PHP2Shell: Ist deine Website gerade angreifbar?

Was gerade mit PHP2Shell passiert

Besonders beunruhigend an diesem Fall ist der Zeitpunkt der ersten Angriffe. Normalerweise haben Administratoren nach der Veröffentlichung eines Patches etwas Vorlauf, bevor Angreifer die Lücke tatsächlich ausnutzen. Hier liefen erste Angriffsversuche bereits vor dem offiziellen Patch, was bedeutet, dass Informationen über die Schwachstelle früher im Umlauf waren, als den meisten Website-Betreibern bewusst war.

Für die Einordnung hilft ein Blick auf die schiere Verbreitung von PHP. Laut unabhängigen Webanalysen läuft die Sprache auf rund 70 Prozent aller Websites mit bekannter serverseitiger Programmiersprache, WordPress allein macht einen Großteil davon aus. Eine Lücke dieser Schwere betrifft deshalb nicht eine Nischen-Technologie, sondern einen Großteil des sichtbaren Internets gleichzeitig.

Für Entscheider ohne technischen Hintergrund ist genau diese Breite das eigentlich Beunruhigende. Es reicht nicht, die eigene Branche oder das eigene System als vermeintlich uninteressant für Angreifer einzuschätzen. Automatisierte Angriffswerkzeuge scannen das gesamte Internet nach verwundbaren Servern, unabhängig davon, ob dahinter ein großer Konzern oder ein einzelner Berater steht.

Genau deshalb lohnt sich dieser Artikel auch dann, wenn du selbst gerade keine akuten Probleme bemerkst. Die Abwesenheit von sichtbaren Symptomen bedeutet bei dieser Art von Lücke nicht automatisch Sicherheit, sondern häufig nur, dass noch niemand die Schwachstelle bei dir gezielt ausgenutzt hat.

Warum das für dich kein IT-Detail ist

PHP-basierte Systeme vs. Webflow

Der Unterschied zwischen beiden Systemen ist dabei nicht graduell, sondern strukturell. Es geht nicht darum, wer schneller patcht, sondern wer von dieser Kategorie Sicherheitslücke überhaupt theoretisch betroffen sein kann:

Technisches Fundament

Was das konkret bedeutet

Risiko bei Lücken wie dieser

WordPress & Co. (PHP) 🚨

Läuft dauerhaft auf einem PHP-Prozess, der jede Anfrage verarbeitet.

Jede neue PHP-Lücke betrifft dich direkt, auch bei aktuellen Plugins.

Du bist auf schnelles Patchen durch Hoster oder Agentur angewiesen.

Webflow 🏆

Liefert statische, vorgerenderte Seiten über ein CDN, ohne PHP-Prozess.

Es gibt schlicht keinen PHP-Code, den diese Lücke angreifen konnte.

Diese komplette Kategorie von Lücken betrifft dich strukturell nicht.

Das bedeutet nicht, dass Webflow grundsätzlich gegen jede Form von Sicherheitsproblem immun ist. Es bedeutet, dass diese spezifische, gerade akute Kategorie von Angriffen, PHP-basierte Remote Code Execution, bei einer statisch ausgelieferten Website schlicht keinen Angriffspunkt findet.

Diese Struktur ist auch der Grund, warum Webflow-Websites in den vergangenen Jahren bei vergleichbaren PHP-Sicherheitslücken nie in denselben Krisen-Meldungen auftauchten, die WordPress-Betreiber regelmäßig betreffen. Es ist keine einmalige Ausnahme, sondern eine wiederkehrende Konsequenz der grundlegend anderen Architektur.

Das soll kein Pauschalurteil gegen WordPress als Software sein, viele erfolgreiche Unternehmen betreiben es professionell und sicher. Es geht vielmehr um eine strukturelle Eigenschaft: Jedes System, das bei jeder einzelnen Anfrage Code auf dem Server ausführt, trägt diese Art Risiko dauerhaft mit sich, unabhängig von der Qualität der Pflege.

Wer heute eine neue Website plant, kann diese Überlegung direkt in die Plattform-Entscheidung einfließen lassen, statt sie erst im Nachhinein zu bereuen. Die Frage lautet nicht, ob WordPress grundsätzlich schlecht ist, sondern ob du bereit bist, diese Art von Verantwortung dauerhaft selbst zu tragen oder einem Dienstleister zu übertragen, der sie zuverlässig trägt.

4 konkrete Schritte, wenn du gerade WordPress nutzt

Langfristig die Plattform-Frage stellen: Wenn das der dritte oder vierte PHP-Notfall in kurzer Zeit ist, lohnt sich ein ehrlicher Blick darauf, wie oft du diese Art von Stress künftig noch erleben willst, und ob ein System ohne diese Angriffsfläche nicht die ruhigere Wahl ist.

Keiner dieser vier Schritte ersetzt eine fundierte, langfristige Entscheidung. Aber jeder einzelne reduziert dein unmittelbares Risiko schon heute, unabhängig davon, ob du dich später für einen Plattformwechsel entscheidest oder vorerst bei deinem bestehenden System bleibst.

Notiere dir außerdem, wann genau du diese Prüfung durchgeführt hast und was dein Hoster dir geantwortet hat. Diese Dokumentation hilft nicht nur bei einer eventuellen späteren Rückfrage, sondern zeigt dir beim nächsten vergleichbaren Vorfall sofort, wie schnell und zuverlässig dein aktueller Dienstleister tatsächlich reagiert.

Sprich diese Überlegung auch offen mit deinem Team oder Geschäftspartnern, falls mehrere Personen von einem Ausfall betroffen waren. Eine gemeinsame, nachvollziehbare Entscheidung über den weiteren Umgang mit der Website-Infrastruktur verhindert, dass die Verantwortung später unklar zwischen mehreren Personen hin und her geschoben wird.

Setze dir außerdem eine konkrete Erinnerung für eine erneute Prüfung in ein bis zwei Wochen. Nicht jeder Patch funktioniert beim ersten Versuch fehlerfrei, und ein kurzer Nachkontrolltermin stellt sicher, dass aus einer schnellen Notfallmaßnahme keine dauerhaft halb erledigte Aufgabe wird.

Der Sofort-Test: Die eine Frage an deinen Hoster

Fazit

Jede große PHP-Sicherheitslücke der letzten Jahre hat dasselbe Muster gezeigt: Panik, Notfall-Patches, ein paar Tage erhöhte Wachsamkeit, dann Normalbetrieb, bis zur nächsten Lücke. Dieses Muster wird sich nicht von selbst ändern, solange die zugrunde liegende Architektur gleich bleibt.

Das ist keine Lobby-Argumentation für eine bestimmte Plattform, sondern eine nachvollziehbare technische Tatsache: Eine Website ohne serverseitige Ausführung von Programmcode kann gegen eine Lücke, die genau diese Ausführung angreift, grundsätzlich nicht auf dieselbe Weise verwundbar sein.

Nutze den aktuellen Vorfall deshalb nicht nur, um kurzfristig zu patchen, sondern auch, um die grundsätzliche Frage einmal ehrlich zu stellen. In einem Jahr wirst du dich entweder an diesen Moment als Anlass für eine durchdachte Entscheidung erinnern, oder an den nächsten, sehr ähnlichen Vorfall, der genauso viel Aufmerksamkeit und Nervenstärke gekostet hat wie dieser.