PHP Krise – Was ist genau passiert und ist nun WordPress eine schlechte Lösung?

Ihr habt es gestern sicher gemerkt: Das Internet war faktisch tot und alles nur wegen einer kleinen PHP-Krise.

PHP ist eine Programmiersprache, auf der so 70–80 % des gesamten Internets laufen. Es ist egal, ob ihr WordPress, TYPO3 oder Magento verwendet, denn alles wurde mit PHP programmiert.

Gestern Morgen wurde das Gerücht laut, dass hier etwas im Busch ist, und dieses Gerücht wurde schnell bestätigt. Die PHP Foundation hat auch einen eigenen Blogbeitrag geschrieben, in dem sie die Leute informiert hat (Security advisory: Critical remote code execution vulnerabilities, update now).

Kurze Zeit später war das Internet im Vollbrandmodus. Diese schwerwiegende Sicherheitslücke hat den Namen «PHP2Shell» bekommen (registriert unter CVE-2026-109618 und CVE-2026-109619). Wer diesen Bug ausnutzte, konnte also von aussen eigenen Schadcode auf Servern ausführen und damit Webseiten übernehmen.

Aus diesem Grund wurden ab der Mittagszeit viele Webseiten deaktiviert und das „Internet“ war praktisch tot.

Ab 16:00 Uhr wurden dann die Patches PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht.

Wie immer im Zeitalter von Social Media wurden dazu auch viele Fake News verbreitet.

Viele „Experten“ auf LinkedIn, Twitter und im Fediverse warnten die Webseitenbetreiber, dass sie nun ein grosses Problem hätten und nur dieser und jener Kurs- oder Produktkauf sie vor dem Verlust ihrer Webseite schützen würde. Und als dann viele Hoster ihre Systeme schützten und Webseiten deaktiviert hatten, waren viele in kompletter Panik verfallen. Als dann sich auch noch Politiker und die klassischen Journalisten einmischten, war es nicht mehr nur eine kleine Internetkrise, sondern Thema Nr. 1.

Es war wirklich witzig, alle zu beobachten.

Eigentlich wollte ich ja arbeiten, aber da vieles tot war, konnte ich früher Feierabend machen.

Wenn ihr diesen Beitrag lesen könnt, dann läuft mein Blog wieder und viele Hoster hatten ihre Nachtschicht genutzt, um die Sicherheitslücken zu flicken und den PHP-Patch einzuspielen.

Wer aber die Webprojekte selber hostet, also eigene Server betreibt, ja, der musste den Patch selbst einspielen und kontrollieren, ob alles korrekt läuft. Ich hoffe ihr habt das bereits gemacht!

Warum war es eine Krise?

Auch wenn ich hier sage, es war für die Webseitenbetreiber nichts, was sie hätten machen können, und es in der Hand der Hoster lag, war es trotzdem eine PHP-Krise. Das Problem war, dass zu viele Infos über dieses PHP2Shell-Problem geleakt worden sind, sodass Hacker genug Zeit hatten, ihre KIs umzuprogrammieren und damit die Lücke ausnutzen zu können. Es ist bis jetzt nicht bekannt, wie viele Hoster betroffen waren, aber es gab Berichte, dass aktive Hackversuche durchgeführt worden sind.

Wir leben ja im Zeitalter der KI, und da ist der kritischste Moment eines Hacks die Zeit zwischen dem Bekanntwerden des Hacks und dem Patchen des Problems. In diesem Zeitfenster passiert das Schlimmste.

Darum haben viele Hoster alle Webseiten deaktiviert, um sich und ihre Kunden zu schützen.

Wer war nun von diesem Hack betroffen?

Auch wenn viele dieser Dummschwätzer etwas anderes sagten: Das war ein PHP-Problem, und damit konnte man als Webseitenbetreiber nicht wirklich etwas machen. Denn wir können wohl die Version von PHP auswählen, aber Sicherheitspatches gehen uns nichts an, denn die müssen die Hoster selbst machen und einspielen. Von PHP 8.5 bis zu 8.2 waren alle PHP-Versionen betroffen, auch PHP 8.1 und ältere (aber die sollte man eh nicht mehr unterstützen, weil sie nicht mehr unterstützt werden).

Ihr als Webseitenbetreiber könnt also beruhigt sein.

Experten, die Bullshit erzählen

Ja, wie gesagt, war gestern aber auch ein Fest der Dummschwätzer – ja, ich meine die ehemaligen Bitcoin-Experten, äh, NFT-Experten, äh, Metaverse-Experten, äh, KI-Experten. Ihr wisst schon, die Leute, die bei jedem dieser Themen gekommen sind, sich als Experten mit 59384 Jahren Erfahrung ausgegeben haben und euch etwas andrehen wollten …

Ja, viele dieser unseriösen Menschen haben gestern wohl Weihnachten gehabt, und ich will gar nicht wissen, wie viele Leute darauf reingefallen sind.

So habe ich heute mehrere Posts auf LinkedIn gesehen, in denen Leute sagten, dass es der Beweis wäre, dass WordPress eine schlechte Lösung für eine Webseite sei. Auch wenn ich alle meine +10 Hirnzellen anstrenge, kann ich wirklich nicht nachvollziehen, wie Menschen so einen Bullshit erzählen können. Aber man muss sich mit solchen Posts auch gar nicht so tief beschäftigen, denn wenn man sich die User anschaut, wollen die eh nur etwas verkaufen. Wenn man genau hinschaut, wollen sie euch React- oder Framer-Webseiten verkaufen oder sonst was und euch nur von WordPress weglocken.

Ist ein System nun besser als das andere?

Die PHP Krise hat wehgetat, aber sie ist nicht das Ende der Welt und sicher nicht das Ende von PHP selbst. Bei den Hostern war gestern Panik angesagt (Und wohl eine Nachtschicht), aber dieses PHP2Shell-Problem hatte aber nichts mit WordPress, TYPO3 oder sonst einem Tool zu tun, das auf Basis von PHP gebaut worden ist.

Natürlich könnt ihr von WordPress weggehen und zum Beispiel zu React wechseln, aber auch da gab es schon Lücken, wie den Hack im April 2026, der die NPM-Bibliotheken betroffen hat (Schlimme News für SyAdmin und Programmierer – NPM wurde gehackt).

Wie ich schon sagte, wir leben im Zeitalter der KI, und damit können Lücken viel schneller gefunden werden, und zwar nicht nur bei PHP oder React, sondern auch bei eurem Mac-, Linux- oder Windows-Betriebssystem.

Nichts ist zu 100 % sicher!

Wenn ihr wirklich zu 100 % sicher sein wollt, dann löscht eure Webseiten und euren Computer, schaltet euer Telefon ab, öffnet keine Werbebriefe und nehmt keine Telefonate ab und mauert euch zuhause ein 🙂

Also, liebe Leute, beruhigt euch wieder.