Start / Blog / PHP2Shell-Studie DACH
Laufende Studie · PHP2Shell

PHP2Shell: Wie schnell patchen Websites in Deutschland, Österreich und der Schweiz?

ShiftPress RedaktionStand 22. Oktober 20264 Min. Lesezeit
Kurz gesagt: Am 21. Oktober 2026 hat das PHP-Team die kritische Lücke PHP2Shell geschlossen. Wir messen in zwei Wellen, im Abstand von einer Woche, wie viele Websites in Deutschland, Österreich und der Schweiz danach noch eine PHP-Version ohne offiziellen Sicherheitsfix anzeigen. Dafür rufen wir jede Startseite genau einmal ab, so wie ein Browser. Die Ergebnisse veröffentlichen wir auf dieser Seite, nur als zusammengefasste Zahlen. Wenn du deine Domain ausschließen möchtest, schreib uns.

Warum diese Studie

Weltweite Zahlen zu verwundbaren Servern gibt es schon. Für Deutschland, Österreich und die Schweiz fehlen sie, und erst recht für einzelne Gruppen wie Gemeinden oder Hochschulen. Wir wollen zwei Fragen beantworten: Wie viele Websites laufen kurz nach dem Update noch auf einer PHP-Version ohne Fix? Und wie viele davon sind eine Woche später immer noch unverändert?

Welche Websites wir uns ansehen

  • Gemeinden und Städte in Deutschland, Österreich und der Schweiz, deren offizielle Website in Wikidata eingetragen ist.
  • Hochschulen und Schulen in den drei Ländern, ebenfalls aus Wikidata.
  • Bekannte Websites mit .de, .at und .ch: alle rund 35.000 Domains mit diesen Endungen in der öffentlichen Tranco-Liste der meistbesuchten Websites. Die ersten 10.000 werten wir als „Top-Websites“ getrennt aus.

Wie wir messen

  • Ein Abruf pro Website. Wir rufen nur die Startseite auf, so wie jeder Browser. Wir raten keine Pfade, füllen keine Formulare aus und senden keinen Angriffs- oder Testcode.
  • Was wir lesen: den HTTP-Status, die Kopfzeilen X-Powered-By und Server, die Namen gesetzter Cookies (nicht ihren Inhalt), das Generator-Tag und den Seitentitel. Den Text der Seite prüfen wir nur auf einen Hinweis, dass sie offline ist oder gewartet wird, und warum. Den Inhalt der Seite speichern wir nicht.
  • Erkennbar im Log: Unser Abruf meldet sich mit ShiftPress-PHP-Study/1.0 und einem Link auf diese Seite.
  • Rücksichtsvoll: höchstens ein Abruf pro Sekunde an denselben Server.
  • Zwei Wellen: kurz nach dem Update und eine Woche später, mit derselben Liste. Dazwischen rufen wir die Seiten, die noch eine Version ohne Fix zeigen, einmal täglich erneut auf. So sehen wir, wie schnell gepatcht wird.

Was die Versionsnummer sagt und was nicht

Die Versionsnummer, die ein Server anzeigt, ist ein Hinweis, kein Beweis. Linux-Distributionen wie Debian und Ubuntu spielen Sicherheitsfixes oft ein, ohne die Nummer zu ändern. Solche Pakete erkennen wir an ihrer Endung (etwa 8.1.2-1ubuntu2) und zählen sie getrennt. Wir sprechen deshalb von Versionen ohne offiziellen Fix, nie von „verwundbaren Websites“. Seiten, die ihre Version nicht verraten, zählen wir mit, rechnen sie aber nicht in die Quote ein. Jede Zahl erscheint mit ihrer Basis.

Auch viele Hoster haben ältere Versionen wie 8.0 oder 8.1 nachgerüstet, ohne die Nummer zu ändern. Eine alte Nummer heißt deshalb nicht, dass eine Seite ungeschützt ist. Wir werten die Ergebnisse auch nach Hoster aus und gleichen sie mit deren eigenen Statusmeldungen ab.

Wir zählen außerdem Seiten, die vorsorglich vom Netz genommen wurden, wie es einige am 21. Oktober getan haben. Als solche zählt eine Seite nur, wenn sie selbst sagt, dass sie offline ist, und einen Sicherheitsgrund nennt. Wartungsseiten ohne Grund zählen wir getrennt.

Was mit den Daten passiert

  • Nur zusammengefasste Zahlen: je Gruppe, Land, Bundesland oder Kanton. Wir nennen keine einzelnen Websites, auch nicht auf Nachfrage.
  • Behörden: Gemeinde-Websites mit einer Version ohne Fix melden wir vertraulich an die zuständigen Stellen (CERT-Bund beim BSI, GovCERT Austria, Nationales Zentrum für Cybersicherheit der Schweiz), nicht an Medien.
  • Kein Vertrieb: Wir nutzen die Studiendaten nicht, um Betreiber anzuschreiben.
  • Löschung: Die Rohdaten löschen wir 30 Tage nach der zweiten Messwelle.

Deine Domain ausschließen

Du hast unseren Abruf in deinem Log gesehen oder möchtest nicht Teil der Studie sein? Schreib an [email protected] mit dem Betreff „PHP-Studie: Domain ausschließen“ und der Domain. Wir nehmen sie sofort aus der Erhebung und löschen alle Daten, die wir zu ihr haben. Für Fragen zur Methode erreichst du uns unter derselben Adresse.

Deine eigene Seite prüfen

Du musst nicht auf die Ergebnisse warten. Unser kostenloser PHP2Shell-Check zeigt dir in ein paar Sekunden, ob dein Server eine PHP-Version mit dem Fix meldet. Er prüft nur die Adresse, die du eingibst, und seine Ergebnisse werden weder gespeichert noch für diese Studie verwendet. Wie du deine PHP-Version findest und auf welche Version du wechseln solltest, steht in PHP-Version prüfen und aktualisieren. Was PHP2Shell ist und was jetzt zu tun ist, erklärt unser Artikel zur Lücke.

Häufige Fragen

Ist das ein Sicherheits-Scan meiner Website?
Nein. Wir rufen nur deine Startseite auf, genau wie ein Besucher mit einem Browser, und lesen die Angaben, die dein Server dabei von sich aus mitschickt. Wir testen keine Lücke und versuchen nichts auszunutzen.
Heißt eine alte Versionsnummer, dass meine Seite verwundbar ist?
Nicht zwingend. Manche Hoster und Linux-Pakete spielen den Fix ein, ohne die Nummer zu ändern. Frag im Zweifel deinen Hoster, ob der Fix für CVE-2026-109618 und CVE-2026-109619 installiert ist.
Wann erscheinen die Ergebnisse?
Die erste Welle veröffentlichen wir wenige Tage nach der Messung auf dieser Seite, die zweite eine Woche später. Die Methode und alle Basiszahlen stehen dann mit dabei.
Wer steht hinter der Studie?
ShiftPress, eine Webagentur, die Websites als fertige Seiten ohne PHP betreibt. Verantwortlich ist die ShiftPress Redaktion, Kontakt über [email protected]. Angaben zum Anbieter stehen im Impressum.