Am 21. Oktober 2026 veröffentlicht das PHP-Projekt ein außerplanmäßiges Sicherheitsupdate gegen zwei kritische Lücken, die unter dem Namen „PHP2Shell“ die Runde machen. Betroffen ist nicht WordPress, nicht ein Plugin, sondern PHP selbst, die Sprache, in der rund drei Viertel aller Websites laufen. Ein Angreifer kann darüber ohne Anmeldung eigenen Code auf dem Webserver ausführen. Dieser Beitrag erklärt, was dahintersteckt, wer betroffen ist und was Sie als Betreiber einer Website jetzt tun sollten.