PHP-Sicherheitslücke PHP2Shell: Was Gastronomen mit eigener Website jetzt tun müssen

Die PHP-Sicherheitslücke "PHP2Shell" vom 21. Oktober 2026 betrifft fast jede Restaurant-Website, die mit WordPress oder einem anderen PHP-System läuft. Angreifer können über zwei kritische Schwachstellen ohne Anmeldung Code auf dem Webserver ausführen. Geschlossen sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ruf heute deinen Hoster oder Webdesigner an und lass dir schriftlich bestätigen, dass das Update eingespielt ist.

Wir schreiben diesen Beitrag nicht vom sicheren Ufer aus. Auch gastro-piraten.de war am 21. Oktober betroffen: Unsere Website war über Stunden nicht erreichbar und danach deutlich langsamer, während die Server abgesichert wurden. Für einen Gastronomiebetrieb heißt so ein Tag: keine Online-Reservierungen, keine Speisekarte für Gäste, die gerade auf dem Handy nach einem Tisch für heute Abend suchen.

Die meisten Wirte schauen sich ihre eigene Website selten an. Sie wurde vor Jahren gebaut, läuft irgendwie, und wer sie technisch betreut, weiß oft niemand mehr genau. Genau deshalb ist diese Lücke für die Gastronomie gefährlicher als für viele andere Branchen. Hier steht, was du heute tun musst, in welcher Reihenfolge und mit welchem Satz am Telefon.

Was ist die PHP-Sicherheitslücke PHP2Shell?

PHP2Shell ist der Name für zwei kritische Schwachstellen im PHP-Interpreter, CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten bewertet. Sie erlauben es Angreifern, ohne Passwort und ohne Zutun eines Nutzers eigenen Code auf dem Webserver auszuführen und ihn damit im schlimmsten Fall komplett zu übernehmen. Das PHP-Projekt hat am 21. Oktober 2026 Updates veröffentlicht.

PHP ist die Programmiersprache, auf der ein großer Teil des Internets läuft, darunter WordPress, Joomla, Typo3 und viele Online-Shops. Die Lücke steckt nicht in einem einzelnen Plugin oder Theme, sondern im Kern von PHP selbst. Das macht sie so gefährlich: Ein sauber gepflegtes WordPress hilft nichts, wenn darunter ein veraltetes PHP läuft.

Das BSI hat eine Cybersicherheitswarnung herausgegeben und fordert Betreiber auf, die Updates noch am selben Tag einzuspielen. Mehrere Behörden, Kommunen und Kliniken haben ihre Websites vorsorglich vom Netz genommen. Die offiziellen Versionen und Hinweise veröffentlicht das PHP-Projekt auf php.net.

Die letzte Zeile ist für die Gastronomie die wichtigste. Viele Restaurant-Websites wurden vor fünf oder acht Jahren gebaut und seitdem nie technisch angefasst. Sie laufen oft auf PHP-Versionen, die schon lange keine Updates mehr bekommen. Für diese Seiten gibt es keinen schnellen Patch, sondern nur den Umstieg auf eine aktuelle Version.

Ist meine Restaurant-Website betroffen?

Deine Website ist betroffen, wenn sie auf einem eigenen Webspace oder Server mit PHP läuft, also typischerweise bei WordPress, Joomla, Typo3 oder einem selbst gehosteten Shop. Nutzt du einen Baukasten mit Komplettpaket, ist der Anbieter für die Serversoftware zuständig. Externe Reservierungs- und Bestellsysteme sichern ihre eigenen Server selbst ab.

Wenn du nicht weißt, auf welchem System deine Website läuft, ist das keine Schande, aber ein Warnsignal. Das ist der Moment, in dem du herausfinden solltest, wer deine Website eigentlich betreut. Meist steht der Hoster auf der Rechnung, die jedes Jahr für Domain und Webspace kommt.

Was muss ich heute tun?

Heute musst du drei Dinge erledigen: herausfinden, wer deine Website technisch betreut, dort schriftlich bestätigen lassen, dass das PHP-Update eingespielt ist, und prüfen, ob es eine aktuelle Sicherung der Website gibt. Kann das Update nicht sofort eingespielt werden, empfiehlt das BSI, die Seite vorübergehend vom Netz zu nehmen.

Punkt 6 wird oft vergessen. Wenn deine Website für einen Tag offline geht, ist das Google-Unternehmensprofil die wichtigste Anlaufstelle für Gäste. Dort stehen Öffnungszeiten, Telefonnummer, Speisekarte und oft ein Reservierungsbutton, der unabhängig von deiner Website funktioniert. Wie du das Profil richtig aufstellst, steht in Google Unternehmensprofil für Restaurants.

Was sage ich meinem Hoster oder Webdesigner?

Am besten fragst du schriftlich nach vier Dingen: ob deine Website auf PHP läuft und auf welcher Version, ob das Sicherheitsupdate gegen PHP2Shell eingespielt ist und wann, ob es Hinweise auf unberechtigte Zugriffe gibt und wann die letzte Sicherung erstellt wurde. Eine schriftliche Antwort ist dein Nachweis, falls später doch etwas auffällt.

Diesen Text kannst du direkt kopieren und per E-Mail an deinen Hoster oder deine Webagentur schicken:

Gute Hoster beantworten diese Fragen innerhalb eines Tages. Bei sogenannten Managed-Hosting-Paketen hat der Anbieter das Update in der Regel schon eingespielt. Bei einem eigenen Server oder einer Seite, die eine Agentur vor Jahren gebaut und dann sich selbst überlassen hat, ist das keineswegs sicher. Wenn du keine Antwort bekommst, ist das die eigentliche Antwort.

Woran erkenne ich, ob meine Website gehackt wurde?

Typische Anzeichen sind Weiterleitungen auf fremde Seiten, unbekannte Inhalte oder Links auf deiner Website, Warnhinweise von Google oder vom Browser, neue Benutzerkonten im Backend, eine plötzlich sehr langsame Seite und Beschwerden über Spam-Mails, die angeblich von deiner Adresse kommen. Ein Teil der Angriffe bleibt aber unsichtbar, deshalb ist die Prüfung durch den Hoster wichtig.

Eine langsame Seite allein ist kein Beweis für einen Angriff. Bei uns lag es am 21. Oktober an der Absicherung der Server, und viele Hoster haben ihre Systeme an diesem Tag gedrosselt oder kurz abgeschaltet. Wenn dir aber eines dieser Zeichen auffällt, sprich sofort mit deinem Hoster und lass die Seite prüfen, bevor du weiter Daten darüber einsammelst.

Was ist mit Reservierungen und Gästedaten?

Wenn über deine Website Gästedaten erfasst werden, etwa über ein Reservierungs- oder Kontaktformular oder eine Newsletter-Anmeldung, und es Hinweise auf einen Zugriff gibt, kann eine Meldepflicht entstehen. Eine Datenpanne mit Risiko für die Betroffenen muss nach Datenschutz-Grundverordnung innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden.

Geregelt ist das in Artikel 33 der Datenschutz-Grundverordnung. Die Frist beginnt, wenn du von der Panne erfährst, nicht wenn sie passiert ist. Besteht ein hohes Risiko für die Gäste, müssen nach Artikel 34 auch die Betroffenen informiert werden. Ob ein Fall meldepflichtig ist, kann dir dein Datenschutzbeauftragter oder ein Fachanwalt sagen. Wichtig ist, dass du es nicht einfach liegen lässt.

Ein guter Grund, das Thema grundsätzlich zu überdenken: Viele Betriebe sammeln über ihre Website mehr Daten, als sie brauchen. Ein Reservierungsformular, das Mails mit Namen, Telefonnummer und Geburtsdatum auf einem schlecht gepflegten Server ablegt, ist ein Risiko. Ein spezialisiertes Reservierungssystem, das auf professionellen Servern läuft und nur verlinkt oder eingebettet wird, ist meist sicherer. Was bei Kasse und Bestellsystemen zählt, steht in Kassensystem Gastronomie.

Was kostet ein Website-Ausfall ein Restaurant?

Ein Ausfall kostet ein Restaurant vor allem Reservierungen und Sichtbarkeit. Wer am Abend kurzfristig einen Tisch sucht, sucht auf dem Handy, findet eine Fehlermeldung und bucht beim Nachbarn. Dazu kommen Folgeschäden: Eine gehackte Seite kann von Google als gefährlich markiert und aus den Suchergebnissen genommen werden, und das dauert oft Wochen.

Rechne es einmal für deinen Betrieb durch. Wenn an einem normalen Freitag 15 Prozent deiner Reservierungen online kommen und ein Tisch im Schnitt 80 Euro Umsatz bringt, kostet jede verlorene Online-Reservierung genau diese 80 Euro, mal der Zahl der Gäste, die es nicht noch einmal per Telefon versuchen. Das ist an einem Tag überschaubar. Bei einer gehackten Seite, die zwei Wochen lang mit Warnhinweis in der Google-Suche steht, wird es spürbar.

Der größere Schaden ist oft unsichtbar. KI-Assistenten wie ChatGPT, Perplexity oder die Google-Antworten greifen auf deine Website zu, um Fragen wie "Wo kann ich heute Abend gut essen?" zu beantworten. Eine Seite, die offline ist oder als gefährlich gilt, fällt aus diesen Antworten heraus. Wie Restaurants in KI-Antworten sichtbar werden, erklären wir in KI in der Gastronomie.

Was solltest du nach dem Notfall regeln?

Nach dem Notfall solltest du drei Dinge dauerhaft regeln: einen festen Verantwortlichen für die Technik deiner Website mit Wartungsvereinbarung, regelmäßige Sicherungen, die auch wirklich wiederhergestellt werden können, und einen Plan, wie Gäste dich erreichen, wenn die Website ausfällt. Dazu kommt ein Termin: PHP 8.2 bekommt nur noch bis Ende 2026 Sicherheitsupdates.

Ein fester Verantwortlicher. Jede Website braucht jemanden, der sich um Updates kümmert, nicht nur um Inhalte. Das kann der Hoster mit einem Managed-Paket sein, eine Agentur mit Wartungsvertrag oder ein Freelancer. Wichtig ist, dass du weißt, wer es ist, und dass es schriftlich vereinbart ist. "Mein Neffe macht das" ist keine Wartungsvereinbarung.

Sicherungen, die funktionieren. Lass dir einmal im Jahr zeigen, dass eine Sicherung auch wieder eingespielt werden kann. Eine Sicherung, die nie getestet wurde, ist eine Hoffnung, kein Schutz.

Der Termin Ende 2026. Wer heute auf PHP 8.2 läuft, ist nach dem Update zwar sicher, bekommt ab Januar 2027 aber keine Sicherheitsupdates mehr. Plane den Umstieg auf PHP 8.4 oder 8.5 jetzt ein, solange du nicht unter Druck stehst. Bei älteren WordPress-Seiten mit vielen Plugins kann dieser Umstieg Anpassungen erfordern.

Ist es Zeit für eine neue Website? Wenn deine Seite auf PHP 7 oder älter läuft, seit Jahren niemand mehr daran gearbeitet hat und auf dem Handy schlecht aussieht, ist ein Neustart oft günstiger als die Reparatur. Worauf es bei einer Restaurant-Website heute ankommt, steht in Restaurant-Website erstellen.

Eine Website ist im Jahr 2026 kein Nebenprojekt mehr, sondern die Eingangstür für einen großen Teil der neuen Gäste. Sie gehört deshalb in die gleiche Kategorie wie die Kühlung in der Küche: Sie muss laufen, sie muss gewartet werden, und es muss jemand zuständig sein. In unserer Digitalisierungsberatung schauen wir uns Website, Reservierungsweg, Kasse und Google-Profil gemeinsam an und sagen dir unabhängig, was du brauchst und was nicht. Was unsere Gastronomieberatung insgesamt leistet, steht unter Gastronomieberatung.

Häufige Fragen zur PHP-Sicherheitslücke

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Schwachstellen im PHP-Interpreter, CVE-2026-109618 und CVE-2026-109619, bekannt geworden am 21. Oktober 2026. Sie ermöglichen es Angreifern, ohne Anmeldung Code auf Webservern auszuführen. Das BSI warnt mit Stufe Orange. Geschlossen sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Ist meine WordPress-Website betroffen?

Wahrscheinlich ja, wenn das PHP auf deinem Server noch nicht aktualisiert wurde. WordPress läuft auf PHP, und die Lücke sitzt in PHP selbst, nicht in WordPress. Ein aktuelles WordPress allein schützt deshalb nicht. Lass dir von deinem Hoster bestätigen, dass eine der sicheren PHP-Versionen läuft.

Was muss ich als Gastronom jetzt tun?

Finde heraus, wer deine Website technisch betreut, lass dir schriftlich bestätigen, dass das PHP-Update eingespielt ist, und prüfe, ob es eine aktuelle Sicherung gibt. Ändere danach die Passwörter für Backend und Hosting. Kann das Update nicht sofort eingespielt werden, empfiehlt das BSI, die Seite vorübergehend vom Netz zu nehmen.

Bin ich mit einem Website-Baukasten sicher?

Bei Baukästen mit Komplettpaket ist der Anbieter für die Serversoftware und damit für das Update zuständig. Du musst in der Regel nichts selbst tun. Eine kurze Nachfrage beim Support, ob die Lücke geschlossen ist, kostet dich aber nur eine Minute und schafft Klarheit.

Woran erkenne ich, ob meine Website gehackt wurde?

Warnzeichen sind Weiterleitungen auf fremde Seiten, unbekannte Inhalte, Warnhinweise von Google, neue Benutzerkonten im Backend, eine plötzlich sehr langsame Seite und Spam-Mails von deiner Adresse. Manche Angriffe bleiben unsichtbar. Lass deine Seite deshalb vom Hoster prüfen, auch wenn dir nichts auffällt.

Muss ich eine Datenpanne melden?

Wenn über deine Website Gästedaten gespeichert werden und es Hinweise auf einen Zugriff gibt, kann eine Meldepflicht entstehen. Nach Artikel 33 der Datenschutz-Grundverordnung musst du eine Datenpanne mit Risiko für die Betroffenen innerhalb von 72 Stunden der Aufsichtsbehörde melden. Ob dein Fall meldepflichtig ist, klärst du mit deinem Datenschutzbeauftragten oder einem Fachanwalt.

Was passiert mit PHP 8.2 nach 2026?

PHP 8.2 bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Danach bleiben neue Lücken in dieser Version offen. Wer heute auf PHP 8.2 läuft, sollte den Umstieg auf PHP 8.4 oder 8.5 jetzt mit seinem Hoster oder seiner Agentur einplanen. Ältere WordPress-Seiten brauchen dafür manchmal Anpassungen.

Deine Website ist die Tür, durch die heute die meisten neuen Gäste kommen. Wer nicht weiß, wer den Schlüssel hat, sollte das heute herausfinden.