PHP2Shell beheben im Webhosting: Anleitung für IONOS, Strato, All-Inkl & Co.

Kurz gesagt: Bei Webhosting ist meist Ihr Hoster dafür zuständig, PHP selbst abzusichern. Sie sollten trotzdem prüfen, welche PHP-Version Ihre Website nutzt, denn eine zu alte Version müssen Sie im Kundenmenü selbst umstellen.

Für wen ist diese Anleitung?

Für alle, die für ihre Website monatlich bei einem Anbieter bezahlen und keinen eigenen Server betreuen. Typische Beispiele sind IONOS, Strato, All-Inkl, Hetzner Webhosting, netcup, HostEurope, Mittwald oder webgo. Sie loggen sich dort in ein Kundenmenü ein, um zum Beispiel E-Mail-Adressen anzulegen.

Wenn Sie nicht wissen, wo Ihre Website liegt: Schauen Sie, an wen Sie jeden Monat für „Hosting“, „Webspace“ oder „Homepage-Paket“ zahlen.

Wer muss was tun?

Beim Webhosting teilen Sie sich die Arbeit mit Ihrem Hoster:

Aufgabe	Zuständig
PHP-Programm auf dem Server reparieren (Sicherheitsupdate einspielen)	Ihr Hoster
Auswählen, welche PHP-Version Ihre Website nutzt (z. B. 7.4 oder 8.3)	Sie
Prüfen, ob Ihre Website mit der gewählten Version funktioniert	Sie bzw. Ihre Agentur

Seriöse Hoster spielen Sicherheitsupdates für alle unterstützten PHP-Versionen zentral ein. Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Für sehr alte Versionen wie PHP 7.4, 8.0 oder 8.1 gibt es aber keine offiziellen Updates mehr. Läuft Ihre Website noch damit, kann der Hoster sie nur eingeschränkt schützen. Dann müssen Sie wechseln.

Schritt 1: PHP-Version Ihrer Website herausfinden

1. Loggen Sie sich in das Kundenmenü Ihres Hosters ein.
2. Öffnen Sie Ihren Vertrag bzw. Ihr Hosting-Paket.
3. Suchen Sie einen Menüpunkt wie „PHP-Version“, „PHP-Einstellungen“, „Skriptsprachen“ oder „Domain-Einstellungen“. Dort steht für jede Domain, welche PHP-Version genutzt wird.

Notieren Sie die Version. Sie sieht zum Beispiel so aus: 8.3 oder 7.4.

Sie finden den Menüpunkt nicht? Die meisten Hoster haben einen Hilfe-Artikel mit dem Titel „PHP-Version ändern“. Suchen Sie danach in der Hilfe Ihres Hosters.

Schritt 2: Ist die Version noch unterstützt?

Ihre PHP-Version	Was das bedeutet
8.2, 8.3, 8.4 oder 8.5	Gut. Ihr Hoster kann das Sicherheitsupdate einspielen. Fragen Sie nach, ob das schon passiert ist (Schritt 3).
8.1, 8.0 oder 7.4	Kritisch. Es gibt keine offiziellen Updates. Wechseln Sie auf mindestens 8.2 (Schritt 4).
7.3 oder älter	Sehr kritisch. Diese Versionen haben seit Jahren viele offene Lücken. Ein Wechsel ist dringend, aber aufwendig (siehe alte PHP-Version).

Schritt 3: Beim Hoster nachfragen

Schicken Sie Ihrem Hoster eine kurze Nachricht über das Support-Formular. Zum Beispiel:

Guten Tag,
meine Website [Ihre Domain] läuft in Ihrem Hosting mit PHP [Version].
Haben Sie die Sicherheitsupdates gegen PHP2Shell (CVE-2026-109618 und
CVE-2026-109619) für diese PHP-Version bereits eingespielt?
Vielen Dank!

Viele Hoster veröffentlichen bei großen Lücken auch eine Statusmeldung auf ihrer Website oder im Kundenmenü.

Schritt 4: PHP-Version umstellen (nur wenn nötig)

Ist Ihre Version zu alt, stellen Sie im selben Menü eine neuere Version ein. Wählen Sie die kleinste noch unterstützte Version, die Ihre Software verträgt, meist 8.2 oder 8.3. Ein kleinerer Sprung bedeutet weniger Risiko.

Lesen Sie vorher unbedingt den nächsten Abschnitt.

Welche Risiken hat der Wechsel der PHP-Version?

Ein Sicherheitsupdate innerhalb derselben Version (z. B. von 8.3.20 auf 8.3.36) macht Ihr Hoster. Das ist fast immer unproblematisch.

Der Wechsel auf eine neue Hauptversion (z. B. von 7.4 auf 8.2) ist dagegen ein echter Eingriff. PHP ändert mit jeder Hauptversion Regeln. Älterer Programmcode, der früher funktioniert hat, kann dann Fehler auslösen. Mögliche Folgen:

• Die Website zeigt eine weiße Seite oder die Meldung „Kritischer Fehler“.
• Einzelne Funktionen fallen aus, zum Beispiel das Kontaktformular, der Warenkorb, der Login oder die Zahlungsabwicklung.
• Alte Plugins, Themes oder Erweiterungen funktionieren nicht mehr, weil sie seit Jahren niemand gepflegt hat.
• Fehler fallen erst später auf, zum Beispiel nur beim Bezahlen oder beim Versand von E-Mails.

So senken Sie das Risiko:

1. Sicherung anlegen. Die meisten Hoster bieten im Kundenmenü eine Sicherung (Backup) von Dateien und Datenbank an.
2. Zuerst Ihre Software aktualisieren. WordPress, Shop-System, Plugins und Theme auf den neuesten Stand bringen. Neuere Versionen sind fast immer mit neuerem PHP kompatibel.
3. Zu einer ruhigen Zeit umstellen, zum Beispiel abends, nicht vor einer Aktion oder am Monatsende.
4. Direkt danach alles Wichtige testen: Startseite, Kontaktformular, Login, eine Testbestellung.
5. Zurückstellen, wenn etwas kaputt ist. Sie können die alte PHP-Version im selben Menü sofort wieder auswählen. Das ist Ihr Notfallplan. Danach muss jemand den Code anpassen, denn die alte Version bleibt unsicher.

Wenn Ihre Website von einer Agentur gebaut wurde, lassen Sie den Wechsel am besten von ihr machen oder begleiten.

So prüfen Sie, ob es geklappt hat

Prüfen Sie Ihre Website mit unserem kostenlosen Check. Viele Hoster zeigen die PHP-Version nicht nach außen. Dann lautet das Ergebnis „Unklar“. In diesem Fall verlassen Sie sich auf die Version im Kundenmenü und die Antwort Ihres Hosters.