PHP2Shell im Hosting: Stand bei Strato, IONOS und anderen Hostern

Am 21.10.2026 hat das PHP-Projekt zwei kritische Lücken geschlossen, die unter dem Namen PHP2Shell bekannt sind. Für Kunden von Strato, IONOS, All-Inkl und anderen Anbietern stellt sich bei PHP2Shell im Hosting vor allem eine Frage: Hat mein Hoster das Update schon eingespielt? Die Antwort steht meist auf seiner Statusseite. Einige Punkte bleiben trotzdem bei Ihnen.

Stand: 22.10.2026, 01:00 MESZ. Die Hoster ergänzen ihre Meldungen fortlaufend, spätere Einträge sind hier nicht berücksichtigt.

Wer ist bei Shared Hosting für das PHP-Update zuständig?

Bei Shared Hosting und Managed Servern installiert der Hoster PHP und spielt auch die Sicherheitsupdates ein. Sie selbst können PHP dort nicht patchen, nur die Version im Kundenmenü wählen. Auf einem eigenen Server, einem VPS oder in Docker-Containern sind Sie oder Ihr Dienstleister für das Update verantwortlich.

Die Hoster ziehen diese Grenze in ihren Meldungen selbst. IONOS und DomainFactory bitten Kunden mit selbst verwaltetem VPS ausdrücklich, das PHP-Update selbst zu installieren. Hetzner kündigt für Dedicated und Cloud Server eine separate E-Mail an.

PHP2Shell steckt in PHP selbst, nicht in einem einzelnen CMS. Über präparierte Anfragen können Angreifer ohne Login fremden Code auf dem Server ausführen. Korrigiert sind die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Die Aufteilung nach Betriebsmodell und alle Prüfschritte zu PHP2Shell stehen auf einer eigenen Seite.

Was haben die Hoster zu PHP2Shell veröffentlicht?

Hetzner, IONOS, netcup, Mittwald, DomainFactory und Hostinger haben am 21.10.2026 Statusmeldungen veröffentlicht und den Rollout der Patches dokumentiert. Bei netcup und Mittwald gingen die Webhosting-Systeme dafür vorübergehend vom Netz. Für All-Inkl und Strato fand sich keine öffentliche Stellungnahme.

Alle Zeiten in MESZ, alle Einträge vom 21.10.2026, wenn kein anderes Datum steht. Geprüft am 22.10.2026 um 01:00 MESZ.

Die Statusseiten beschreiben die ganze Plattform, nicht Ihr Paket. Ein Rollout dauert Stunden. Bei netcup waren um 22:02 rund 85 Prozent der Webseiten im Webhosting wieder online. Ob der Server Ihres Pakets dabei ist, sagt Ihnen erst der Support.

Wie prüfen Sie, ob Ihr Hoster gepatcht hat?

Lesen Sie die PHP-Version im Kundenmenü oder im Website-Zustand von WordPress ab und vergleichen Sie den Patch-Stand mit den korrigierten Versionen. Zeigt Ihr Hoster nur den Zweig oder eine ältere Nummer, klären Statusseite oder Support, ob er die Korrektur als Backport eingespielt hat.

Wie Sie die genaue Nummer finden, erklärt die Anleitung, mit der Sie die PHP-Version Ihrer Website herausfinden. Steht dort 8.3.36 oder höher, enthält Ihr Zweig die offizielle Korrektur. Gleiches gilt für 8.2.35, 8.4.27 und 8.5.12.

Eine niedrigere Nummer heißt nicht automatisch, dass Ihr Server offen ist. Hoster bauen Korrekturen oft in die vorhandene Version ein. Der Hoster netcup schreibt dazu ausdrücklich, die angezeigte PHP-Version könne unverändert sein, obwohl sie gepatcht ist. In diesem Fall ist die Aussage des Hosters der einzige Nachweis, den Sie als Kunde bekommen.

Warum sind alte PHP-Versionen im Kundenmenü ein Risiko?

Für PHP 8.1, 8.0 und 7.4 hat das PHP-Projekt keine neuen Versionen veröffentlicht, weil diese Zweige ihr Support-Ende erreicht haben. Es gab nur minimale Korrekturen im Quellcode. Ob diese Versionen geschützt sind, hängt davon ab, ob Ihr Hoster die Korrektur einbaut. Das gelingt nicht für jede Version gleich schnell.

Die Meldungen zeigen das deutlich. Mittwald hatte um 22:52 Patches für 7.2, 7.3, 7.4 und 8.1 ausgerollt, für 5.6, 7.0, 7.1 und 8.0 aber nicht, Websites auf diesen Versionen waren dort noch offline. Am 22.10.2026 um 00:28 meldete Mittwald die Korrektur für fast alle Versionen, ausgenommen PHP unter 5.6. Hetzner meldete um 19:50 gepatchte Versionen ab 7.4, Backports für ältere Versionen waren in Arbeit.

Bei der nächsten Lücke kann das anders ausgehen, denn ein Hoster muss alte Zweige nicht mitpflegen. Für PHP 8.2 endet die offizielle Versorgung am 31.12.2026. Prüfen Sie das Support-Ende der einzelnen PHP-Versionen und planen Sie bei 8.1 oder älter die Umstellung auf eine unterstützte PHP-Version. Testen Sie den Wechsel vorher, denn ältere Plugins und Themes laufen nicht immer auf neuen Versionen.

Welche Fragen sollten Sie dem Hoster-Support stellen?

Fragen Sie konkret nach Ihrem Paket und Ihrer PHP-Version, nicht allgemein nach PHP2Shell. Eine Statusmeldung beschreibt die ganze Plattform, Ihr Server kann später an der Reihe sein. Mit diesen fünf Fragen bekommen Sie eine Antwort, die Sie auch dokumentieren können.

• Läuft auf dem Server meines Pakets für jede PHP-Version, die ich nutze, eine Version mit den Korrekturen vom 21.10.2026?
• Wurden nach dem Update alle PHP-Prozesse neu gestartet?
• Wie ist meine ältere PHP-Version abgesichert, und wie lange pflegen Sie sie weiter?
• Welche vorsorglichen Einschränkungen, etwa bei Uploads, sind auf meinem Paket aktiv, und wann nehmen Sie sie zurück?
• Gab es Hinweise auf Angriffe auf meinem Server, und kann ich die Zugriffs- und Fehlerlogs meiner Website einsehen?

Bewahren Sie die Antwort auf. Sie belegt später, wann Ihr Server gepatcht war.

Was bleibt Ihre Aufgabe, wenn der Hoster gepatcht hat?

Der Hoster schließt die Lücke in PHP, nicht in Ihrer Website. Für WordPress, Plugins, Themes und eigene Skripte sind Sie selbst zuständig. Prüfen Sie außerdem Formulare und Uploads, und tauschen Sie Zugangsdaten, wenn Ihnen auf der Website etwas verdächtig vorkommt.

Mittwald hat zum Beispiel angekündigt, Uploads vorsorglich zu deaktivieren. Testen Sie deshalb Kontaktformulare, Bewerbungsformulare und den Datei-Upload im CMS, sobald Ihr Hoster die Einschränkungen aufhebt.

Ein Patch entfernt keine Schadsoftware, die vorher auf den Server gelangt ist. Achten Sie auf unbekannte Dateien, neue Administratorkonten und Spam aus Ihrem Postfach. Gibt es solche Anzeichen, ändern Sie die Passwörter für CMS, FTP oder SFTP und Datenbank. Sind personenbezogene Daten betroffen, binden Sie Ihren Datenschutzbeauftragten ein.

Betreut ein Dienstleister die Pflege und den Betrieb Ihrer Website, klären Sie mit ihm, wer diese Punkte übernimmt. Sonst geht jeder davon aus, dass der andere sie erledigt.

Häufige Fragen von Hosting-Kunden zu PHP2Shell

Meine Website war am 21.10.2026 nicht erreichbar. Lag das an PHP2Shell?

Gut möglich. Die Hoster netcup und Mittwald haben ihre Webhosting-Systeme an diesem Tag vorsorglich vom Netz genommen, IONOS hat kurze Unterbrechungen angekündigt. Vergleichen Sie die Uhrzeit des Ausfalls mit der Statusseite Ihres Hosters. Dort steht auch, wann die Systeme wieder online waren.

Muss ich im Kundenmenü eine neuere PHP-Version wählen?

Für die Korrektur selbst nicht, wenn Ihr Hoster Ihre Version gepatcht hat. Nutzen Sie aber PHP 8.1 oder älter, hängt Ihre Sicherheit von Backports des Hosters ab. Planen Sie dann den Wechsel und testen Sie Ihre Website vorher mit der neuen Version.

Reicht es, wenn mein Hoster gepatcht hat?

Für PHP ja, für Ihre Website nicht. CMS, Plugins und Themes müssen Sie weiter selbst updaten. War Ihre Website vor dem Patch erreichbar, prüfen Sie zusätzlich, ob unbekannte Dateien oder Benutzerkonten aufgetaucht sind.

Mein Hoster schreibt, er sei nicht betroffen. Was heißt das?

Hostinger hat am 21.10.2026 gemeldet, seine Plattform sei nach eigenen Tests nicht verwundbar, und spielt die gepatchten Versionen trotzdem ein. Solche Aussagen kann nur der Hoster belegen. Fragen Sie nach, welche PHP-Version mit Korrektur auf Ihrem Paket läuft.

Ist ein Webhosting-Paket bei PHP2Shell sicherer als ein eigener Server?

Das hängt vom Betreiber ab. Beim Webhosting bestimmt der Hoster, wann gepatcht wird, und Sie können nur nachfragen. Auf dem eigenen Server bestimmen Sie den Zeitpunkt selbst, müssen das Update aber auch selbst einspielen und alle PHP-Prozesse neu starten.

Wo finde ich die Statusseite meines Hosters?

Die meisten Hoster verlinken sie im Hilfe-Center oder in der Fußzeile ihrer Website. Oft lautet die Adresse status gefolgt vom Namen des Hosters. Die Tabelle oben verlinkt die Meldungen von Hetzner, IONOS, netcup, Mittwald, DomainFactory und Hostinger direkt.