroffen ist – Versionen, Fundorte, Spurensuche
Quellen
- PHP-Projekt (Primärquelle): Security advisory – Critical remote code execution vulnerabilities, update now (21. Oktober 2026): php.net
- BSI: IT-Sicherheitshinweis „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“, Nr. 2026-297981, Version 1.2, Kritikalität 3 / Orange (22. Oktober 2026): bsi.bund.de (PDF)
- STRATO: Pressemitteilung „PHP-Sicherheitslücken: Websites und Hosting bei Strato sind geschützt“ (22. Oktober 2026): strato.de
- IONOS: Statusseite, Vorfälle „Sicherheitswartung: Kurze Unterbrechungen bei PHP-basierten Diensten möglich“ und „Zugriff auf Nextcloud“ (21.–22. Oktober 2026): ionos-status.de
- ALL-INKL.COM: Wichtige Sicherheitsinformation zu CVE-2026-109618 und CVE-2026-109619 (22. Oktober 2026): all-inkl.com
- Hetzner: Statusseite, „PHP security issues CVE-2026-109618 and CVE-2026-109619“ (21.–22. Oktober 2026): status.hetzner.com
- severint.net: Wie deutsche Webhoster auf PHP2Shell reagiert haben (22. Oktober 2026, Stand 23. Oktober, 8:22 Uhr): severint.net
- Synology: Security Advisory SA-26:14 PHP2Shell (22. Oktober 2026): synology.com
- QNAP: Statement on Critical PHP Vulnerabilities (PHP2Shell), QSA-26-18 (22. Oktober 2026): qnap.com
- Sophos: Advisory PHP2Shell Vulnerabilities, Version 4 (22. Oktober 2026): sophos.com
- heise Security: php2shell – Wer nun was machen muss (22. Oktober 2026, 17:00 Uhr): heise.de
Stand: 23. Oktober 2026, 9:00 Uhr. Die Lage entwickelt sich; maßgeblich sind die Hinweise des PHP-Projekts, des BSI, des eigenen Hosters und der Gerätehersteller.
Häufige Fragen
Wir sind Strato-Kunde – müssen wir etwas tun?
Bei Strato Webhosting, Managed WordPress und SmartWebsite hat Strato das Update eingespielt, Kunden müssen dort nichts patchen. Zu alten PHP-Versionen im Paket sagt Strato nichts – wer unter 8.2 eingestellt hat, fragt nach oder stellt um. VPS- und Dedicated-Kunden aktualisieren selbst.
Was ist mit PHP 7.4 oder 8.1 im „Extended Support“ des Hosters?
Das PHP-Projekt liefert dafür nur Quellcode-Korrekturen, die der Hoster selbst einbauen muss. all-inkl, Hetzner, Mittwald und DomainFactory bestätigen das für ihre alten Versionen, Strato und IONOS haben sich dazu nicht geäußert. Ohne Bestätigung gilt die Version als ungeschützt.
Ist unser Synology-NAS betroffen?
Ja, wenn darauf PHP-Pakete, Mail Station oder Synology Calendar laufen. Synology hat am 22. Oktober Updates für PHP 7.4 bis 8.4 und beide Pakete veröffentlicht; PHP 7.3 bekommt keins mehr. Das im Betriebssystem eingebaute PHP ist laut Synology von außen nicht erreichbar.
Ist die Sophos-Firewall betroffen?
Nein. Sophos schreibt in seiner Sicherheitsmeldung vom 22. Oktober, dass keine Sophos-Produkte betroffen sind. Nur das Lizenzportal für die abgekündigte SG UTM lief auf einer betroffenen PHP-Version und war vorübergehend offline.
Warum ging unser Kontaktformular am 21. Oktober nicht?
Mehrere Hoster haben Uploads und Formular-Anhänge gesperrt oder ganze Plattformen vom Netz genommen, bis die Updates eingespielt waren – Mittwald, manitu, netcup und IONOS unter anderem. Die Sperren sind weitgehend aufgehoben; wer Formulare braucht, testet sie einmal selbst.
